我已经建立了一个平台（由 2 个 ASR1001X 组成）路由器作为 Flexvpn DVTI 集线器，以将不同的远程站点（主要是 ISR1000，但也有较旧的 C886）终止到不同的 VRF。授权后端是一个自由半径。
附上我的集线器配置
加密 ikev2 名称管理器 MANGLER-1 全部通过电子邮件发送 ！ 加密 ikev2 配置文件 FLEX-BOX-1 匹配身份远程地址 ::/0 匹配身份远程地址 0.0.0.0 匹配身份远程电子邮件域 *****.com 身份本地 fqdn hub1.****.com 认证远程预共享 身份验证本地 rsa-sig 密钥环 aaa NTVPN 名称管理器 MANGLER-1 密码 cisco pki 信任点 TP-1 dpd 60 10 定期 aaa 授权用户 psk 列表 VPN 名称-mangler MANGLER-1 密码 cisco 虚拟模板 800 ！ 加密 ipsec 转换集 AES_128-SHA esp-aes esp-sha-hmac 模式隧道 加密 ipsec 转换集 AES_128-SHA_256 esp-aes esp-sha256-hmac 模式隧道 加密 ipsec 转换集 AES_256-SHA esp-aes 256 esp-sha-hmac 模式隧道 加密 ipsec 转换集 AES_256-SHA_256 esp-aes 256 esp-sha256-hmac 模式隧道 ！ 加密 ipsec 配置文件 IPSEC-1 设置安全关联生命周期秒 7200 设置变换集 AES_256-SHA_256 AES_256-SHA AES_128-SHA_256 AES_128-SHA 设置 pfs group15 设置 ikev2-profile FLEX-BOX-1 仅响应者 ！ 接口 Virtual-Template800 类型隧道 ip 无编号 Loopback800 没有IP重定向 没有 ip 代理-arp ip mtu 1400 ip tcp 调整-mss 1300 隧道模式 ipsec ipv4 隧道路径-mtu-发现 隧道保护 ipsec 配置文件 IPSEC-NTVPN-1
和辐条网站：
加密 ikev2 客户端 flexvpn 默认 同行 1 ***** 没有备份组 客户端连接 Tunnel1 ！ crypto ikev2 授权策略默认 无路由设置接口 路由设置远程 ipv4 10.240.1.32 255.255.255.255 ！ ！ 加密 ikev2 配置文件 Flex_IKEv2 匹配身份远程 fqdn 域 ***.com 身份本地电子邮件***@***.com 身份验证远程 rsa-sig 认证本地预共享密钥 ***** pki 信任点 TP-VPN dpd 60 10 定期 aaa 授权用户证书列表 默认 默认 ！ 加密 ipsec 配置文件默认值 设置 ikev2-profile Flex_IKEv2 ！ ！ ！ ！ 接口隧道1 协商的ip地址 ip mtu 1400 ip tcp 调整-mss 1300 隧道源 GigabitEthernet0/0/1 隧道目的地动态 隧道路径-mtu-发现 隧道保护 ipsec 配置文件默认
我排除了整个 PKI/AAA/RADIUS 的东西，因为普通身份验证工作正常。
只要辐条站点在互联网上有一个公共 IP 地址，这个故事就可以正常工作。但是一旦设备在 NAT 之后，我就无法再获得隧道了。
集线器路由器记录以下提示
3 月 10 日 15:59:36.976：IKEv2-ERROR:: 提供的参数不正确 3 月 10 日 15:59:37.692：IKEv2-ERROR：找不到匹配的 SA：检测到无效的 IKE SPI 3 月 10 日 15:59:50.443：%LINEPROTO-5-UPDOWN：接口 Virtual-Access4 上的线路协议，将状态更改为关闭 3 月 10 日 15:59:50.455：IKEv2:% DVTI Vi4 为具有 PSH 索引 2 的配置文件 FLEX-BOX-1 创建。 3 月 10 日 15:59:50.455：IKEv2:IPSec 策略验证请求已针对 psh 索引为 2 的配置文件 FLEX-BOX-1 发送。 3 月 10 日 15:59:50.456：IKEv2:(SA ID = 2):[IPsec -> IKEv2] 收到验证提议的回调 - 失败。
一旦我回到 WAN 访问，其中 Spoke-Side 路由器具有非 NAT 全局可访问地址，一切都会再次正常工作。
任何想法这可能是什么或如何隔离我的问题的根本原因？