L’Internet Engineering Task Force (IETF – ietf.org) a conçu deux standards pour traiter les incompatibilités qui existent entre IPsec VPN et NAT: la négociation NAT Transversal pour IKE (RFC 3947) et l’encapsulation UDP des paquets ESP (RFC 3948).
En bref, NAT Traversal dit à IKE comment détecter la
Application de Firewall Friendly VPN
présence et l’emplacement d’une ou plusieurs unité(s) NAT au milieu d’une connexion VPN. Si un NAT est détecté, IKE s’écoule du port 500 au port 4500 pour mettre fin à la négociation IKE. IKE envoie aussi des paquets de survie, que l’on peut assimiler aux battements de coeur du tunnel.
Un paquet IPsec est enveloppé à l’intérieur d’un nouvel en-tête IP/UDP puis envoyé sur le port UDP 4500 par un processus appelé encapsulation UDP. Lorsqu’elle traverse l’unité NAT, l’adresse du nouvel en-tête IP est traduite. Le nouveau port UDP est utilisé pour Masquerade NAT. Quand le paquet atteint sa destination, l’extrémité réceptrice enlève l’en-tête UDP, et le paquet IPsec original est décrypté.
La solution décrite dans le paragraphe précédent ne s’applique qu’aux paquets ESP en mode tunnel ou transport. AH a des problèmes d’incompatibilité avec NAT et ces deux standards ne peuvent pas les résoudre. La figure 3 montre le format d’un paquet ESP encapsulé UDP en mode tunnel et en mode transport. La figure 4 montre le flux sortant et entrant de l’encapsulation UDP.
Téléchargez cette ressource

Rapport Forrester sur les solutions de sécurité des charges de travail cloud (CWS)
Dans cette évaluation, basée sur 21 critères, Forrester Consulting étudie, analyse et note les fournisseurs de solutions de sécurité des charges de travail cloud (CWS). Ce rapport détaille le positionnement de chacun de ces fournisseurs pour aider les professionnels de la sécurité et de la gestion des risques (S&R) à adopter les solutions adaptées à leurs besoins.
Les articles les plus consultés
Les plus consultés sur iTPro.fr
- Reporting RSE : un levier d’innovation !
- De la 5G à la 6G : la France se positionne pour dominer les réseaux du futur
- Datanexions, acteur clé de la transformation numérique data-centric
- Les PME attendent un meilleur accès aux données d’émissions de la part des fournisseurs
- Fraude & IA : Dr Jekyll vs. Mr Hyde, qui l’emporte ?
