为什么说AH的两种运行模式都不能穿越NAT?

在AH传输模式中，被AH验证的区域是整个IP包(可变字段除外)，包括IP包头部，因此源/目的IP地址是不能修改的，否则会被检测出来。然而如果该包在传送的过程中经过NAT网关，其源/目的IP地址将被改变，将造成到达目的地址后的完整性验证失败。因此，AH在传输模式下和NAT是冲突的，不能同时使用，或者说AH不能穿越NAT。

在AH隧道模式中，AH插入到原始IP头部字段之前，然后在AH之前再增加一个新的IP头部。AH的验证范围也是整个IP包，此时AH也不能穿越NAT。