IPsec VPN 通過在 IP 層加密、認證數據包，實現公網上的安全專用通道。本文以 ICMP 為例，結合抓包分析，詳細還原數據包在雙端 VPN 設備間的完整生命週期。

網絡拓撲與接口定義

PC1 (184.0.0.2) ── VPN1 ── 公網 ── VPN2 ── PC2 (185.0.0.2)

VPN1: eth1(內網 184.0.0.1) ── ipsec0(隧道) ── eth0(公網 192.168.95.164)
VPN2: eth0(公網 192.168.95.195) ── ipsec0(隧道) ── eth1(內網 185.0.0.1)

• eth0：外網接口（協商口，跑 IKE/ESP/AH）
• eth1：內網接口（受保護子網）
• ipsec0：虛擬隧道接口，負責加解密封裝

數據流向：加密 → 傳輸 → 解密

1. PC1 → VPN1 eth1：ICMP Echo Request 明文進入內網口。
2. 路由查找 → ipsec0：匹配 VPN 策略，交由 ipsec0 加密（ESP，SPI=0x30f18c51）。
3. ipsec0 → eth0：封裝後的 ESP 包（源公網 IP 192.168.95.164，目的 192.168.95.195）發出。
4. 公網傳輸：ESP 包經公網路由到達 VPN2 eth0。
5. VPN2 eth0 → ipsec0：識別 SPI，解密還原為 ICMP Echo Request（源 184.0.0.2，目的 185.0.0.2）。
6. ipsec0 → eth1 → PC2：明文轉發至內網，PC2 收到請求。
7. 回包路徑對稱：PC2 回復 Echo Reply，經 VPN2 加密 → 公網 → VPN1 解密 → PC1。

實戰抓包證據 (tcpdump -ni any host 184.0.0.2)

11:26:39.649389 R@eth1  IP 184.0.0.2 > 185.0.0.2: ICMP echo request, id 512, seq 12039  (明文進入)
11:26:39.649411 X@ipsec0 IP 184.0.0.2 > 185.0.0.2: ICMP echo request, id 512, seq 12039  (加密前)
11:26:39.649485 X@eth0  IP 184.0.0.2 > 185.0.0.2: ESP(spi=0x30f18c51,seq=0xc38), length 76  (ESP 包發出)
11:26:39.656606 R@eth0  IP 185.0.0.2 > 184.0.0.2: ESP(spi=0xa6e0f4f2,seq=0xb36), length 76  (收到回包 ESP)
11:26:39.656606 R@ipsec0 IP 185.0.0.2 > 184.0.0.2: ICMP echo reply, id 512, seq 12039  (解密後)
11:26:39.656672 X@eth1  IP 185.0.0.2 > 184.0.0.2: ICMP echo reply, id 512, seq 12039  (轉發內網)

關鍵觀察：

• R = 接收，X = 發送。
• 隧道模式下，外層 IP 頭為公網地址，內層原始 IP 被加密不可見；傳輸模式則保留原始 IP，便於抓包分析。
• 雙向 SPI 不同，體現 IPsec 雙向 SA（Security Association）獨立管理。

隧道模式 vs 傳輸模式

特性	隧道模式	傳輸模式
封裝範圍	整個原始 IP 包（含 IP 頭）	僅 IP 載荷（TCP/UDP/ICMP 等）
外層 IP 頭	新建公網 IP 頭	保留原始 IP 頭
典型場景	站點間 VPN、網關間加密	端到端主機加密、Host-to-Gateway
NAT 穿越	需 NAT-T (UDP 4500 封裝)	原生不友好，少用

常見故障排查清單

• Phase 1 (IKE) 失敗：檢查預共享鑰匙、加密/哈希/DH 組匹配、UDP 500/4500 是否放行。
• Phase 2 (IPsec SA) 不上：PFS 組、加密算法、生命週期、感興趣流量 (ACL) 需雙向一致。
• 流量不進隧道：路由表缺失、策略路由/ACL 錯誤、MTU 過大導致分片失敗（建議設置 ip tcp adjust-mss 1360）。
• 單向通：防火牆狀態檢查、反向路由缺失、SPI 不匹配（重置 SA 重試）。

總結

IPsec VPN 數據流程本質是「明文 → 封裝加密 → 公網傳輸 → 解密還原 → 明文」。掌握各接口角色、抓包關鍵點、SA 參數匹配邏輯，是高效排障、優化性能的基石。