IPsec (IP Security) AH (Authentication Header) / ESP (Encapsulating Security Payload)

干什么用的

IP 包在公网上是明文的，谁在路上都能看、都能改。

★★★ IPsec 给 IP 层加上加密和完整性校验。两种封装：

· ESP：加密 + 认证（几乎都用这个）；
· AH：只认证、不加密（现在很少用，原因见第三节）。

隧道模式 vs 传输模式

★★★ 隧道模式：把整个原 IP 包（包括头）加密，外面再套一个新 IP 头。★ 所以路上看不到真实的源和目的 —— 站点到站点 VPN 用这个。

★★★ 传输模式：只加密载荷，原 IP 头保留。★ 开销小，但源和目的暴露 ——主机到主机时用。

★★ 一句话：隧道模式藏得住通信双方，传输模式藏不住。

★ 常见误解

★★★ 「AH 和 ESP 选哪个都行」 —— AH 把整个包（含 IP 头）纳入校验，而 NAT 就是要改 IP 头 → AH 过不了 NAT。所以现在只用 ESP。

★★★ 「只是慢一点」 —— 开销 50~60 字节，MTU 不减就会「小包通、大包卡」。

★★ 「能防流量分析」 —— 隧道模式藏了内层地址，但外层两个网关地址是明文，谁和谁建隧道看得见。