IKE端口浮动
IPsec在隧道建立第一第二阶段主要进行加密方式、加密策略等信息的协商，这部分功能是通过IKE协议来实现的。 IKE协议默认端口为500，但是如果IPsec隧道传输路径上存在NAT设备，那么IKE的端口会从500浮动到4500端口，这样做最主要的目的是：
避免某些NAT设备不转换源端口为500的报文，从而导致NAT穿越失败。
因此IKE通常情况下会同时监控UDP的两个端口：500和4500。
IKE端口是否浮动
前一段时间遇到场景：隧道可以正常建立成功，但是数据不通。查了一周时间确定是由于对方设备不支持IKE端口浮动，即使在NAT穿越情况下也未进行端口浮动，依然使用了500端口。
下面是基于openswan源码整理的NAT-T相关的接口及关系：
探测是否支持NAT-T
IPsec的隧道的发起方会在第一阶段的第一个报文中将本端支持的NAT-T标准以负载VID的方式发送到对端，在openswan源码中VID与NAT-T类型对应关系如下：
| 序号 | VID类型 | 对应的数值 | NAT-T类型 | 支持端口浮动 |
|---|---|---|---|---|
| 1 | VID_NATT_IETF_00 | 105 | NAT_TRAVERSAL_IETF_00_01 | 否 |
| 2 | VID_NATT_IETF_02_N | 106 | NAT_TRAVERSAL_IETF_02_03 | 是 |
| 3 | VID_NATT_IETF_02 | 107 | NAT_TRAVERSAL_IETF_02_03 | 是 |
| 4 | VID_NATT_IETF_03 | 108 | NAT_TRAVERSAL_IETF_02_03 | 是 |
| 5 | VID_NATT_RFC | 109 | NAT_TRAVERSAL_RFC | 是 |
对端根据接收到的标准（一般包含多个）中选择其中一个VID作为NAT-T的类型，而VID选择的依据便是**“选择数值大的标准”**，也就是上表中的VID_XXX的优先级随着数值增加而依次递增：VID_NATT_RFC > VID_NATT_IETF_03 > VID_NATT_IETF_02 > VID_NATT_IETF_02_N > VID_NATT_IETF_00。
探测路径上是否存在NAT设备
在主模式下，NAT设备的探测是在第三四个报文中通过NAT-D来探测的，探测的方式就计算本端IP地址和端口的HASH1值和对端IP地址和端口的HASH2值，然后将这两个哈希值同时以NAT-D负载的方式发送给对方设备，对方收到后通过计算接收到的报文中源和目的的IP地址和端口的哈希值与NAT-D负载中的哈希值进行比较：
判断依据：
- 计算对端的IP地址和端口的哈希值hash1, 然后与报文中NAT-D中对端计算的哈希值HASH1进行比较，如果不同，说明对端的IP地址或者端口发生了变化，因此对端设备是位于NAT设备之后的。
- 计算本端的IP地址和端口的哈希值hash2, 然后和报文中NAT-D负载中对端的计算结果HASH2进行比较，如果不同，则说明本端的IP地址或者端口发生了变化，因此本端设备是位于NAT设备之后的。
- 由于响应端在第三个报文时便可以知道链路上的NAT情况，但是发送端还不清楚，因此响应端需要将本端和对端的哈希值计算后填充到第四个报文的NAT-D负载中发送给发起端。
openswan源码说明
在openswan源码中，NAT-T的类型（包括选用的NAT-T标准, NAT情况）存储在st->hidden_variables.st_nat_traversal之中，用位来表示（高31—- 低0）： 其中：
| NAT-T类型（标准） | st_nat_traversal中的位 |
|---|---|
| NAT_TRAVERSAL_IETF_00_01 | 第1位 |
| NAT_TRAVERSAL_IETF_02_03 | 第2位 |
| NAT_TRAVERSAL_RFC | 第3位 |
| 对端设备NAT | 第31位 |
| 本端设备NAT | 第30位 |
IKE端口浮动几个疑问
IKE端口浮动的原因
端口浮动的原因在于有些NAT设备对于500端口的报文不做NAT转换，从而导致NAT穿越失败。至于都包括哪些设备，暂不清楚。因此将端口浮动到4500后，方便NAT设备进行映射转换，从而实现NAT-T穿越。
IKE端口浮动是必须的吗？
首先说明，端口浮动不是必须的，但是现在通常情况下是进行端口浮动的：即如果有NAT-T存在，则IKE端口会从500切换到4500。
IKE端口浮动一定是浮动到4500吗？
IKE端口浮动肯定是将端口由500浮动到4500的（包括源端口和目的端口），但是中间的NAT设备如果支持端口映射的话，那么一般是将源端口做一个映射, 源端口做映射对于IPSEC影响并不大，但是要求IPsec能够响应来自任意端口的报文（下图中的X便是经过NAPT映射后的IPsec报文）。NAT设备做端口映射的目的主要为了为了实现多路分解和复用。
