有關windows Gateway Ipsec 和NAT 相容性問題

標籤：nat ipsec tunnel

1、簡單通訊拓撲：

 將Windows 平台 作為一個網關，同時開啟IPsec 和NAT來支援private和public的通訊。

注意：IPSEC Gateway  和 Client1 Ipsec 之間沒有存在NAT ，否則是另外一種情況，和本文描述無關。本文只是工作筆記，不代表任何官方聲明。

2、現象描述：

       a. Enable NAT,but  Disbale Ipsec .   

           ping from 11.11.11.45  to 10.10.10.20              OK!

       b. Enable Ipsec Tunnel ,Disable NAT

          ping from 11.11.11.45  to 10.10.10.20             OK!

       c. Enable NAT and ipsec tunnel

          ping from 11.11.11.45 to 10.10.10.20             fail.

 

       收到這個bug的時候，我以為是客戶網路存在問題。因為 NAT 和Ipsec 都是非常成熟的module。但是這個bug確實被我重現了，所以開始了大量的原始碼跟蹤和調式。

3、結果：

      經過大量的程式碼分析，這是個 相容性bug。但是僅僅影響ICMP資料包。結果測試，TCP 和UDP 資料包不會收到影響，可以正常通訊。所以各位Windows 使用者注意：如果 上述網路環境，用戶端ping不同網關，並不是網路原因，除了ICMP資料外，其他協議的通訊不受影響。

4、原因簡述：

     具體原因涉及原始碼，不在闡述。