| DPD | 按周期探测，连续失败认定对端失效 |
|---|---|
| NAT 保活 | 周期发小包维持地址转换表项 |
| 典型值 | DPD 10 秒 3 次；NAT 保活 20 秒 |
| 联动 | DPD 失效后由路由协议或备份隧道接管 |
Cisco 配置
Cisco 配置
crypto isakmp keepalive 10 3
crypto isakmp nat keepalive 20
# IKEv2
crypto ikev2 dpd 10 3 on-demand
show crypto ikev2 sa detailDPD 与 NAT-T 保活：两种定时器别混用
DPD 检测对端是否存活并触发邻居/路由切换；NAT-T 保活只为维持转换表项不过期，不用于故障检测。两者周期与目的都不同。
易错点
- 把 NAT 保活当 DPD 用：对端静默宕机也不会触发切换
- DPD 周期过短：大规模隧道下探测流量与开销上升
数据来源与参考
- RFC 3706: DPD
- Cisco: keepalive 配置