量化交易
从市场微结构入手，建立量化工程全栈视角
覆盖从因子研究、回测方法论到执行算法与高频架构的整条链路，适合策略研究员与工程师系统切入。
从这里开始
第一次访问时先按主题切入，比直接沿着时间线翻文章更快。
大模型基础设施
从 GPU 心智模型到推理服务化
把训练、推理、量化与服务化串成一条工程主线；先建立 GPU 心智模型，再进入引擎与量化落地。
密码学
从 PQC 起步，快速进入密码学热点
先看密码学系列总目录，再顺着 PQC、FHE 与迁移工程深入。
排序算法
先看排序专题，再决定从哪篇切入
把 TimSort、pdqsort、radix sort、external sort、parallel sort 串成一条工程化阅读路径。
热门专题
把已经形成系列阅读闭环的主题集中在首页，减少在 400 多篇文章里盲找的成本。
最新文章
按最近更新时间排序；如果你想系统性阅读一个主题，优先回到上面的专题入口。
【IPSec】架构：SPD、SAD 与「正确分层」
RFC 4301 把「要不要保护」与「用哪把密钥」拆成 SPD 与 SAD。本文钉住安全关联、选择器、传输/隧道模式，并与 WireGuard cryptokey routing 做公理对照——不复述选型口号。
【IPSec】IKEv2 握手：IKE_SA_INIT 与 IKE_AUTH
RFC 7296 用两个交换、四条消息建立 IKE SA 并捎带首个 Child SA。本文按载荷语义拆开 IKE_SA_INIT / IKE_AUTH，说明 PSK 与证书 AUTH、Cookie 抗 DoS 边界，以及和 WireGuard 1.5 RTT 确认的差异。
【IPSec】密钥派生与 Child SA
从 SKEYSEED 与 prf+ 展开 IKEv2 密钥树，说明 SK_d/SK_e/SK_a 如何喂给 Child SA，以及 CREATE_CHILD_SA、流量选择器与 rekey 改写了哪些运行时对象。
【IPSec】ESP、AH 与 NAT-T
数据面几乎总是 ESP：拆开隧道模式封装、AEAD 与 EtM、anti-replay 窗口，以及 NAT 场景下 UDP/4500 封装如何改写外层五元组却保持 SPI 查找语义。
【IPSec】Linux xfrm：从策略查找到加解密
把 RFC 4301 的 SPD/SAD 映射到 Linux 6.6 的 xfrm policy/state：查看出站 xfrm_lookup、入站策略检查与 ip xfrm 观测面，并给出本机 netns 下手工安装 ESP 的对照实验入口。
【IPSec】strongSwan：从 swanctl 到内核 SA
拆解 strongSwan 的 charon、VICI/swanctl 与 kernel-netlink：配置里的 connections/children/proposals 如何变成 Linux xfrm 的 policy 与 state，并与 VPN 对比文中的站点示例对齐。
【IPSec】使用与运维：netns 实测与故障模式
在 WSL2 Linux 6.6 上用双 netns + 手工 xfrm 传输模式 ESP 实测 ping 与包计数；复现删除 out policy 后丢包；整理 swanctl/ip xfrm 排障台账与 TS、方向、NAT 类故障模式。
【IPSec】深度探讨：形式化证明、密码敏捷性与后量子
用 Cremers ESORICS 2011 的 IKEv2 形式化结论、RFC 9370 混合密钥交换与 Gazdag 等对 PQ 扩展的 Tamarin 分析，对照 WireGuard 的无协商立场，收束何时仍应选择 IPsec。
IPSec / IKEv2 深度系列 — 系列规划
> 本文是写作规划，不是可发布正文。拆解对象：IPsec 架构（RFC 4301）+ IKEv2（RFC 7296）+ ESP（RFC 4303）+ Linux 6.6 xfrm + strongSwan。作为 [WireGuard 深度系列](../wireguard/index.html) 的对照续作：把「正确分层…
IPSec / IKEv2 深度系列：从正确分层到 Linux xfrm
作为 WireGuard 系列的对照续作：拆解 RFC 4301 的 SPD/SAD、IKEv2 握手与密钥树、ESP/NAT-T、Linux 6.6 xfrm 与 strongSwan 落盘，并以形式化分析与后量子混合 KE 收束选型边界。
【网络工程】VPN 技术工程对比：IPSec vs WireGuard vs OpenVPN
VPN 是企业网络互联和远程访问的核心技术。本文从 IPSec 的 IKE/ESP/AH 协议栈、WireGuard 的 Cryptokey Routing 设计、OpenVPN 的 TLS 隧道模型，到三者在性能、安全、运维复杂度上的工程对比，系统讲解 VPN 技术的选型与部署实践。
网络工程索引
汇总本站网络工程系列文章，覆盖分层模型、以太网、IP、TCP、DNS、TLS、HTTP/2/3、CDN、BGP 与故障诊断。
全部系列索引
本站所有系列专题的总目录。按大模型基础设施、Transformer、量化交易与金融科技、数据与数据库、分布式与存储、密码学与安全、操作系统与底层、网络与 I/O、算法与可观测等方向分类整理，每个系列均给出简介与入口链接。
WireGuard 深度系列：从设计哲学到内核实现
从 Donenfeld NDSS 2017 的设计哲学出发，拆解 Noise IKpsk2、内核数据路径、运维实践与形式化验证争论——把 WireGuard 从「好用的 VPN」讲成可核对的协议与系统。
【网络工程】WireGuard 内部实现：Cryptokey Routing、Noise IK 握手与内核数据路径
WireGuard 用不到 4000 行内核代码替代了 IPSec/IKE 数十万行的协议栈——这不是少写功能，而是用固定密码学原语、固定握手模式和 cryptokey routing 这三个设计决定，换掉了证书体系、协商机和 SPD/SAD 分离。本文钻进源码和协议握手过程，逐层拆解 cryptokey routing 的双向执行、Noise IKpsk2 的 1.5 RTT 握手（含四次 ECDH 的安全属性贡献）、内核多核队列架构、timer 状态机、cookie DoS 防御和三密钥对轮换。