艾泰路由ipsec ***设置：
Ipsec里新建连接，设置如下：<?xml:namespace prefix="o">?xml:namespace>
设置方式:自动
连接方式：网关到网关
远端网关地址（名）：121.8.166.98
远端内网地址：192.168.30.1
远端内网掩码：255.255.255.0
本地绑定：WAN1
本地内网地址：192.168.2.1
本地内网掩码：255.255.255.0
安全选项
预共享** ********
加密认证算法1：esp-3des
筛选条件
协议:任意
端口：0
第一阶段
协商模式：主模式
生存时间：28800秒（这个可改大）
加密认证算法1：3des-md5-group2
加密认证算法2：3des-sha-group2
加密认证算法3：des-md5-group2
加密认证算法4：des-sha-group2
第二阶段
加密认证算法2:esp-3des-md5
加密认证算法3:esp-des-sha
加密认证算法4:
生存时间:3600秒(这个可改大)
最大流量：4194300千字节
其他
抗重播
DPD
心跳秒
NAT穿透：（勾选）
端口：4500
维持：20秒
如下图：
进入ip ipsec里面policies的general选项添加内网的源地址和需要做ipsec的对端内网地址。
在action选项里面添加源外网地址和对端外网地址和开启tunnel隧道协议
在ip ipsec里的peers标签里添加目标外网ip地址和secert密码：
再在ip firewall里面的nat标签建立源内网地址和对端内网地址:
再在action里面选择accept：
到此在艾泰路由上建立连接会显示连接已建立，本来可以上的，但***的nat（accept那个）规则要在上网nat规则的前面，这个要注意。如下图这样顺序才可以的：
如果不是，请删除上网nat然后再建过。简单的就是Chain里选srcnat，acion里面选择masquerade，如下图：
好了，现在可以连接到了。注意Ros里的终端ping不到那边内网的。
参考来源：
http://www.haowlan.com/jiaochengzhongxin/41.html
转载于:https://blog.51cto.com/gzzhang/1076274