結論：IKEはUDP 500が基本、状況によりUDP 4500も関係

初心者向けに直球で答えると、IKEトラフィックとして代表的に挙がるのは UDP 500 です。加えて、NAT配下やNATの影響が関わる構成では、 UDP 4500 が関係することがあります。

ただし「必ずUDP 500だけ」と断言しない理由は、VPNの構成（IPsecの実装、NATの有無、ゲートウェイ側設定）によって、実際に観測されるポートが変わり得るためです。ここでは“よく使われる代表値”として理解し、最終的には自分の環境で確認する手順も示します。

IKEトラフィックとは：VPNで何をしているのか

IKE（Internet Key Exchange）は、IPsecで使うための「通信の始め方」と「鍵（暗号化に必要な情報）」を取り決める役割を持ちます。ざっくり言えば、暗号化通信を成立させるために、相手と合意形成を行い、その後のIPsec通信を動かすための土台を作ります。

この「合意形成」に必要なやり取りが、IKEトラフィックとして観測される対象です。そのため、IKEの通信を遮断・制限すると、IPsec本体の通信が成立しない（または不安定になる）ことがあります。

UDPポートの整理：UDP 500とUDP 4500の違いを押さえる

まず UDP 500 は、IKEの基本的な通信で参照されることが多い代表ポートです。IKEが相手と交渉を開始しようとする段階で、このポートが使われるイメージを持つと理解しやすいです。

次に UDP 4500 は、環境によって見えてくる“別の出番”です。特に NATが絡むときに、IKEやその周辺の通信がUDP 4500側で成立するような構成・挙動になることがあります。

注意点として、UDP 4500は「IKE専用」と決め打ちできるというより、NAT影響を吸収するための運用形態が絡んで出てくる、と捉えると安全です。実際にどちらが使われているかは、あなたのVPN設定とネットワーク条件に依存します。

制限と例外：ポートは固定ではなく“観測で確かめる”が前提

初心者がつまずきやすいのは、「どのポートを開けばよいか」を一意に決め打ちできない点です。理由は次の通りです。

  • VPNゲートウェイやクライアントの実装・設定により、ネゴシエーションの段階で見える通信が変わり得る
  • NAT配下かどうか、NATの種類や挙動、経路上の中継機器の影響で、観測されるポートが変わり得る
  • ファイアウォール側の規則やポリシーが、応答の出方に影響する

つまり、UDP 500/4500は“目安としての代表値”であり、最終的な正解は自分の環境で確認して確定させる必要があります。

実践的な確認方法：設定と観測を突き合わせる

「開けるべきUDPポート」を自信を持って判断するには、次の流れが現実的です。