V2EX = way to explore
V2EX 是一个关于分享和探索的地方
Sign Up Now
For Existing Member Sign In
This topic created in 1143 days ago, the information mentioned may be changed or developed.
网络拓扑是:
LAN PC1/PC2 ---家庭路由器----Internet----IPSec server
假设路由器有公网 IP 。
LAN PC1 和 PC2 都连接*相同*的 IPsec server.当 IPsec SA 建立成功后，因为 ESP 是三层协议，不像 tcp/udp
那样有端口。那么家庭路由器对从 IPsec server 发往 PC1 或者 PC2 的包是怎样进行 nat 转换的呢?依据是什么？
ESP 包中的 SPI ？如果 SPI 相同呢？
楼主多年前研究过一段时间 IPSec ，但好多东西忘了。最近突然想到这个问题。有点困惑了。
LAN PC1/PC2 ---家庭路由器----Internet----IPSec server
假设路由器有公网 IP 。
LAN PC1 和 PC2 都连接*相同*的 IPsec server.当 IPsec SA 建立成功后，因为 ESP 是三层协议，不像 tcp/udp
那样有端口。那么家庭路由器对从 IPsec server 发往 PC1 或者 PC2 的包是怎样进行 nat 转换的呢?依据是什么？
ESP 包中的 SPI ？如果 SPI 相同呢？
楼主多年前研究过一段时间 IPSec ，但好多东西忘了。最近突然想到这个问题。有点困惑了。
 |
1
hzdrro Mar 14, 2023
NAT-T ，会有 UDP 头
|
 |
2
huangya OP @hzdrro
你是说 server 发给 PC1 和 PC2 的 ESP 包会加上 UDP 头吗？如果是： 1. 这个加 UDP 头，是在协商阶段定的吗？也就是怎么决定或者探测是否要加 UDP 头？ 2.从 PC1/PC2 发往 server 的时候，也加了吧？ |
|
3
hzdrro Mar 14, 2023  1
|
 |
4
folnet Mar 14, 2023
协商的时候通过 NAT-D 检测，主要就是通过对 ip 和端口进行 hash 判断有没有 NAT 。检测到 NAT ，后续协商报文和实际封装使用 UDP 4500
|
Select Language