При согласовании IPsec VPN туннеля наблюдаются следующие симптомы:

• Фаза 1 (IKE SA) успешно устанавливается по порту UDP 500, но Фаза 2 (Child SA / IPsec SA) обрывается с тайм-аутом.
• В системных логах strongSwan, Libreswan или Cisco ASA фиксируются ошибки: NAT-T negotiation failed, peer does not support NAT-T, NAT_TRAVERSAL_FAILED: UDP encapsulation port 4500 unreachable.
• Счетчики инкапсулированных пакетов ESP (UDP 4500) на локальном узле инкрементируются, но входящий трафик от удаленного пира равен 0.
• Периодический разрыв сессии каждые 30–60 секунд из-за отсутствия ответов на DPD (Dead Peer Detection) пакеты.

1. Архитектура проблемы и механизм NAT-Traversal (RFC 3948)

Классический протокол ESP (IP Protocol 50) не имеет концепции портов L4. При прохождении через NAT-шлюз (PAT) трансляция адресов нарушает целостность заголовков или делает невозможным демультиплексирование входящего трафика. Механизм NAT-T автоматически обнаруживает наличие трансляции адресов во время обмена NAT-Discovery (NAT-D) в Фазе 1 и переключает весь последующий трафик (включая IKE и ESP) с UDP 500 на UDP 4500, добавляя 4-байтовый Non-ESP Marker.

2. Проверка доступности портов и сетевой трассировки

Выполните захват пакетов на внешнем интерфейсе шлюза для проверки двустороннего прохождения UDP 4500:

# Захват пакетов NAT-T и IKE в реальном времени
tcpdump -nn -v -i any 'udp port 500 or udp port 4500'

Проверка сетевой доступности с удаленной стороны (генерация тестового UDP-пакета):

# Тест отправки UDP дейтаграммы на порт 4500
nc -u -v -z <REMOTE_PEER_IP> 4500

# Проверка прослушивания порта локальным стеком IPsec
ss -ulnp | grep -E ':500|:4500'

3. Отключение IPsec ALG / SIP ALG на пограничных маршрутизаторах

Шлюзы с функциями Application Layer Gateway (ALG) часто повреждают инкапсулированные пакеты IPsec. Отключите обработчики на оборудовании:

# Cisco IOS
no ip nat service ipsec-esp
no ip nat service sip-udp port 5060

# MikroTik RouterOS
/ip firewall service-port set ipsec-esp disabled=yes
/ip firewall service-port set sip disabled=yes

# FortiGate (CLI)
config system settings
  set default-voip-alg-mode kernel-helper-based
  set sip-helper disable
  set sip-nat-trace disable
end

4. Настройка файрвола (iptables / nftables) на Linux-серверах

# Разрешение входящего и транзитного трафика NAT-T
iptables -A INPUT -p udp --dport 500 -j ACCEPT
iptables -A INPUT -p udp --dport 4500 -j ACCEPT
iptables -A INPUT -p esp -j ACCEPT

# Разрешение форвардинга трафика из VPN-подсетей
iptables -A FORWARD -s 10.10.0.0/16 -d 10.20.0.0/16 -j ACCEPT
iptables -A FORWARD -s 10.20.0.0/16 -d 10.10.0.0/16 -j ACCEPT

# Отключение маскарадинга для VPN-трафика (No-NAT rule)
iptables -t nat -I POSTROUTING -s 10.10.0.0/16 -d 10.20.0.0/16 -j ACCEPT

5. Корректировка конфигурации VPN-демонов

Для strongSwan (/etc/swanctl/conf.d/ipsec.conf или /etc/ipsec.conf):

# swanctl.conf
connections {
    site-to-site {
        local_addrs  = %defaultroute
        remote_addrs = 203.0.113.10
        encap = yes # Принудительная UDP-инкапсуляция
        dpd_delay = 30s
        dpd_timeout = 90s
        # ... параметры шифрования ...
    }
}

Для устаревшего формата ipsec.conf:

conn site-to-site
    type=tunnel
    auto=start
    forceencaps=yes
    ike=aes256-sha256-modp2048!
    esp=aes256gcm128!
    left=%defaultroute
    leftsubnet=10.10.0.0/16
    right=203.0.113.10
    rightsubnet=10.20.0.0/16
    dpdaction=restart