ipsec 标签归档

共 5 篇文章 · 返回首页

【IPSec】架构：SPD、SAD 与「正确分层」

RFC 4301 把「要不要保护」与「用哪把密钥」拆成 SPD 与 SAD。本文钉住安全关联、选择器、传输/隧道模式，并与 WireGuard cryptokey routing 做公理对照——不复述选型口号。

在 WSL2 Linux 6.6 上用双 netns + 手工 xfrm 传输模式 ESP 实测 ping 与包计数；复现删除 out policy 后丢包；整理 swanctl/ip xfrm 排障台账与 TS、方向、NAT 类故障模式。

作为 WireGuard 系列的对照续作：拆解 RFC 4301 的 SPD/SAD、IKEv2 握手与密钥树、ESP/NAT-T、Linux 6.6 xfrm 与 strongSwan 落盘，并以形式化分析与后量子混合 KE 收束选型边界。

VPN 是企业网络互联和远程访问的核心技术。本文从 IPSec 的 IKE/ESP/AH 协议栈、WireGuard 的 Cryptokey Routing 设计、OpenVPN 的 TLS 隧道模型，到三者在性能、安全、运维复杂度上的工程对比，系统讲解 VPN 技术的选型与部署实践。

WireGuard 不是把 IPSec 写短一点。NDSS 2017 论文把「正确分层」当成复杂度的来源，用 cryptokey routing、固定原语与带外密钥分发换可审计实现。本文钉住这些设计决定及其边界。