华为防火墙建立IPSEC VPN和NAT穿越问题（大学生易读版）

一.拓扑介绍

???????? 其中华为防火墙和思科路由器R1建立连接形成VPN，在ISP上有8.8.8.8的回环口网段

二.配置理解

三.具体配置

??????? 解释：由于web界面的特殊性，可直接创建策略在策略里面配置阶段一二并且acl匹配对端等

????????

正常配置顺序：阶段一，阶段二，匹配对端，调用acl ?????

配置顺序：从上往下依次为匹配对端，调用acl，阶段一阶段二配置

?? 1.基本配置，匹配对端

?? 2.调用acl

?? 3.阶段一二配置

?? 4.对端思科配置

?? 5.检验查看

四.NAT-T穿越问题

???????? 当前，pc1要访问ISP的8.8.8.8网段，需要做一NAT到公网上面去，但由于NAT匹配ACL优先于VPN匹配的ACL，所以说NAT后原地址转为公网地址无法匹配上VPN的acl导致ipsec加密数据无法传输。

解决办法：NAT精准匹配高级acl，让只去8.8.8.8的才NAT转换原地址，而不是匹配普通acl只匹配个源地址

五.NAT-T具体配置

六.尾言

本人网络小白一枚，如有知识点或则逻辑不清楚的，望大佬指出，如果大伙有其他问题，留在评论区，我会尽快为大伙解决。