IPSec如果使用AH加密封装的话无法穿过NAT和PAT，采用ESP封装的话无法通过PAT但是可以通过NAT，解决的方法有NAT-T，IPSec over UDP，IPSec over TCP。NAT-T是共有的方法，与后面的两种方法的原理基本一致，都是通过加入一个UDP或者TCP字段提供端口满足PAT的端口转换的原则。
下面的实验演示如果IPSec如果通过PAT实现联通。
拓扑：
说明：
1. R2模拟外部网络，开启loopback 0模拟外部网络2.2.2.0/24；R3模拟内部网络，开启loopback 0模拟内部网络192.168.3.0/24；R1模拟PAT设备。
2. R1:NAT ；R2:OUTSIDE；R3:INSIDE
*R4和SW1在本实验中并未使用到。
1. 基本配置，实现网络畅通
R1:
interface Serial1/0
ip address 12.1.1.1 255.255.255.0
serial restart-delay 0
!
interface Serial1/1
ip address 13.1.1.1 255.255.255.0
serial restart-delay 0
!
ip route 2.2.2.0 255.255.255.0 Serial1/0 12.1.1.2
ip route 192.168.3.0 255.255.255.0 Serial1/1 13.1.1.3
R2:
interface Loopback0
ip address 2.2.2.2 255.255.255.0
!
interface Serial1/0
ip address 12.1.1.2 255.255.255.0
serial restart-delay 0
!
ip route 0.0.0.0 0.0.0.0 Serial1/0 12.1.1.1
R3:
interface Loopback0
ip address 192.168.3.1 255.255.255.0
!
interface Serial1/0
ip address 13.1.1.3 255.255.255.0
serial restart-delay 0
!
ip route 0.0.0.0 0.0.0.0 Serial1/0 13.1.1.1
2. 测试网络
INSIDE#ping 2.2.2.2 sou 192.168.3.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 2.2.2.2, timeout is 2 seconds:
Packet sent with a source address of 192.168.3.1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 48/64/80 ms
通了。下一步开始在NAT上作PAT的相关配置。
3. 配置PAT
NAT(config)#acce 10 per 13.1.1.0 0.0.0.255
NAT(config)#acce 10 deny an
NAT(config)#ip nat in sour list 10 int s1/0 over
NAT(config)#in s1/0
NAT(config-if)#ip nat out
NAT(config-if)#in s1/1
NAT(config-if)#ip nat in
上面的access-list 10是一个重要的配置。一般情况我们配置转换的列表是拿内网的网段作转换，但是这里我们拿了NAT与INSIDE设备之间的直连链路作转换。因为我们后面在配置IPSec的时候，加密点就有这个链路的一端参与，而通信点都是被加密进去了。这里一定要注意了。
4. 配置IPSec
IPSec在R2,R4上配置。
R3(INSIDE):
crypto isakmp policy 10
authentication pre-share
group 2
crypto isakmp key cisco address 12.1.1.2
!
crypto ipsec transform-set ×××-trans esp-des esp-md5-hmac
!
crypto map ×××-map 10 ipsec-isakmp
set peer 12.1.1.2
set transform-set ×××-trans
match address 100
access-list 100 permit ip 192.168.3.0 0.0.0.255 2.2.2.0 0.0.0.255
access-list 100 deny ip any any
R2（OUTSIDE）:
crypto isakmp policy 10
authentication pre-share
group 2
crypto isakmp key cisco address 12.1.1.1
!
crypto ipsec transform-set ×××-trans esp-des esp-md5-hmac
!
crypto map ×××-map 10 ipsec-isakmp
set peer 12.1.1.1
set transform-set ×××-trans
match address 100
!
access-list 100 permit ip 2.2.2.0 0.0.0.255 192.168.3.0 0.0.0.255
access-list 100 deny ip any any
*上面一定要注意的R2的配置，他的peer是12.1.1.1而非13.1.1.3!!!因为13.1.1.3经过PAT转换后就是12.1.1.1。
5. 测试IPSec
INSIDE#ping 2.2.2.2 sou l0
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 2.2.2.2, timeout is 2 seconds:
Packet sent with a source address of 192.168.3.1
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 28/58/100 ms
INSIDE#sh crypto engine connections active
ID Interface IP-Address State Algorithm Encrypt Decrypt
1 Serial1/0 13.1.1.3 set HMAC_SHA+DES_56_CB 0 0
2001 Serial1/0 13.1.1.3 set DES+MD5 0 4
2002 Serial1/0 13.1.1.3 set DES+MD5 4 0
NAT#sh ip nat trans
Pro Inside global Inside local Outside local Outside global
udp 12.1.1.1:4500 13.1.1.3:4500 12.1.1.2:4500 12.1.1.2:4500
好，这个小实验到此结束。