什么时候 IPsec 隧道是 NAT-T 的真正候选者（什么时候绝对需要？）？

Question

我在建立从站点端点到供应商的 IPsec 隧道的第 1 阶段一直存在问题。

这是一个有点奇怪的配置，我不确定是否必须启用NAT-T才能使其工作。

• 我的接口IP是192.168.100.1。

• IPsec 数据包的源 IP 为 192.168.100.5。

• IPsec 数据包在穿越“云”时的源 IP 是公共地址。

  == 两次 IPsec 数据包经过 NAT

目前还不清楚（不幸的是我看不到），看看防火墙是否真的在对数据包进行 NAT，或者在生成数据包时实际分配源地址。[是的，我真的看不出来]

在什么情况下，IPsec 隧道需要NAT-T才能建立？

在上述情况下是否需要？

我希望进行测试，但供应商很抗拒。

谢谢，

马特

Answer 1

在这种情况下需要 NAT-T，因为您使用的是 NAT。如果未使用 NAT-T，则 IPSec 数据包在 NAT 过程中会在传输过程中被修改，从而使它们无效。使用 NAT-T 时，IPSec 数据包被封装在 UDP 数据包中，保留原始数据包。