IPsec 和 NAT 的冲突问题详解

背景

IPsec 协议可以用来在 IP 层提供校验和加密等安全特性。基于 IPsec 的 VPN 已经成为 site-site 模式下高可靠连通方案的首选。

NAT 最初是为了解决地址不足的问题，它将 NAT 网关后的实际地址隐藏起来，对外呈现一个外部地址，通常包括基于地址的映射（设备负责将内外地址进行对应和替换）和基于端口（通常外部为同一地址，根据到达端口的不同替换为内部不同的地址和端口）的映射。

两者都是常见的网络技术，然而当 IPsec 处理位于 NAT 处理后工作的时候往往会产生冲突。

IPsec