IPSecNAT穿越原理

　　在IPSec VPN部署中，如果发起者位于私网内部（如下图FW_C），而它希望与FW_A之间直接建立一条IPSec隧道，这种情况下NAT会对部署IPSec VPN网络造成障碍。
　　PC2发业务报文给PC1，IPSec先对IP包头或端口信息进行验证，报文到达NAT设备时，IP地址或端口号会被转换，报文到达FW_A的时候，FW_A进行IPSec数据包的验证，下面分别看一下IPSec使用 AH 和 ESP 两种安全协议时报文能否通过。 AH 协议：因为 AH 对数据进行完整性检查，会对包括 IP 地址在内的整个IP 包进行Hash运算。而NAT改变 IP 地址，从而破坏 AH 的 Hash 值。 因此 AH 报文无法通过 NAT 网关。 ESP 协议：ESP 对数据进行完整性检查，不包括外部的 IP 头， IP 地址转换不会破坏 ESP 的 Hash 值。但 ESP 报文中 TCP 的端口已经加密无法修改，那么NAT设备读不到端口号，不能进行正常的地址转换。
　　为了解决这个问题，必须在建立 IPSec 隧道的两个网关上同时开启 NAT 穿越功能（对应命令行 nat traversal）。开启 NAT 穿越功能后，当需要穿越 NAT 设备时， ESP 报文会被封装在一个 UDP 头中，源和目的端口号均是 4500。有了这个 UDP 头就可以正常进行转换。
　　NAT设备对于私网用户来说是不可见的，这里就有个问题，网络设备怎么知道是否有NAT的存在，什么时候该添加UDP报头，什么时候不该添加?
　　IPSec一般要先经过IKE协商，交互密钥之后才发送数据。NAT-T(NAT Traversal)技术在IKE协商阶段通过某种机制来发现是否有NAT的存在。有NAT存在的时候添加UDP报头，没有NAT的时候就不添加。
　　下面分别介绍一下采用 IKEv1 和 IKEv2 时是如何进行 NAT 穿越。
　　IKEv1 协商 NAT 穿越 开启  NAT 穿越时，  IKEv1 协商第一阶段的前两个消息会发送标识  NAT 穿越（ NAT Traversal，简称  NAT-T）能力的  Vendor ID 载荷（主模式和野蛮模式都是）。用于检查通信双方是否支持  NAT-T。 当双方都在各自的消息中包含了该载荷时，才会进行相关的 NAT-T 协商。
　　主模式消息 3 和消息 4（野蛮模式消息 2 和消息 3）中发送 NAT-D（NAT Discovery）载荷。NAT-D 载荷用于探测两个要建立 IPSec 隧道的网关之间是否存在 NAT 网关以及 NAT网关的位置。
　　通过协商双方向对端发送源和目的的 IP 地址与端口的 Hash 值，就可以检测到地址和端口在传输过程中是否发生变化。若协商双方计算出来的 Hash 值与它收到的 Hash 值一样，则表示它们之间没有 NAT。否则，则说明传输过程中对 IP 或端口进行了 NAT 转换。第一个 NAT-D 载荷为对端 IP 和端口的 Hash 值，第二个 NAT-D 载荷为本端 IP 和端口的 Hash。
　　发现 NAT 网关后，后续 ISAKMP 消息（主模式从消息 5、野蛮模式从消息 3 开始）的端口号转换为 4500。ISAKMP 报文标识了＂Non-ESP Marker＂。
　　在第二阶段会启用 NAT 穿越协商。在 IKE 中增加了两种 IPSec 报文封装模式：UDP 封装 隧 道 模 式 报 文 （ UDP-Encapsulated-Tunnel ） 和 UDP 封 装 传 输 模 式 报 文（UDP-Encapsulated-Transport）。通过为 ESP 报文封装 UDP 头，当封装后的报文通过NAT 设备时， NAT 设备对该报文的外层 IP 头和增加的 UDP 头进行地址和端口号转换。UDP 报文端口号修改为 4500。
　　IKEv2 协商 NAT 穿越 开启  NAT 穿越后，  IKE 的发起者和响应者都在  IKE_SA_INIT 消息对中包含类型为N AT_DETECTION_SOURCE_IP 和  NAT_DETECTION_DESTINATION_IP 的通知载荷。这两个通知载荷用于检测在将要建立  IPSec 隧道的两个网关之间是否存在  NAT，哪个网关位于  NAT 之后。如果接收到的  NAT_DETECTION_SOURCE 通知载荷没有匹配数据包  IP 头中的源  IP 和端口的  Hash 值，则说明对端位于  NAT 网关后面。如果接收到的 AT_DETECTION_DESTINATION_IP 通知载荷没有匹配数据包  IP 头中的目的  IP 和端口的  Hash 值，则意味着本端位于  NAT 网关之后。
　　检测到 NAT 网关后，从 IKE_AUTH 消息对开始 ISAKMP 报文端口号改为 4500。报文标识＂Non-ESP Marker＂。
　　IKEv2 中也使用 UDP 封装 ESP 报文，当封装后的报文通过 NAT 设备时， NAT 设备对该报文的外层 IP 头和增加的 UDP 头进行地址和端口号转换。UDP 报文端口号修改为 4500。