本申请提供一种IPSec的协商方法及装置，应用于第一防火墙设备，所述第一防火墙设备上部署有第一虚拟防火墙和至少一个其他的虚拟防火墙，每一虚拟防火墙分配有不同的虚拟防火墙ID，所述方法包括：响应于在所述第一虚拟防火墙与区别于所述第一虚拟防火墙的第二虚拟防火墙之间建立IPSec隧道的需求，根据认证信息以及与所述第二虚拟防火墙对应的对端虚拟防火墙ID查找对应的第一协商状态；根据对所述认证信息进行校验认证得到的校验认证结果生成第二协商状态，所述第二协商状态中包含所述第一虚拟防火墙对应的本端虚拟防火墙ID；将携带所述第二协商状态的协商报文发送至所述第二虚拟防火墙。