| 服务 | IPsec NAT-Traversal（RFC 3948） |
|---|---|
| 协议 | UDP（4500；IKE 为 500） |
| 用途 | site-to-site/客户端 VPN 穿越 NAT |
| 安全等级 | 仅对端网关 |
499 与 4500 是一对：IKE 协商走 500，进入 NAT-T 后切到 4500。只放 500 的 VPN 在 NAT 后经常建立失败。
基础连通性检查
基础连通性检查
nc -zuv vpn.example.com 4500
nc -zuv vpn.example.com 500真实 IPsec 状态用 ipsec status/strongSwan 日志确认，端口通不代表 SA 建立。