路由方式的IPsec下的路由条目的设置

1、路由方式传输模式

对于传输模式来说，不适合在安全网关之间架设，即便架设了，防火墙对待这类报文也只是将其当做普通的三层数据报文，然后将其进行数据报文的传递。所以只有在主机到主机之间架设了IPsec之间的互相联系，那么才会对这类报文进行正常的加密和解密。

如这个拓扑，左边的PC1到达FW3且匹配上了感兴趣流并做了IPsec的传输封装，那么这个传输报文的源目IP是192.168.1.1 192.168.2.1，那么对于右边的防火墙来说，目的地址不是自己，这就使得右边的FW2对待这类报文的时候会直接将其准发给PC2，而不进行加密解密。所以对于路由方式传输模式来说，我们需要设置路由将相关流量引入tunnel接口，引入tunnel接口后只是为其打上ipsec隧道封装，而不添加新的IP首部。那么其实对待这类的网络场景来说，因为没有添加新的IP首部，所以从tunnel接口出来，防火墙对待该报文还是使用路由表进行正常转发。如果有相关路由就会转发，如果没有就不会转发。

该设置的路由：

1、引流路由，将感兴趣流引入tunnel接口

2、去往隧道对端的路由

2、路由方式隧道模式

在这种网络场景下，我们同样需要设置去往隧道对端的路由，这个路由的作用十分的明显，主要就是为了相关的协商报文能够去往对端。第二个就是引流路由，当相关报文引流至tunnel接口，tunnel接口因为是隧道模式，所以相比传输模式就会有些区别，它不单单进行加密首部的添加，还添加新的IP首部，IP首部的源目IP就是IPsecSA两端的IP地址，当添加了新的IP首部后，就根据设置的第一个路由，也就是去往隧道对端的路由将相关加密报文送往对端防火墙，防火墙发现相关报文是发送给自己的，那么就会进行解密，得到原生报文并根据内部私网的路由以及原生报文的目的IP将报文进行转发。

该设置的路由

1、引流路由，将感兴趣流引入tunnel接口

2、去往隧道对端的路由