| 检测 | IKE 交换中通过 NAT-D 判断路径是否存在 NAT |
|---|---|
| 封装 | UDP 4500 承载 ESP |
| 保活 | Cisco: crypto isakmp nat keepalive <秒> |
| 防火墙 | 放行 UDP 500 与 UDP 4500 |
Keepalive 配置
Keepalive 配置
crypto isakmp nat keepalive 20
!
show crypto ipsec sa | include NAT|local|remoteNAT-T：NAT 环境下的 ESP 封装
检测到 NAT 时 ESP 改用 UDP 4500 封装：检测基于 NAT-D 载荷；Keepalive 用于维持 NAT 映射表项，细腰 NAT 设备尤其需要。
易错点
- NAT 映射老化快而保活未配：隧道周期性中断
- 只放行 UDP 500：NAT-T 建立后流量走 4500，被拦截则不通
数据来源与参考
- RFC 3947: NAT-T 协商
- RFC 3948: UDP 封装 ESP