故障描述
客戶網(wǎng)絡(luò)由總部和分部，總部和分部之間建立ipsec vpn，總部內(nèi)部配置nat outbound和nat server，配置完成后，發(fā)現(xiàn)內(nèi)部PC間互訪沒有問題，分部PC也可以訪問總部的server，但是總部server無法訪問分部資源了。
故障分析
針對(duì)這種組網(wǎng)環(huán)境和需求，關(guān)鍵在于nat outbound和nat server的配置，因?yàn)槿绻渲胣at outbound沒有排除，進(jìn)行了源nat，nat-server反向server-map表導(dǎo)致無法命中acl封裝ipsec數(shù)據(jù)等。
處理過程
1、查看客戶防火墻配置，從配置看客戶已經(jīng)將互訪排除，不進(jìn)行nat轉(zhuǎn)換，排除nat outbound導(dǎo)致的故障。
2、那繼續(xù)測試，查看客戶nat server配置，是一般配置，正常情況下，應(yīng)該沒有問題，所以分部也可以正常訪問總部，但是由于在進(jìn)行nat server轉(zhuǎn)換時(shí)，也會(huì)生成反向server-map表，導(dǎo)致內(nèi)部server私網(wǎng)地址轉(zhuǎn)換為公網(wǎng)地址無法命中acl，導(dǎo)致總部的server無法訪問分部資源。對(duì)nat server進(jìn)行優(yōu)化，配置時(shí)加入no-reverse參數(shù)，不生成反向server-map表，故障接觸。
建議/總結(jié)
無