ipsec是唯一实现ip层透明加密的方案，工作在网际层，对tcp/udp/icmp全透明，无需应用改造；通过隧道模式、精确流量选择、强加密套件及nat-t等配置保障企业级安全通信。
敏感应用的IP层透明加密，核心不是“加一层密”，而是让加密过程对上层业务完全无感——协议栈照常收发，数据在IP层自动完成加解密，应用无需改代码、不感知隧道、不干预密钥流转。这需要在内核或网络设备层面落地，而非靠应用层SDK或代理中转。
选对协议栈位置：IPSec是唯一真正透明的方案
HTTPS、TLS、SOCKS5等都工作在传输层或应用层，会暴露端口、改变连接行为，且需应用显式调用；而IPSec直接作用于IP包，对TCP/UDP/ICMP全透明，连ping和traceroute都照常可用。企业级场景中，只有IPSec能实现“零改造接入”：
- 加密发生在IP头封装前，解密在IP头解析后，上层协议栈看到的始终是原始IP包
- 支持隧道模式（tunnel mode），可跨子网加密，适合分支-总部、云-本地混合架构
- 与操作系统深度集成，Linux用strongSwan/libreswan，Windows用内置IPSec策略，华为/Cisco设备原生支持
关键配置三步走：策略、密钥、匹配流
透明加密失效，90%源于策略未精准绑定真实业务流量。不能笼统说“全网加密”，必须精确识别敏感应用的数据特征：
- 定义兴趣流（Traffic Selector）：用ACL或IPSec policy中的traffic selector限定源/目的IP段、协议类型、端口范围。例如只加密从10.20.30.0/24到172.16.100.5:3306（数据库）的TCP流量，避免误伤DNS或NTP
- 绑定强加密套件：禁用DES、MD5等弱算法。推荐esp-aes256-gcm16（AEAD模式，同时保证加密+完整性），IKEv2阶段用aes256-sha256-modp3072
- 密钥分发方式要匹配运维能力：生产环境优先用证书认证（PKI），比预共享密钥（PSK）更易轮换、审计；若用PSK，必须通过Ansible/Terraform等工具统一注入，禁止明文写在配置文件中
绕过常见陷阱：透明≠看不见问题
IPSec透明加密一旦出错，现象往往是“连不通”或“时断时续”，排查难度远高于应用层加密。几个实战中高频踩坑点：
- MSS值未调整：加密增加IPSec头（通常52–73字节），若路径MTU为1500，需在隧道接口设tcp-mss-clamp 1400，否则大包被丢弃导致SSH卡顿、HTTP超时
- NAT穿越未启用：若一端在家庭宽带或运营商NAT后，必须开启NAT-T（UDP端口4500），并在IKE提议中启用nat-traversal
- 状态同步缺失：高可用部署时，主备设备间需同步SA（Security Association）状态，否则failover后新连接中断。华为USG系列需开hrp mirror session enable，Cisco则依赖HSRP+stateful failover
验证是否真透明：三个命令定乾坤
配置完成后，不看日志、不抓包，用以下终端命令快速验证加密已生效且不影响业务逻辑：
- tcpdump -i any host and not port 500 and not port 4500：应看不到明文应用数据（如HTTP GET、MySQL握手包），只看到ESP协议（proto 50）
- ip xfrm state：确认SA已建立，encap-type为espinudp（NAT-T）或none（直连），replay-window非0
- ping -s 1400 ：测试大包通断，验证MSS设置是否生效
