xfrm 标签归档

共 4 篇文章 · 返回首页

【IPSec】Linux xfrm：从策略查找到加解密

把 RFC 4301 的 SPD/SAD 映射到 Linux 6.6 的 xfrm policy/state：查看出站 xfrm_lookup、入站策略检查与 ip xfrm 观测面，并给出本机 netns 下手工安装 ESP 的对照实验入口。

拆解 strongSwan 的 charon、VICI/swanctl 与 kernel-netlink：配置里的 connections/children/proposals 如何变成 Linux xfrm 的 policy 与 state，并与 VPN 对比文中的站点示例对齐。

在 WSL2 Linux 6.6 上用双 netns + 手工 xfrm 传输模式 ESP 实测 ping 与包计数；复现删除 out policy 后丢包；整理 swanctl/ip xfrm 排障台账与 TS、方向、NAT 类故障模式。

作为 WireGuard 系列的对照续作：拆解 RFC 4301 的 SPD/SAD、IKEv2 握手与密钥树、ESP/NAT-T、Linux 6.6 xfrm 与 strongSwan 落盘，并以形式化分析与后量子混合 KE 收束选型边界。