IPsec NAT穿越原理
什么是IPsec？
IPsec（Internet Protocol Security）是一种网络协议，用于在IP网络上提供安全的数据传输。

它通过加密和认证机制来保护数据的完整性、机密性和身份验证。

IPsec可以在两个主机之间或两个子网之间建立安全的通信链路。

它可以用于远程访问VPN（Virtual Private Network）连接、站点到站点VPN连接以及移动设备的安全通信。

为什么需要NAT穿越？
NAT（Network Address Translation）是一种网络技术，用于将私有IP地址转换为公共IP地址，以实现多个设备共享同一个公网IP地址。

然而，由于NAT会改变IP头部信息，导致加密后的数据包无法正确解析。

这就给使用IPsec进行加密通信的应用程序带来了困扰。

因此，需要一种方法来克服NAT 对IPsec的限制，实现安全的通信。

IPsec NAT穿越原理
1. NAT Traversal
为了解决NAT对IPsec的限制问题，提出了NAT Traversal技术。

NAT Traversal 允许在经过NAT设备时建立和维护安全通道。

a. UDP封装
NAT Traversal使用UDP封装技术将原始的IPsec数据包封装在UDP数据包中。

由于UDP是一种无连接的协议，它可以通过NAT设备传输到目标主机。

在发送IPsec数据包之前，发送方会将IPsec数据包封装在UDP数据包中，并将目的端口设置为特定的值（通常是4500）。

这样，NAT设备就会将整个UDP数据包转发到目标主机。

b. NAT检测
NAT Traversal还引入了一种称为”keepalive”的机制来检测是否经过了NAT设备。

当IPsec设备与对等方建立连接时，它会周期性地向对等方发送keepalive消息。

如果对等方收到了keepalive消息，则说明没有经过NAT设备。

如果对等方未收到keepalive消息，则说明可能经过了NAT设备，并且需要使用UDP封装技术。

2. IKE（Internet Key Exchange）
IKE是用于建立和管理IPsec安全通道的协议。

它定义了双方之间交换密钥和认证
信息的过程。

a. NAT探测
在IKE协商过程中，发起方会发送一个特殊的IKE报文（称为IKEv1的ISAKMP报
文或IKEv2的IKE_SA_INIT报文）来检测是否经过了NAT设备。

如果发起方未收到回复，则说明可能经过了NAT设备，并且需要使用NAT
Traversal技术进行通信。

发起方将在IKE报文中携带NAT Traversal相关的信息，以便对等方进行相应的处理。

b. NAT-OA（NAT Original Address）
在IKE协商过程中，如果发现需要使用NAT Traversal技术，则会通过NAT-OA字
段告知对等方自己的原始IP地址和端口号。

对等方收到NAT-OA字段后，会将其用于构建UDP封装数据包，并将其发送回发起方。

这样，双方就可以建立基于UDP封装的安全通道。

3. ESP（Encapsulating Security Payload）
ESP是一种IPsec协议，用于提供数据加密和完整性校验。

它对IP数据包进行封
装和解封装操作。

a. UDP封装
在ESP协议中，如果需要使用UDP封装技术，则会将ESP封装在UDP数据包中进行传输。

接收方会先解析UDP头部，然后再解析ESP头部，最后才能获取到原始的
IP数据包。

这样，在经过NAT设备时，NAT设备只会修改UDP头部信息，并不会影响到ESP头
部和原始的IP数据包。

因此，可以确保安全通道的完整性和机密性。

4. PAT（Port Address Translation）
PAT是一种NAT技术，用于将多个私有IP地址映射到一个公共IP地址和端口号上。

它可以实现更多的设备共享同一个公网IP地址。

a. UDP封装
对于PAT设备，由于多个设备共享同一个公网IP地址和端口号，因此需要使用不
同的端口号来区分不同的设备。

在UDP封装技术中，发送方会将目的端口设置为特定的值（通常是4500）。

NAT设备会将目的端口替换为可用的端口号，并记录映射关系。

接收方收到UDP数据包后，会根据目的端口号找到正确的映射关系，并将数据包解析出来。

5. NAT穿越流程
综上所述，IPsec NAT穿越的基本原理如下：
1.发起方发送IKE报文进行NAT探测。

2.如果需要使用NAT Traversal技术，则发起方发送带有NAT-OA字段的IKE
报文。

3.对等方收到带有NAT-OA字段的IKE报文后，构建UDP封装数据包并发送回
发起方。

4.发起方收到UDP封装数据包后，解析UDP头部和ESP头部，并获取原始的
IP数据包。

5.发起方将IP数据包封装在UDP数据包中，并设置目的端口为特定值
（4500）。

6.NAT设备根据PAT或者NAPT规则修改源IP地址、源端口号和目标端口号，
并记录映射关系。

7.接收方收到UDP数据包后，根据目的端口号找到正确的映射关系，并解析出
IP数据包。

8.接收方对IP数据包进行解密和认证，确保通信的完整性和机密性。

通过以上步骤，IPsec可以成功穿越NAT设备，建立安全的通信链路。

总结
IPsec NAT穿越通过使用UDP封装技术、NAT探测和NAT-OA字段等机制，克服了NAT对IPsec的限制。

它允许在经过NAT设备时建立和维护安全通道，确保数据的
完整性、机密性和身份验证。

这对于远程访问VPN连接、站点到站点VPN连接以及移动设备的安全通信非常重要。