NAT 后面的加密设备怎么映射
设备位于 NAT 之后并做静态端口映射时，最容易出错的点是需要同时映射两个端口：协商初始使用 UDP 500，一旦探测到路径上存在地址转换，双方会切到 UDP 4500 继续通信。如果只映射了 500，协商会在中途切换时断掉，表现为日志里有开始协商的记录但始终没有建立完成。映射时还要保持端口号不变，因为对端在做身份匹配时可能使用映射后的地址与端口；同时要在设备侧启用保活，让映射表项不会因为长时间没有流量而被老化清除。
基本信息
| 映射要求 | UDP 500 与 UDP 4500 一并映射，且外部端口号保持一致 |
|---|---|
| 原因 | 检测到地址转换后，协商会迁移到 UDP 4500 |
| 保活 | 设备侧定期发送保活报文，维持映射表项存在 |
| 身份匹配 | 对端按映射后的地址匹配身份，需与配置一致 |
| 常见现象 | 协商启动但无法完成，日志显示中途停止 |
典型使用场景
- 小型分支无公网地址：设备挂在运营商光猫后进行端口映射
- 临时组网：设备放在已有 NAT 环境的出口内
- 云上实例：公网地址通过平台映射到实例
- 排障核对：确认映射是否覆盖全部所需端口
- 更换出口设备：确认新的映射配置与旧环境一致
静态映射示例
静态映射示例
# 静态映射思路：两个端口都要映射，且外部端口号保持一致
# 500 用于初始协商，4500 用于探测到地址转换后的通信
# 设备侧启用保活，避免映射表项被老化清除
# 华为侧对应配置按版本差异核对，参数名以实际手册为准
show crypto isakmp sa # 查看协商状态
show crypto ipsec sa # 确认是否最终建立现象与原因
| 现象 | 原因 | 处理 |
|---|---|---|
| 协商启动但未完成 | 只映射了 500，切换到 4500 后不通 | 补充 4500 的映射规则 |
| 对端报身份不匹配 | 映射后地址或端口与对端配置不一致 | 核对对端使用的地址与端口 |
| 长时间无流量后失效 | 映射表项被老化清除 | 启用保活并缩短保活间隔 |
| 单向可通 | 映射方向或协议配置不完整 | 确认映射方向与协议类型 |
判断是否走了地址转换，可以在建立成功的会话里查看对端地址与端口：端口为 4500 基本可以确认协商过程中发生了转换。
映射到与内部不同的外部端口号时，对端可能按端口匹配身份而拒绝建立，排错时应优先保证端口号一致。