参考答案: B D

详细解析:

当IPSEC和NAPT并存于一个乙地防火墙上，IPSEC处理是分部和总部之间的流量，NAPT处理的是分部访问Internet的流量。总部防火墙同时配置了IPSEC和NAT SERVER，IPSEC处理总部和分部之间的流量，NAT SERVER处理的是因特网访问总舵服务器的流量。
按理说两台防火墙IPSEC流量和NAT流量应该是互不相干，其实在本例中IPSEC和NAT的处理是有重叠的，在防火墙转发流程中，NAT在上游环节，IPSEC在下游环节。所以IPSEC的流量难免会受到NAT处理流程的干扰，原本应该进入IPSEC隧道的流量一旦命中NAT策略就会进行NAT转换，转换后的流量不会再匹配IPSEC中的ACL了，也就不会进行IPSEC处理。所以处理不好IPSEC和NAT的关系就会出现莫名其妙的问题。例如分部访问总部不成功，总部访问分部不成功。
解决方案：需要在NAT策略中配置一条针对IPSEC流量不进行地址转换的策略，该策略的优先级高于其他的策略。
B选项的虚拟路由是指对于B的访问需要指向VPN隧道。