| 服务 | isakmp（IKEv1 / IKEv2） |
|---|---|
| 协议 | UDP（NAT-T 使用 4500/udp） |
| 规范 | RFC 7296（IKEv2） |
| 用途 | IPsec VPN 隧道协商 |
两台网关通过 500/udp 完成身份认证（预共享密钥或证书）与参数协商，再建立 ESP/AH 数据通道；端口本身不承载业务流量。
排查要点
| 现象 | 说明 |
|---|---|
| 协商不通 | 检查 500/udp 与 4500/udp 是否同时放行，NAT 后需 NAT-T |
| 认证失败 | 预共享密钥不一致、证书链错误或 ID 类型不匹配 |
| 扫描噪音 | 公网暴露 500 会被 VPN 扫描器持续探测，属正常现象 |
探测对端 IKE 响应并查看本机 SA（需安装 ike-scan / strongSwan）
探测对端 IKE 响应并查看本机 SA（需安装 ike-scan / strongSwan）
ike-scan 203.0.113.10
ipsec statusall弱预共享密钥可被离线爆破（Aggressive Mode 尤其危险）；生产应使用证书认证并关闭 Aggressive Mode。