本文在深入分析了IPSec和NAT的相关协议的基础上,着重论述了IPSec和NAT的不兼容问题的产生原因,和可能的解决方案。IPSec协议簇可以为IPv4和IPv6提供具有良好互操作性的、高质量的安全服务。IPSec所提供的安全服务包括：访问控制,数据完整性验证,身份鉴别,防重放,加密和流量加密。这些服务都是在IP层实施的,可为IP层及上层协议提供安全防护。IPSec所提供的服务是由AH、ESP和密钥管理协议共同实现的NAT是对不同地址域内的地址进行转换的一种方法。通过在地址域边界对不同的地址和端口进行转换并维持这个转换的映射关系,可以使不同地址域的主机之间进行透明地数据传输。NAT很大程度上缓解了IPv4网络中地址紧张的问题,并且能够使得内／外网络相分离,提供一定的网络安全保障。IPSec协议保护数据包在网络传输过程中不被修改、重放、替换；而NAT却要修改数据包的IP地址、传输控制端口号等信息。这种不允许修改数据包和需要修改数据包所造成的矛盾,导致IPSec和NAT无法共存。本文采用UDP封装IPSec的方法来解决二者之间的矛盾。被封装后的IPSec数据包,由于其UDP协议头不在IPSec的处理范围之内,因此NAT可以修改数据包中的地址、端口等信息,而不影响IPSec的工作。采用该方案可以灵活、方便地搭建VPN,同时保持了IPSec和NAT的主要功能,避免了重新部署网络环境所带来的人力、物力成本。