求助juniper srx 策略模式ip sec v p n问题

现在采用juniper srx 210  2台做ipsec v p n   采用基于策略  野蛮模式

在测试时 参考文档  然后发现问题  两边内网无法互相ping通  

查看发现隧道建立  并且显示有数据   想问下是不是还需要做什么放行条件？？？
配置见下面楼层：        

设备A

## Last changed: 2019-03-14 15:09:23 GMT
version 12.1X44-D40.2;
system {
    host-name zenni;
    time-zone GMT;
    root-authentication {
        encrypted-password "$1$twUJGRID$Fz0N1F24APP0e1FZuoLXq/";

    services {
        ssh;
        telnet;
        web-management {
            http {
                interface [ vlan.1 ge-0/0/0.0 ];
            }
            https {
                system-generated-certificate;
                interface [ vlan.1 ge-0/0/0.0 ];
            }
            session {
                idle-timeout 60;
            }
  
    syslog {
        archive size 100k files 3;
        user * {
            any emergency;
        }
        file messages {
            any critical;
            authorization info;
        }
        file interactive-commands {
            interactive-commands error;
        }
    }
    max-configurations-on-flash 5;
    max-configuration-rollbacks 5;
    license {
        autoupdate {
            url https://ae1.juniper.net/junos/key_retrieval;
        }

interfaces {
    ge-0/0/0 {
        unit 0 {
            family inet {
                address 218.2.2.2/24;
            }
        }
    }
    fe-0/0/2 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan1;

    }
    vlan {
        unit 1 {
            family inet {
                address 192.168.2.1/24;
            }
        }
    }
}
routing-options {
    static {
        route 0.0.0.0/0 next-hop [ 218.2.2.3 ];
    }
}
protocols {
    stp;
}
security {
    ike {
        proposal ike-pro {
            authentication-method pre-shared-keys;
            dh-group group2;
            authentication-algorithm md5;
            encryption-algorithm aes-256-cbc;
        }
        policy ike-pol {
            mode aggressive;
            proposals ike-pro;
            pre-shared-key ascii-text "$9$N0dYgaZUH.PJZ9AuORE";
        }
        gateway ike-ga {
            ike-policy ike-pol;
            address 218.2.2.3;
            external-interface ge-0/0/0.0;
        }
    }
    ipsec {
        proposal ipsec-pro {
            protocol esp;
            authentication-algorithm hmac-md5-96;
            encryption-algorithm aes-256-cbc;
            lifetime-seconds 3600;
        }
        policy ipsec-pol {
            proposals ipsec-pro;
        }
        *** ipsec*** {
            ike {
                gateway ike-ga;
                ipsec-policy ipsec-pol;
            }
            establish-tunnels immediately;
        }
    }
    screen {
        ids-option untrust-screen {
            icmp {
                ping-death;
            }
            ip {
                source-route-option;
                tear-drop;
            }
            tcp {
                syn-flood {
                    alarm-threshold 1024;
                    attack-threshold 200;
                    source-threshold 1024;
                    destination-threshold 2048;
                    timeout 20;
                }
                land;
            }
        }
    }
    nat {
        source {
            rule-set nsw_srcnat {
                from zone Internal;
                to zone Internet;
                rule nsw-src-interface {
                    match {
                        source-address 0.0.0.0/0;
                        destination-address 0.0.0.0/0;
                    }
                    then {
                        source-nat {
                            interface;
                        }
                    }
                }
            }
        }
    }
    policies {
        from-zone Internal to-zone Internet {
            policy ***_out {
                match {
                    source-address net;
                    destination-address remote;
                    application any;
                }
                then {
                    permit {
                        tunnel {
                            ipsec-*** ipsec***;
                        }
                    }
                }
            }
            policy All_Internal_Internet {
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
        from-zone Internet to-zone Internal {
            policy ***_in {
                match {
                    source-address remote;
                    destination-address net;
                    application any;
                }
                then {
                    permit {
                        tunnel {
                            ipsec-*** ipsec***;
                        }
                    }
                }
            }
        }
    }
    zones {
        security-zone Internal {
            address-book {
                address net 192.168.2.0/24;
            }
            host-inbound-traffic {
                system-services {
                    all;
                }
                protocols {
                    all;
                }
            }
            interfaces {
                vlan.1 {
                    host-inbound-traffic {
                        system-services {
                            all;
                        }
                        protocols {
                            all;
                        }
                    }
                }
            }
        }
        security-zone Internet {
            address-book {
                address remote 192.168.1.0/24;
            }
            host-inbound-traffic {
                system-services {
                    all;
                }
                protocols {
                    all;
                }
            }
            interfaces {
                ge-0/0/0.0 {
                    host-inbound-traffic {
                        system-services {
                            all;
                        }
                        protocols {
                            all;
                        }
                    }
                }
            }
        }
    }
}
vlans {
    vlan1 {
        vlan-id 3;
        l3-interface vlan.1;
    }
}        

设备B

## Last changed: 2019-03-14 06:31:52 GMT
version 11.4R10.3;
system {
    host-name juniper;
    time-zone GMT;
    root-authentication {
        encrypted-password "$1$twUJGRID$Fz0N1F24APP0e1FZuoLXq/";

    services {
        ssh;
        telnet;
        web-management {
            http {
                interface [ vlan.1 ge-0/0/0.0 ];
            }
            https {
                system-generated-certificate;
                interface [ vlan.1 ge-0/0/0.0 ];
            }
            session {
                idle-timeout 60;
            }
        }
    }
    syslog {
        archive size 100k files 3;
        user * {
            any emergency;
        }
        file messages {
            any critical;
            authorization info;
        }
        file interactive-commands {
            interactive-commands error;
        }
    }
    max-configurations-on-flash 5;
    max-configuration-rollbacks 5;
    license {
        autoupdate {
            url https://ae1.juniper.net/junos/key_retrieval;
        }
    }
}
interfaces {
    ge-0/0/0 {
        unit 0 {
            family inet {
                address 218.2.2.3/24;
            }
        }
    }
    fe-0/0/2 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan1;

    vlan {
        unit 1 {
            family inet {
                address 192.168.1.1/24;
            }
        }
    }
}
routing-options {
    static {
        route 0.0.0.0/0 next-hop 218.2.2.2;
    }
}
protocols {
    stp;
}
security {
    ike {
        proposal ike-pro {
            authentication-method pre-shared-keys;
            dh-group group2;
            authentication-algorithm md5;
            encryption-algorithm aes-256-cbc;
        }
        policy ike-pol {
            mode aggressive;
            proposals ike-pro;
            pre-shared-key ascii-text "$9$N0dYgaZUH.PJZ9AuORE";
        }
        gateway ike-ga {
            ike-policy ike-pol;
            address 218.2.2.2;
            external-interface ge-0/0/0;
        }
    }
    ipsec {
        proposal ipsec-pro {
            protocol esp;
            authentication-algorithm hmac-md5-96;
            encryption-algorithm aes-256-cbc;
            lifetime-seconds 3600;
        }
        policy ipsec-pol {
            proposals ipsec-pro;
        }
        *** ipsec*** {
            ike {
                gateway ike-ga;
                ipsec-policy ipsec-pol;
            }
            establish-tunnels immediately;
        }
    }
    screen {
        ids-option untrust-screen {
            icmp {
                ping-death;
            }
            ip {
                source-route-option;
                tear-drop;
            }
            tcp {
                syn-flood {
                    alarm-threshold 1024;
                    attack-threshold 200;
                    source-threshold 1024;
                    destination-threshold 2048;
                    timeout 20;
                }
                land;
            }
        }
    }
    nat {
        source {
            rule-set nsw_srcnat {
                from zone Internal;
                to zone Internet;
                rule nsw-src-interface {
                    match {
                        source-address 0.0.0.0/0;
                        destination-address 0.0.0.0/0;
                    }
                    then {
                        source-nat {
                            interface;
                        }
                    }
                }
            }
        }
    }
    policies {
        from-zone Internal to-zone Internet {
            policy ***_out {
                match {
                    source-address net;
                    destination-address remote;
                    application any;
                }
                then {
                    permit {
                        tunnel {
                            ipsec-*** ipsec***;
                        }
                    }
                }
            }
            policy All_Internal_Internet {
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
        from-zone Internet to-zone Internal {
            policy ***_in {
                match {
                    source-address remote;
                    destination-address net;
                    application any;
                }
                then {
                    permit {
                        tunnel {
                            ipsec-*** ipsec***;
                        }
                    }
                }
            }
        }
    }
    zones {
        security-zone Internal {
            address-book {
                address net 192.168.1.0/24;
            }
            host-inbound-traffic {
                system-services {
                    all;
                }
                protocols {
                    all;
                }
            }
            interfaces {
                vlan.1 {
                    host-inbound-traffic {
                        system-services {
                            all;
                        }
                        protocols {
                            all;
                        }
                    }
                }
            }
        }
        security-zone Internet {
            address-book {
                address remote 192.168.2.0/24;
            }
            host-inbound-traffic {
                system-services {
                    all;
                }
                protocols {
                    all;
                }
            }
            interfaces {
                ge-0/0/0.0 {
                    host-inbound-traffic {
                        system-services {
                            all;
                        }
                        protocols {
                            all;
                        }
                    }
                }
            }
        }
    }
}
vlans {
    vlan1 {
        vlan-id 3;
        l3-interface vlan.1;
    }        

备查看隧道信息：

root@zenni> show security ike security-associations
Index   State  Initiator cookie  Responder cookie  Mode           Remote Address

584897  UP     4062d1de85d99220  5ea161560201b6ee  Aggressive     218.2.2.3

root@zenni> show security ipsec statistics
ESP Statistics:
  Encrypted bytes:            37560
  Decrypted bytes:            16920
  Encrypted packets:            313
  Decrypted packets:            282
AH Statistics:
  Input bytes:                    0
  Output bytes:                   0
  Input packets:                  0
  Output packets:                 0
Errors:
  AH authentication failures: 0, Replay errors: 0
  ESP authentication failures: 0, ESP decryption failures: 0
  Bad headers: 0, Bad trailers: 0

root@zenni> show security flow session
Session ID: 32855, Policy name: self-traffic-policy/1, Timeout: 4, Valid
  In: 218.2.2.2/21602 --> 218.2.2.3/5;icmp, If: ge-0/0/0.0, Pkts: 1, Bytes:
60
  Out: 218.2.2.3/5 --> 218.2.2.2/21602;icmp, If: .local..0, Pkts: 1, Bytes:
60

Session ID: 32856, Policy name: All_Internal_Internet/4, Timeout: 4, Valid
  In: 192.168.2.2/20707 --> 218.2.2.2/1;icmp, If: vlan.1, Pkts: 1, Bytes: 60
  Out: 218.2.2.3/1 --> 218.2.2.2/6998;icmp, If: ge-0/0/0.0, Pkts: 1, Bytes:
60

求大佬指导下

求金币，求金币。

dddddddddddddddd