第十章：协议号与端口号

🚧 本章节部分文章正在建设中。

前面的章节里，我们已经多次见到"协议号"和"端口号"这两个词：IP 头里的 Protocol = 6 代表 TCP，Protocol = 17 代表 UDP，Protocol = 1 代表 ICMP；HTTP 用 80、SSH 用 22、DHCP 用 67/68。

这些数字不是记忆负担，而是排错的坐标。当你在 Wireshark 里看到一串十六进制、当 ACL 明明写了却匹配不上流量、当防火墙"放行了 ICMP 却不通业务"时，能定位问题的往往就是这几个数字。

本章按"业务场景"逐篇拆解常见协议的协议号与端口号，重点解决三个问题：

1. 这个数字写在哪一层、哪个字段里？
2. 它为什么是 NAT、ACL、抓包过滤的关键？
3. 设备上怎么查、怎么配、怎么排错？

目录

• 10.1 IPsec 中的协议号与端口号
  • AH（协议号 51）与 ESP（协议号 50）：为什么它们不是端口号
  • IKE / ISAKMP 的 UDP 500（协商）与 UDP 4500（NAT-T 封装）
  • NAT-T 原理：ESP 为什么过不了 NAT，以及 UDP 4500 如何救场
  • 抓包与配置验证：display ike sa / display ipsec sa
  • ACL、安全策略、抓包过滤器中的写法对照

后续规划

• 10.2 路由协议中的协议号与端口号（OSPF 89 / VRRP 112 / BGP 179）
• 10.3 网络管理与运维协议（SNMP、Syslog、NTP、Telnet/SSH）
• 10.4 常见应用层端口与"端口号记忆法"

💡 阅读建议

本章不追求把 IANA 列表背下来。建议每读一篇，都在设备上用 display 命令或抓包工具亲眼看到那个数字——见过的数字，才是自己的数字。