IPsec NAT穿越

        IPsec支持NAT穿越特性，使得IPsec数据报文能穿越网络中的NAT设备。IPsec要实现NAT穿越，有3个步骤需要完成。

        （1）判断双方通信实体是否支持NAT穿越，在主模式消息1和消息2完成。Vender ID用来标识的NAT支持信息，如下方抓包所示。

        消息1：HDR，SA，VID

        消息2：HSR，SA，VID

        （2）检测双发通信链路上是否存在NAT设备。

        （3）最后决定如何使用UDP封装处理NAT穿越，在主模式消息3和消息4完成。

        消息3：HDR，XCHi，SIGi，NAT_D，NAT_D

        消息4：HDR，XCHr，SIGr，NAT_D，NAT_D

        NAT穿越完成建立后，IPsec数据报文将会发送到修改后的端口，即从UDP500端口修改为UDP4500端口。另外，IPsec的NAT穿越特性只能工作在ESP封装协议中，AH无法支持NAT穿越。

        如下抓包数据，IP头中protocol为UDP，不是AH或ESP。UDP端口为4500，在UDP头之后是认证和加密保护的ESP封装数据。