这是一个创建于 1062 天前的主题，其中的信息可能已经有所发展或是发生改变。
网络拓扑是:
LAN PC1/PC2 ---家庭路由器----Internet----IPSec server
假设路由器有公网 IP 。
LAN PC1 和 PC2 都连接*相同*的 IPsec server.当 IPsec SA 建立成功后，因为 ESP 是三层协议，不像 tcp/udp
那样有端口。那么家庭路由器对从 IPsec server 发往 PC1 或者 PC2 的包是怎样进行 nat 转换的呢?依据是什么？
ESP 包中的 SPI ？如果 SPI 相同呢？
楼主多年前研究过一段时间 IPSec ，但好多东西忘了。最近突然想到这个问题。有点困惑了。
LAN PC1/PC2 ---家庭路由器----Internet----IPSec server
假设路由器有公网 IP 。
LAN PC1 和 PC2 都连接*相同*的 IPsec server.当 IPsec SA 建立成功后，因为 ESP 是三层协议，不像 tcp/udp
那样有端口。那么家庭路由器对从 IPsec server 发往 PC1 或者 PC2 的包是怎样进行 nat 转换的呢?依据是什么？
ESP 包中的 SPI ？如果 SPI 相同呢？
楼主多年前研究过一段时间 IPSec ，但好多东西忘了。最近突然想到这个问题。有点困惑了。
 | 1 hzdrro 2023 年 3 月 14 日 NAT-T ，会有 UDP 头 |
 | 2 huangya OP @hzdrro 你是说 server 发给 PC1 和 PC2 的 ESP 包会加上 UDP 头吗？如果是： 1. 这个加 UDP 头，是在协商阶段定的吗？也就是怎么决定或者探测是否要加 UDP 头？ 2.从 PC1/PC2 发往 server 的时候，也加了吧？ |
| 3 hzdrro 2023 年 3 月 14 日  1 |
 | 4 folnet 2023 年 3 月 14 日 协商的时候通过 NAT-D 检测，主要就是通过对 ip 和端口进行 hash 判断有没有 NAT 。检测到 NAT ，后续协商报文和实际封装使用 UDP 4500 |
| 5 huangya OP |
Select Language