# 本地防火墙无法收到VPN子网的回复包怎么解决？
1. 如果二阶段协商中需要检查云下的路由、安全策略、NAT和感兴趣流、协商策略信息。
   - 路由设置：将访问云上子网的数据送入隧道。
   
   - 安全策略：放行云下子网访问云上子网的流量。
   
   - NAT策略：云下子网访问云上子网不做源nat。
   
   - 感兴趣流：两端感兴趣流配置互为镜像，使用IKE v2配置感兴趣流不可使用地址对象名称。
   
   - 协商信息：协商策略信息云上云下一致，特别注意PFS的配置。
    
2. 确认一、二阶段协商均已正常后，请检查云上安全组策略，放行入方向的云下子网访问云上子网的ICMP协议。