我正在尝试在 Cisco ASA 和 Mikrotik 路由器（位于 DMZ 模式下的 Fritzbox 后面）之间建立 IPSec VPN 连接。我认为一切都设置正确，除了 Cisco 上缺少 NAT-T。
在 Mikrotik 上，您可以为每个对等方启用 NAT-T，但在 Cisco 上，它是全局的。在那里启用 NAT-T 会破坏其他活动隧道吗？或者如果 IPSec 需要穿越 NAT/DMZ 设备，它只是一种检测机制？
Cisco ASA 上的 NAT-T 遍历
网络工程
思科-ASA
纳特
ipsec
2022-03-02 08:40:13
3个回答
NAT Traversal 执行两项任务：
- 检测两端是否支持 NAT-T
- 沿传输路径检测 NAT 设备（NAT-Discovery）
如果启用了 NAT-T 并且客户端位于 NAT 之后，则使用 NAT-T
不存在 NAT，则使用本机 IPsec (ESP)
所以不会影响你当前的隧道。
在 Cisco 路由器/防火墙上启用 NAT-Traversal 只会启用路径中 NAT 设备的检测（如果另一端也支持并启用了 NAT-T）。
它不会改变或影响其他隧道打开它。如果他们之前能够构建（禁用 NAT-T），那么路径中没有 NAT 设备，NAT-T 会检测到这一点，不会导致协商和隧道传输发生任何变化。
要了解更多信息，我在这篇文章中写了关于 NAT-T 的文章。
虽然启用 nat-t 是全局命令，但您可以在每个 VPN 的基础上禁用 NAT-T，在加密映射条目上：
EX：加密映射 outside_map 5 设置 nat-t-disable
但无论如何启用 nat-t 根本不会影响您的其他隧道。
NAT-T 功能将允许 ASA 检测 NAT 后面的设备，并将使用 UDP 端口 4500 而不是 UDP 500。
当前不在 nat 设备后面的对等点将像往常一样使用 UDP 端口 500 工作。
其它你可能感兴趣的问题