NAT-T下的端口浮动

1. IKE端口浮动

IPsec在隧道建立第一第二阶段主要进行加密方式、加密策略等信息的协商，这部分功能是通过IKE协议来实现的。
IKE协议默认端口为500，但是如果IPsec隧道传输路径上存在NAT设备，那么IKE的端口会从500浮动到4500端口，这样做最主要的目的是：

避免某些NAT设备不转换源端口为500的报文，从而导致NAT穿越失败。

因此IKE通常情况下会同时监控UDP的两个端口：500和4500。

2. IKE端口是否浮动

前一段时间遇到场景：隧道可以正常建立成功，但是数据不通。查了一周时间确定是由于对方设备不支持IKE端口浮动，即使在NAT穿越情况下也未进行端口浮动，依然使用了500端口。
下面是基于openswan源码整理的NAT-T相关的接口及关系：

2.1 探测是否支持NAT-T

IPsec的隧道的发起方会在第一阶段的第一个报文中将本端支持的NAT-T标准以负载VID的方式发送到对端，在openswan源码中VID与NAT-T类型对应关系如下：

序号	VID类型	对应的数值	NAT-T类型	支持端口浮动
1	VID_NATT_IETF_00	105	NAT_TRAVERSAL_IETF_00_01	否
2	VID_NATT_IETF_02_N	106	NAT_TRAVERSAL_IETF_02_03	是
3	VID_NATT_IETF_02	107	NAT_TRAVERSAL_IETF_02_03	是
4	VID_NATT_IETF_03	108	NAT_TRAVERSAL_IETF_02_03	是
5	VID_NATT_RFC	109	NAT_TRAVERSAL_RFC	是

对端根据接收到的标准（一般包含多个）中选择其中一个VID作为NAT-T的类型，而VID选择的依据便是**“选择数值大的标准”**，也就是上表中的VID_XXX的优先级随着数值增加而依次递增：VID_NATT_RFC > VID_NATT_IETF_03 > VID_NATT_IETF_02 > VID_NATT_IETF_02_N > VID_NATT_IETF_00。

2.2 探测路径上是否存在NAT设备

在主模式下，NAT设备的探测是在第三四个报文中通过NAT-D来探测的，探测的方式就计算本端IP地址和端口的HASH1值和对端IP地址和端口的HASH2值，然后将这两个哈希值同时以NAT-D负载的方式发送给对方设备，对方收到后通过计算接收到的报文中源和目的的IP地址和端口的哈希值与NAT-D负载中的哈希值进行比较：

判断依据：

• 计算对端的IP地址和端口的哈希值hash1, 然后与报文中NAT-D中对端计算的哈希值HASH1进行比较，如果不同，说明对端的IP地址或者端口发生了变化，因此对端设备是位于NAT设备之后的。
• 计算本端的IP地址和端口的哈希值hash2, 然后和报文中NAT-D负载中对端的计算结果HASH2进行比较，如果不同，则说明本端的IP地址或者端口发生了变化，因此本端设备是位于NAT设备之后的。
• 由于响应端在第三个报文时便可以知道链路上的NAT情况，但是发送端还不清楚，因此响应端需要将本端和对端的哈希值计算后填充到第四个报文的NAT-D负载中发送给发起端。
  

2.3 openswan源码说明

在openswan源码中，NAT-T的类型（包括选用的NAT-T标准, NAT情况）存储在st->hidden_variables.st_nat_traversal之中，用位来表示（高31---- 低0）：
其中：

NAT-T类型（标准）	st_nat_traversal中的位
NAT_TRAVERSAL_IETF_00_01	第1位
NAT_TRAVERSAL_IETF_02_03	第2位
NAT_TRAVERSAL_RFC	第3位
对端设备NAT	第31位
本端设备NAT	第30位

3. IKE端口浮动几个疑问

3.1 IKE端口浮动的原因

端口浮动的原因在于有些NAT设备对于500端口的报文不做NAT转换，从而导致NAT穿越失败。至于都包括哪些设备，暂不清楚。因此将端口浮动到4500后，方便NAT设备进行映射转换，从而实现NAT-T穿越。

3.2 IKE端口浮动是必须的吗？

首先说明，端口浮动不是必须的，但是现在通常情况下是进行端口浮动的：即如果有NAT-T存在，则IKE端口会从500切换到4500。

3.3 IKE端口浮动一定是浮动到4500吗？

IKE端口浮动肯定是将端口由500浮动到4500的（包括源端口和目的端口），但是中间的NAT设备如果支持端口映射的话，那么一般是将源端口做一个映射, 源端口做映射对于IPSEC影响并不大，但是要求IPsec能够响应来自任意端口的报文（下图中的X便是经过NAPT映射后的IPsec报文）。NAT设备做端口映射的目的主要为了为了实现多路分解和复用。