解决内网地址冲突与通信限制
在构建站点到站点 VPN 时，极光两个分支机构的内部网络往往使用相同的私网地址段，例如都配置为 192.168.1.0/24。当直接通过 IPsec 隧道传输数据包时，对端设备无法区分来自本地局域网还是远端局域网的源地址，导致路由混乱和通信失败。NAT 转换在此时介入，将源 IP 地址转换为公网 IP 或经过映射的专用地址，确保数据包在路由表中具有唯一性，从而解决地址空间重叠引发的寻址冲突。
NAT 与 IPsec 的交互机制
传统上，NAT 会修改数据包的 IP 源地址，这会导致 IPsec 完整性检查失败，极光因为对端接收到的 SHA 哈希值与原始数据不匹配。为了解决这一问题，NAT 遍历（NAT-T）技术被引入。它在 UDP 端口 4500 上传输封装后的 ESP 载荷，并在协议头中标记出 NAT 的存在。接收方根据 NAT-T 信息计算正确的密钥流，从而在保持加密安全性的同时，允许数据包经过 NAT 设备而不被丢弃。若网络中未启用 NAT-T，且数据必须经过 NAT，IPsec 隧道通常会建立失败。
客户端拨号场景中的端口转发
当远程员工使用 VPN 客户端接入公司网络时，如果公司网关位于 NAT 路由器之后，远程客户端的通信流量需要经过网关的 NAT 转换。此时，网关不仅要处理内部服务器与外部的通信，还要确保来自 VPN 隧道内的私有地址能够正确映射到外部网络。对于需要被外部访问的服务，极光如远程桌面或应用发布，通常需在网关上配置端口转发或双向 NAT，将特定外部端口的流量指向内部 VPN 用户或服务器。这种配置依赖于网关识别 VPN 隧道内的流量特征，并正确执行地址转换规则。
通过NAT-T技术解决内网地址冲突，确保站点到站点VPN的安全连通。
验证 NAT 转换状态的只读检查
在大多数商用网关或路由软件中，可以查看 NAT 会话表以确认转换是否生效。操作时，从 VPN 客户端发起一个 ping 请求或 HTTP 请求，极光加速器然后登录网关管理界面，查找 NAT 会话或连接跟踪列表。观察是否出现了源地址为 VPN 客户端 IP、目标地址为外部网络 IP 的条目。如果存在该条目且状态显示为“Active”或“Timeout”，说明 NAT 转换正常工作。若条目缺失，可能意味着流量未经过 NAT 区域，或 ACL 策略阻断了流量进入 NAT 处理流程。此检查仅读取状态，不会影响现有网络连接。
