Además, se debe permitir en el destino el puerto UDP 4500, si el origen de la conexión atraviesa un NAT.