IPsec VPN60 条

NAT 端口映射下 IKE 的注意点

设备在 NAT 后做静态端口映射时：UDP 500 与 4500 都能映射到设备；探测到 NAT-T 后协商会切到 4500，只映射 500 会中途失败。

BGP 与广域网速查网络更新于 2026-10-12

映射要求	500 与 4500 一并映射且保持端口号
原因	NAT-T 检测后协商迁移到 UDP 4500
保活	映射侧启用 NAT 保活维持表项
身份	对端按映射后公网地址匹配身份

静态映射示例

# 静态 PAT 思路
ip nat inside source static udp 10.0.0.5 500 203.0.113.1 500
ip nat inside source static udp 10.0.0.5 4500 203.0.113.1 4500
!
# 设备侧保活
crypto isakmp nat keepalive 20

易错点

只映射 500：协商中途切换到 4500 后中断
映射到不同外部端口：对端身份匹配失败

数据来源与参考

RFC 3947: NAT 探测
RFC 3948: UDP 封装 ESP

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌