IPsec

定义

IPsec(Internet Protocol Security)是 IETF 制定的网络层安全协议族,为 IP 通信提供机密性、完整性、数据源认证和防重放保护,是站点到站点 VPN 的传统标准。

组成

核心协议包括 ESP(封装安全载荷,提供加密与认证)和 AH(认证头,仅认证,因不兼容 NAT 已很少使用)。密钥管理由 IKE(Internet Key Exchange)完成:先建立保护协商过程的 IKE SA,再协商保护数据的 IPsec SA;IKEv2 简化了交换流程并原生支持 NAT 穿越与移动性。

模式与应用

传输模式只加密 IP 载荷,常用于主机间通信;隧道模式将整个原始 IP 包封装并加上新 IP 头,用于网关之间的站点互联。IPsec 广泛应用于企业分支互联、云上 VPN 网关,并且是 L2TP/IPsec、GRE over IPsec 等组合方案的加密底座。相比之下,新兴的 WireGuard 以更简洁的设计成为其轻量替代。