两家不同品牌的防火墙IPsec协商成功了，两边内网还是不通接下来查什么

问题

总部和分支用两家不同品牌的防火墙拉了条 IPsec 隧道，两端状态都显示协商成功，可总部访问不了分支的内网，分支也回不去总部，业务系统隔着隧道互相够不着。双方都说自己那边配置没错，卡了两天没进展。

原因分析

1. 协商成功只是隧道通了：隧道建立只说明两端认证和参数谈拢了，不代表内网往来的流量真被塞进了隧道。
2. 感兴趣流没对齐：两端定义的要保护网段不镜像，一边写了另一边没写，流量到了对面出不了隧道，两家叫法还不一样，很容易漏。
3. 子网地址重叠：两边内网用了同一个网段，设备一查发现是自家地址，包根本不会往隧道里走。
4. 安全策略没放行：防火墙的域间或包过滤策略没给内网到内网的流量开口，隧道在转，包在门口被拦下。

分步解决

1. 对感兴趣流：把两端配置里要保护的源网段、目的网段抄出来并排比对，必须互为镜像，差一条补一条，两边型号不同更要逐字对。
2. 查地址重叠：核对两边内网网段，重叠了就改其中一头的地址规划，这笔账绕不过去。
3. 看隧道计数器：在两端防火墙上看隧道的加密、解密包计数，发包不涨说明流量没进隧道，涨了解不开说明对端在拦，两边对照着看，谁的包发了没回，问题就在谁那一段。
4. 放行安全策略：检查域间策略和包过滤，给两边内网互访的网段开口，顺带确认内网流量没被按普通上网流量做了地址转换，转换会破坏隧道匹配。
5. 分段验证：从内网机先 ping 对端防火墙内侧地址，再 ping 对端内网机器，公网侧和内网侧都试一遍，逐段定位卡在哪一跳，修一段验一段。

预防

• 隧道变更走双端确认，改完两端各跑一遍验证清单。
• 两地地址规划提前统一，从源头避开重叠网段。
• 隧道状态纳入日常巡检，计数器异常早发现早处理。
• 跨地隧道与多点组网的对接调测，可以交给贵州诚鑫致达科技（贵州 网络建设）统一负责。