这是一个创建于 620 天前的主题，其中的信息可能已经有所发展或是发生改变。
网络拓扑是:
LAN PC1/PC2 ---家庭路由器----Internet----IPSec server
假设路由器有公网 IP 。
LAN PC1 和 PC2 都连接*相同*的 IPsec server.当 IPsec SA 建立成功后，因为 ESP 是三层协议，不像 tcp/udp
那样有端口。那么家庭路由器对从 IPsec server 发往 PC1 或者 PC2 的包是怎样进行 nat 转换的呢?依据是什么？
ESP 包中的 SPI ？如果 SPI 相同呢？
楼主多年前研究过一段时间 IPSec ，但好多东西忘了。最近突然想到这个问题。有点困惑了。
LAN PC1/PC2 ---家庭路由器----Internet----IPSec server
假设路由器有公网 IP 。
LAN PC1 和 PC2 都连接*相同*的 IPsec server.当 IPsec SA 建立成功后，因为 ESP 是三层协议，不像 tcp/udp
那样有端口。那么家庭路由器对从 IPsec server 发往 PC1 或者 PC2 的包是怎样进行 nat 转换的呢?依据是什么？
ESP 包中的 SPI ？如果 SPI 相同呢？
楼主多年前研究过一段时间 IPSec ，但好多东西忘了。最近突然想到这个问题。有点困惑了。
 |
1
hzdrro 2023-03-14 17:57:00 +08:00
NAT-T ，会有 UDP 头
|
 |
2
huangya OP @hzdrro
你是说 server 发给 PC1 和 PC2 的 ESP 包会加上 UDP 头吗？如果是： 1. 这个加 UDP 头，是在协商阶段定的吗？也就是怎么决定或者探测是否要加 UDP 头？ 2.从 PC1/PC2 发往 server 的时候，也加了吧？ |
|
3
hzdrro 2023-03-14 18:09:22 +08:00  1
|
 |
4
folnet 2023-03-14 19:11:07 +08:00
协商的时候通过 NAT-D 检测，主要就是通过对 ip 和端口进行 hash 判断有没有 NAT 。检测到 NAT ，后续协商报文和实际封装使用 UDP 4500
|
|
5
huangya OP |
Select Language