SANGFOR NGAF第三方IPsec对接疑问

Sangfor NGAF第三方IPSec对接配置

VPN接口配置：

                             

第一阶段配置：

第二阶段

  

完美密钥向前保密华三的设备也不一定可以支持，这个需要注意。

有几点疑惑：

一、关于VPN接口配置。

这里配置的接口，在IPSec VPN第三方对接中，有何作用？

现在只明白一点，这里不配置VPN接口，IPSec第三方对接是不能成功的。

二、关于第二阶段出入站策略。

1、这里将流量分为入站和出站，从配置图中看，有点象兼带了访问控制的功能，不明白其中缘由；

2、如果入站和出站分别配置了M和N个策略，从DLAN的调试信息可以看到，会自动生成M*N条访问控制列表，如果对端的访问控制列表是本端访问控制列表的子集，且只能是本端开始发起协商，是否会造成对接协商不成功；

3、从配置图中看，出站策略绑定对端设备，那是否意味着如果本端作为总部，对接N个分支的话，就需要配置N遍的出站策略，看着有点多余；

4、“完美密钥向前保密”这个特性应该与对端站点有关，不太可能对接同一个站点的多条出站策略，有勾选也有不勾这一特性的；

1、因为有可能是两个WAN口都配置了VPN，这里配置是为了区分是哪个隧道流量走哪个WAN口。

２、
a.入站和出站都是为了抓感兴趣流进隧道。访问控制也是为了抓感兴趣流。
b.这个没有尝试过，一般是两端配置保持 一致。
c.是的。
d.一般保持默认，至于为什么，不太了解。