CCIE-IPsec数据穿越NAT

2021.9.2   明媚如初，春有暖阳

---

NAT 对于 IPSec 的影响

使用AH 封装数据包的影响 :

如果IPSec 使用AH 来封装数据包并且通过NAT 设备 , AH 都 会认证整个数据包 , 包含了所有包头 .

NAT 设备一定会修改最外层包头的地址 , 因此导致接收方在 进行认证的时候会出现Hash 结果无法匹配的结果 , 从而导致 认证失败并且丢包 .

因此AH封装的数据包是不可能经过NAT 设备的 .

使用 ESP 封装数据包的影响 :

如果IPSec 使用ESP 来封装数据包并且通过NAT 设备 , ESP 的认证都不包含最外层包头 .

NAT 设备转换地址仅仅针对最外层包头 , 因此不会影响 到ESP 的认证 .

因此ESP 封装的数据包是可以经过NAT 设备的 .

---

NAT 几种类型对于 IP