>>243

いわゆる，ブロードバンドルータというのはNAPTを使って，
ひとつのIPアドレスしかなくても，複数のパソコンでイン
ターネットへのアクセスを実現しているのは，おわかりだ
と思います。これは，ルータがIPアドレスとポート番号の
対応表を保持しており，ルータがその表にもとづいて，IP
アドレスとポート番号を変更するわけです。

ところが，espで暗号化されると，IPヘッダ以外の部分はす
べて暗号化されてしまいます。もう少し具体的にいうと，通
常は，IPヘッダの次に，TCP/UDPヘッダが来るのですが，esp
で暗号化されると，IPヘッダの次にespヘッダがきます。

従って，ルータはポート番号を取得することができないの
で，NAPTではうまくいきません。

解決策としては，いろいろとあって，243氏がいうように，
UDPでIPSecパケットをカプセル化するという方法，いわゆる，
NAT-Traversalがあります。

または，IPSecパケットが届いた場合は，常に特定のホストへ
転送すると，いわゆる，IPSecパススルーという機能もありま
す。静的NAPTのようなものです。