故障描述
客戶網絡由總部和分部，總部和分部之間建立ipsec vpn，總部內部配置nat outbound和nat server，配置完成后，發(fā)現內部PC間互訪沒有問題，分部PC也可以訪問總部的server，但是總部server無法訪問分部資源了。
故障分析
針對這種組網環(huán)境和需求，關鍵在于nat outbound和nat server的配置，因為如果配置nat outbound沒有排除，進行了源nat，nat-server反向server-map表導致無法命中acl封裝ipsec數據等。
處理過程
1、查看客戶防火墻配置，從配置看客戶已經將互訪排除，不進行nat轉換，排除nat outbound導致的故障。
2、那繼續(xù)測試，查看客戶nat server配置，是一般配置，正常情況下，應該沒有問題，所以分部也可以正常訪問總部，但是由于在進行nat server轉換時，也會生成反向server-map表，導致內部server私網地址轉換為公網地址無法命中acl，導致總部的server無法訪問分部資源。對nat server進行優(yōu)化，配置時加入no-reverse參數，不生成反向server-map表，故障接觸。
建議/總結
無