| 不过 NAT | ESP（协议 50）可直接传输 |
|---|---|
| 过 NAT | 启用 NAT-T，ESP 装入 UDP 4500 |
| 放行要求 | 中间设备放行 UDP 500 与 4500（或 ESP） |
| Cisco 默认 | 现代 IOS 默认启用 NAT-T |
观察与保活
观察与保活
show crypto ipsec sa | include NAT|nat
crypto isakmp nat keepalive 20
!
# 抓包确认封装形态
tcpdump -ni eth0 'udp port 4500' -c 20IPsec 与 NAT 的处理顺序
加密与地址转换谁先谁后决定是否需要 NAT-T：ESP 不携带端口信息，PAT 无法转换协议 50，穿越 NAT 时封装为 UDP 4500。
易错点
- 两端都在 NAT 后且未启用 NAT-T：IKE 起、ESP 不通
- 中间设备只放行 UDP 500 未放行 4500：协商到一半失败
数据来源与参考
- RFC 3948: UDP 封装 ESP
- Cisco: NAT-T 配置