Resposta direta: qual porta UDP é usada para IKE em VPNs
Em VPNs baseadas em IPsec, o IKE (Internet Key Exchange) tipicamente usa UDP 500 para negociação inicial de chaves e estabelecimento de parâmetros criptográficos. Em muitos ambientes, especialmente quando há NAT no caminho, também é comum o uso de UDP 4500 (relacionado ao NAT-Traversal / NAT-T) para suportar o fluxo de IPsec por trás de tradutores de endereço.
Como isso aparece no “guia para iniciantes”: ao pensar no que fazer no firewall, roteadores e políticas de rede para permitir a parte de negociação, UDP 500 é o primeiro candidato; UDP 4500 entra quando você precisa considerar NAT-T ou quando o seu cenário demonstra que o tráfego passa por NAT.
Funcionamento em termos simples (o que IKE faz)
O IKE atua como o “acordo” entre as pontas (cliente e gateway, ou dois gateways) para que elas:
- negociem quais algoritmos e parâmetros serão usados;
- autentiquem as partes (por exemplo, com chaves/credenciais configuradas);
- criem material de chaves para que depois o tráfego de dados seja protegido pelo IPsec.
Por isso, as portas associadas ao IKE aparecem antes de você ver o tráfego de dados protegido “rodar” de forma contínua. Em geral, UDP 500 é a etapa de negociação mais direta e UDP 4500 aparece como alternativa/adição quando o NAT-T precisa ajudar o IPsec a atravessar redes com NAT.
Limitações e variações comuns (o que pode mudar)
Atenção a duas limitações importantes para quem está começando:
- Nem todo tipo de VPN usa IKE/IPsec. Se a sua VPN não for do tipo IPsec/IKE, as portas UDP acima podem não ser relevantes.
- A porta não é “única em todo caso”: mesmo dentro do IPsec, o uso de UDP 500 e UDP 4500 depende do modo e das condições do caminho de rede (por exemplo, presença e comportamento de NAT). Em alguns setups, UDP 4500 pode ser usado para manter o tráfego viável quando o NAT-T está em operação.
Também vale lembrar: negociar via IKE não é a mesma coisa que transmitir dados do túnel. Mesmo que você libere UDP 500/4500, pode ser necessário permitir tráfego de dados do IPsec (que pode envolver protocolos e portas diferentes conforme o modo/encapsulamento). Então, UDP do IKE resolve a etapa de negociação, mas não necessariamente todo o “fluxo completo” da VPN.
Verificações práticas para confirmar no seu ambiente
Para checar se você realmente está lidando com IKE em UDP 500/4500, use verificações simples e observáveis:
- No firewall/políticas de rede: veja quais regras estão permitidas/registradas para o tráfego de entrada/saída do cliente/gateway durante a tentativa de conexão.
- Observação de tráfego (logs/monitoramento): durante uma tentativa de estabelecimento, procure por pacotes UDP associados às portas 500 e 4500. Se houver NAT no caminho, é comum que o tráfego relacionado a 4500 apareça quando o NAT-T estiver sendo usado.
- Teste controlado: faça uma tentativa de conexão em condições comparáveis (por exemplo, com e sem NAT no caminho) para observar se a necessidade de UDP 4500 muda.
Se você encontrar apenas UDP 500 “aparecendo” e nenhum sinal de 4500, isso pode indicar que o cenário não está exigindo NAT-T (ou que a implementação/configuração está usando outro comportamento). Se ambos aparecerem, tende a indicar operação onde o NAT-T participa.
Conceitos relacionados que ajudam a não confundir portas
Para não misturar as camadas, pense assim:
- IKE (negociação): está ligado à criação/acordo inicial de parâmetros e chaves para IPsec.
- IPsec (proteção do tráfego): é o “motor” que criptografa e autentica os dados depois que o IKE concluiu a negociação.
- NAT e NAT-T: quando a rota atravessa NAT, o NAT-T tenta evitar problemas de endereçamento/portas, o que costuma levar ao uso de UDP 4500.
Se você tratar UDP 500/4500 apenas como “portas do IKE”, fica mais fácil entender por que mudanças no caminho de rede podem alterar o que você precisa liberar na prática.