组网及说明

Ipsec在H3C MSR 810 与飞塔防火墙之间建立，保护的是192.168.240.0/24到192.168.101.0/24之间私网数据流。

问题描述

在H3C MSR 810和Test Fortigate之间已经成功建立IPsec隧道。阶段1（IKE V2）和阶段2（IPsec）都已建立。MSR 810侧私网地址192.168.240.1 ping 192.168.101.153，但只有一个icmp数据包能通。

过程分析

在H3C MSR 810和Test Fortigate的外网口抓包看。Test fortigate已经收到了MSR 810的加密ESP包，但是Test fortigate只回复了一个。 ping成功回一个包的情况有两种：

1. 当重置H3C MSR路由器中的ike或ipsec会话时，Test Fortigate会回复一个数据包。

2. MSR下的终端持续ping，Test Fortigate会偶尔回复一个包。

进行如下测试：

1. 当在 MSR 810和Test Fortigate中使用IKE v1时，ping测试是没有问题的，所有包都能通。

2. 使用两个相同型号的H3C MSR设备相互连接，用IKE v2也没有问题。

3. 测试了Fortigate的2个版本，都有这个问题： FortiOS v6.4.5 build1828（GA） /FortiOS v7.0.0 build 0066（最新版本）

在MSR上看Ipsec加密后的ping包ESP包已经发出，且已经到达了Fortigate侧，对端外网口抓包看只回了一个，这个需要重点排查Fortigate侧。

解决方法

默认情况下， Fortigate侧中NPU Offload Function处于启用状态，在Fortigate侧禁用NPU卸载功能时，故障恢复。