IPSEC穿透nat的典型组网和配置

IPsecNAT穿越协议

IPsecNAT穿越协议是一种用于解决IPsec（Internet Protocol Security）协议在网络地址转换（Network Address Translation，NAT）环境下遇到的问题的技术。在传统的网络环境中，NAT设备会修改IP数据包的源地址和目的地址，这会影响IPsec协议的功能和安全性。为了克服这一问题，IPsecNAT穿越协议应运而生。

1. 协议概述

IPsecNAT穿越协议是一种允许IPsec协议在NAT环境下正常运行的技术。它通过在NAT设备上进行特殊处理，使得IPsec协议能够成功建立安全连接，并确保数据的机密性和完整性。IPsecNAT穿越协议遵循IPsec协议的标准，但在NAT设备上增加了额外的功能来处理与NAT相关的问题。

2. 协议原理

IPsecNAT穿越协议的原理是通过在NAT设备的出口和入口处进行地址转换和端口映射，使得经过NAT的IPsec数据包能够正确地传递到目标主机。具体而言，IPsecNAT穿越协议使用一种称为IPsec封装（IPsec encapsulation）的技术，将原始的IPsec数据包封装在NAT设备的IP包中，并在目标主机上解封装还原，从而绕过了NAT设备对IPsec数据包的修改。

3. 协议实现 IPsecNAT穿越协议的实现需要在NAT设备上进行特殊配置和设置。首先，NAT设备需要支持IPsecNAT穿越协议，并具备相应的功能和算法。其次，NAT设备需要在NAT表中维护与IPsec会话相关的信息，以便正确地进行地址转换和端口映射。此外，NAT设备还需要对IPsec数据包进行检查和处理，确保其完整性和安全性。综上所述，IPsecNAT穿越协议的实现需要NAT设备和IPsec协议栈共同配合。

4. 协议优势

IPsecNAT穿越协议的出现，为在NAT环境下使用IPsec提供了便利和可行性。它解决了IPsec协议无法穿越NAT设备的问题，允许用户在享受IPsec安全性的同时，无需考虑NAT对IPsec数据包的影响。此外，IPsecNAT穿越协议还提供了对IPsec会话的管理和控制功能，使得NAT设备能够主动参与IPsec的建立和维护过程。

IPsec NAT穿越原理

什么是IPsec？

IPsec（Internet Protocol Security）是一种网络协议，用于在IP网络上提供安全的数据传输。它通过加密和认证机制来保护数据的完整性、机密性和身份验证。

IPsec可以在两个主机之间或两个子网之间建立安全的通信链路。它可以用于远程访问VPN（Virtual Private Network）连接、站点到站点VPN连接以及移动设备的安全通信。

为什么需要NAT穿越？

NAT（Network Address Translation）是一种网络技术，用于将私有IP地址转换为公共IP地址，以实现多个设备共享同一个公网IP地址。

然而，由于NAT会改变IP头部信息，导致加密后的数据包无法正确解析。这就给使用IPsec进行加密通信的应用程序带来了困扰。因此，需要一种方法来克服NAT对IPsec的限制，实现安全的通信。

IPsec NAT穿越原理

1. NAT Traversal

为了解决NAT对IPsec的限制问题，提出了NAT Traversal技术。NAT Traversal允许在经过NAT设备时建立和维护安全通道。

a. UDP封装

NAT Traversal使用UDP封装技术将原始的IPsec数据包封装在UDP数据包中。由于UDP是一种无连接的协议，它可以通过NAT设备传输到目标主机。

在发送IPsec数据包之前，发送方会将IPsec数据包封装在UDP数据包中，并将目的端口设置为特定的值（通常是4500）。这样，NAT设备就会将整个UDP数据包转发到目标主机。

b. NAT检测

NAT Traversal还引入了一种称为”keepalive”的机制来检测是否经过了NAT设备。当IPsec设备与对等方建立连接时，它会周期性地向对等方发送keepalive消息。

如果对等方收到了keepalive消息，则说明没有经过NAT设备。如果对等方未收到keepalive消息，则说明可能经过了NAT设备，并且需要使用UDP封装技术。 2. IKE（Internet Key Exchange）

IPSec的NAT穿越

本文档的Copyleft归yfydz所有，使用GPL发布，可以自由拷贝，转载，转载时请保持文档的完整性，严禁用于任何商业用途。

msn: yfydz_no1@

来源：

参考资料：RFC3715，3947，3948

1. 前言

IPSec提供了端到端的IP通信的安全性，但在NAT环境下对IPSec的支持有限，AH协议是肯定不能进行NAT的了，这和AH设计的理念是相违背的；ESP协议在NAT环境下最多只能有一个VPN主机能建立VPN通道，无法实现多台机器同时在NAT环境下进行ESP通信。关于IPSec在NAT环境下的需求问题在RFC3715中进行了描述。

NAT穿越(NAT Traversal，NAT-T)就是为解决这个问题而提出的，在RFC3947，3948中定义，在RFC4306中也加入了NAT-T的说明，但并没废除RFC3947，3948，只是不区分阶段1和阶段2。该方法将ESP协议包封装到UDP包中（在原ESP协议的IP包头外添加新的IP头和UDP头），使之可以在NAT环境下使用的一种方法，这样在NAT的内部网中可以有多个IPSec主机建立VPN通道进行通信。

2. IKE协商使用UDP封装

RFC3947主要描述如何检测是否存在NAT设备，并如何在IKE中协商使用UDP来封装IPSec数据包。

2.1 检测

功能是检测通信中是否存在NAT设备和对方是否支持NAT-T。

正常的IKE协商使用的UDP包的源和目的端口都是500，如果存在NAT设备，大多数情况下该UDP包的源端口部分会改变，只有少数情况不改。接收方如果发现UDP源端口不是500，那可以确定数据是经过了NAT设备。另外，确定NAT的位置也是重要的，在检测对方失效（DPD）时，应该尽量由在NAT设备后面的一方主动进行DPD探测，而从另一方探测有可能会失败。

检测对方是否支持NAT-T是通过交换vendor ID载荷来实现的，如果自身支持NAT-T，在IKE开始交互就要发送这种载荷，载荷内容是“RFC 3947”的MD5值，也就是十六进制的“4a131c81070358455c5728f20e95452f”。

IPSec与NAT兼容性问题的研究

摘 要：网络地址转换技术 (NAT) 与IPSec在因特网上都是得到广泛应用的技术，但是它们之间却是不兼容的。分析了两者的不兼容性，讨论了解决该问题必须满足的要求，给出了利用UDP封装实现NAT透明穿透的解决方案。

关键词：IPSec;NAT;IKE;传输模式;隧道模式;UDP封装

0 引言

基于IP技术的虚拟专用网（Virtual Professional Network，简称VPN）是通过Internet平台将局域网扩展到远程网络和远程计算机用户的一种成本效益极佳的方法。随着网络安全技术的飞快发展，越来越多大型企业利用互联网采用IPSec技术建立VPN网络，IPSec已逐 渐成为VPN构建的主流技术。IP安全协议（IP

Security Protocol，简称IPSec）是由互联网工程工业组 （Internet

Engineering Task Force，简称IETF）1998年底规划并制定的网络IP层标准。IPSec不仅可以为IP 协议层以上所有的高层协议和应用提供一致性的安全保护，而且除了可用于IPv4之外，也可用于下一代IP协议IPv6。

NAT（Network Address Translation）技术通过改变进出内部网络的IP数据包的源和目的地址，把无效的内部网络地址翻译

成合法的IP地址在Internet上使用。该技术一方面可以把私有IP地址隐藏起来，使外界无法直接访问内部网络，对内部网络起到保护作用；另一方面， 它可以缓解由于IPv4先天设计上的不足，而导致的IP地址严重短缺的现状。

但是，被广泛使用的网络地址转换（NAT）设备却制约着 基于IPSec技术的VPN的发展，这是因为IPSec协议在VPN中承担保护传输数据的安全性任务。在数据传输过程中，任何对IP地址及传输标志 符的修改，都被视作对该协议的违背，并导致数据包不能通过安全检查而被丢弃。但在VPN中运用NAT技术，则不可避免地要将私网地址映射为公网地址，即 对IP地址要进行修改。因此，在VPN网络中如何使IPSec和NAT协同工作，实现NAT的透明穿透具有现实意义。