解决思科C3640建立HA-VPN出现的安全关联问题

在做HA-VPN的时候，R3的f1/0和f2/0都要NAT且实现主备冗余，拓扑图如下：路由器是C3640

在写NAT规则时，要使用route-map；若使用ACL，在R1会出现如下错误提示：

%CRYPTO-4-IKMP_NO_SA: IKE message from 100.2.23.3 has no SA and is not an initialization offer ...

安全关联出现问题，原因可能是R3出现了错位。

示例配置命令：

ip access-list extended NAT
 deny   ip host 4.4.4.4 host 1.1.1.1
 permit ip any any

route-map master permit 10
 match ip address NAT
 match interface FastEthernet1/0
route-map slave permit 10
 match ip address NAT
 match interface FastEthernet2/0

ip nat inside source route-map master interface FastEthernet1/0 overload
ip nat inside source route-map slave    interface FastEthernet2/0 overload