在日常生活中，我们常常需要通过IPsec VPN来共享公司总部的网络资源。然而，由于NAT网关的作用是进行IP地址转换，以实现共享上网和保护内网服务器，这就导致IPsec和NAT之间的冲突。为了解决这个问题，TP-link路由器提供了一个不错的解决方案——在IPsec协议中增加了NAT-T协议的支持。
NAT-T协议是专门为解决NAT环境下VPN传输问题而设计的。它可以在NAT环境下自动发现网络中的NAT设备，并将数据包封装成UDP包，从而使VPN可以在NAT环境下正常使用。
下面，我们就来了解一下如何配置IPsec VPN。以TL-ER61系列和TL-R400VPN为例，以下是搭建IPsec VPN的步骤：
1. 配置IKE协商模式：选择野蛮模式。
2. 配置IKE安全策略：认证ID必须选择为NAME。
3. 选择IPsec协议：由于NAT模型与IPsec中的AH协议的设计理念相违背，所以只能选择ESP协议。
以上步骤，对于TL-ER61系列和TL-R400VPN均适用。需要注意的是，在配置过程中，如果遇到NAT环境，还需要对NAT设备进行映射，映射端口为500和4500。
在实际操作中，用户还需要注意以下几点：
1. NAT-T协议的使用可以解决NAT环境下VPN传输问题，但可能会对VPN性能有一定影响。
2. 在配置过程中，确保两端的IPsec配置一致，包括IKE参数、IPsec协议等。
3. 在使用IPsec VPN时，需要注意安全策略，防止未授权访问。
总之，IPsec VPN在NAT环境下仍然可以正常使用。通过合理配置和注意事项，用户可以确保VPN的安全性，实现高效、稳定的数据传输。
技术背景
IPsec为了保证数据的安全，需要对数据包进行加密和校验，防止数据在传输过程中被第三方获取或修改。而NAT网关的作用则是通过IP地址转换来实现共享上网和保护内网服务器，这样势必会修改数据的源IP地址。这样这两种技术的本身便存在了冲突。
某公司的办事处设置在某写字楼内。该写字楼有自己独立的网络结构，并且使用同一个网络出口连接互联网。该办事处需要与总部建立IPSEC VPN共享公司总部的网络资源。
TP-LINK解决方法
TP-LINK路由器通过在IPSEC协议中增加了NAT-T协议的支持，这样路由器会自动发现网络中的NAT设备，将数据包封装到UDP包中，使VPN可以在NAT环境下使用。
IPSEC配置方法
TL-ER61系列与TL-R400VPN搭建IPSEC参考：TL-R400VPN ——IPSEC VPN配置实例
TL-ER61系列之间搭建IPSEC VPN参考：ER6系列路由器应用——IPSEC VPN配置实例
配置注意事项
1） IKE的协商模式要选为野蛮模式
2） 在“IKE安全策略”的设置中，认证ID必须选择为NAME。
TL-ER6120 IKE策略设置
TL-R400vpn IKE策略设置
3） 由于NAT模型与IPSEC中的AH协议的设计理念是完全相违背的，所以，在选择IPSEC协议的的时候，只能选择ESP协议。
TL-ER6120安全提议设置
TL-R400vpn IPsec策略设置
ER6系列其他VPN设置参考：ER6系列路由器应用——PPTP/L2TP VPN配置实例
注意：新版本中如路由器搭建ipsec时ike协商模式为响应者模式，且前端有nat设备，需在前端nat设备里做映射。（映射端口为500和4500）
