定义
IPSec（IP Security）是IETF定义的IP层安全协议套件，提供数据加密、完整性校验和身份认证。常与L2TP配合用于专网VPDN（L2TP over IPSec），也可单独用于站点间VPN（Site-to-Site）。支持传输模式（仅加密载荷）与隧道模式（封装整个IP包），与TLS形成传输层与网络层安全互补。
核心组件
- AH（Authentication Header）：仅认证不加密，较少使用
- ESP（Encapsulating Security Payload）：加密+认证，支持AES-GCM、AES-CBC等，主流方案
- IKE/IKEv2：密钥交换协议，协商SA（安全关联）、DH密钥、身份认证
部署模式
传输模式用于端到端加密；隧道模式用于网关间VPN。物联网专网场景：设备或网关与LNS建立IPSec隧道，数据经公网加密传输至企业内网。IPSec over NAT需NAT-T（UDP 4500）支持。
典型应用场景
企业VPN、专网隧道、站点互联、物联网设备安全回传等。达希物联的VPDN方案采用L2TP+IPSec构建安全隧道。
达希物联的VPDN专网方案采用L2TP+IPSec构建安全隧道，物联网设备通过公网接入企业内网时，数据经IPSec加密与认证，防止窃听与篡改。达希物联可为高安全要求的工业物联网、金融支付等客户提供基于IPSec的端到端加密连接方案。
安全关联到期后业务会停在重新协商
IPSec不是把密钥写死在配置文件里一直用。一对安全关联规定了算法、密钥和生存期，生存期可以按时间或按流量。到期后双方要用密钥交换再协商一套。协商期间若没有并行的重叠关联，正在发送的报文会失败或被缓存。物联网网关若在到期瞬间正好上报，应用层会看到一小段超时，随后自动恢复。判断是不是生存期问题：失败时刻和关联建立时间的间隔稳定，而且对端日志里同时出现协商，而不是只有单侧超时。
算法套件两边必须有交集。一侧只接受较新的组合，另一侧只提供旧组合，协商会失败，隧道保持在“正在建立”。这时加密强度不是“自动取较低的那种”，而是根本没有关联。应在两端打印提议列表，而不是只看预共享密钥是否一致。密钥一致但提议为空，症状同样是隧道起不来。
隧道模式把原来的地址藏进外层包头
传输模式只保护上层载荷，外层地址仍是真实的通信双方，适合主机到主机。隧道模式把整个原报文装进新的网络层包头，外层地址是两台网关，内层才是设备和企业服务器。专网回传几乎都用隧道模式，这样公网上的路由不需要认识设备的私网地址。抓包若只看外层，会以为通信发生在两台网关之间，排障时要在解密后的内层再对一次地址和端口。
选择器决定哪些内层流量进入隧道。选择器写得太宽，管理流量和业务流量混在一条关联里，一边策略变化会打断另一边；写得太窄，新加的服务器地址进不了隧道，表现为内网路由存在但特定地址不通。新增服务器时要同时改选择器和防火墙，只改路由表不够。
穿越地址转换时要改用约定的封装端口
加密之后，传输层端口对中间的地址转换设备不可见，有的转换会把报文丢掉或无法维持映射。穿越转换的做法是在外层再套一层用户数据报，并使用约定的端口，让转换设备按这层端口维持表项。只有一侧开启穿越、另一侧仍按纯安全协议来听，协商在第一阶段之后失败。现场只要路径上存在运营商或企业的地址转换，就应默认需要这层封装，而不是等失败后再试。
达希物联的虚拟专网常用二层隧道配合IPSec，保护的是从接入网关到企业侧网关这一段公网。空口加密仍然单独存在，两者密钥不同、终点不同。卡已经附着、隧道协商失败时，应查关联提议、选择器和穿越封装，而不是复机。隧道通了但特定端口不通，则离开IPSec，去查选择器后面的防火墙。保活报文要短于路径上转换表的超时，否则映射消失后下一次业务包要重新协商。
感兴趣流没有命中时隧道仍然可以是通的
安全关联建立成功，只说明两端谈妥了算法和密钥。哪些报文进入隧道，由感兴趣流的选择器决定。探测包的地址或端口不在选择器里时，它走默认路由而不进隧道，对端企业内网收不到，诊断却显示隧道已连接。应使用和业务相同的地址和端口做探测，或临时把探测流量写进选择器。用另一台地址不在选择器里的电脑去ping，不能证明隧道坏了，也不能证明业务地址是通的。
选择器过于宽泛则把网关自身的管理流量也送进隧道，管理面依赖隧道，隧道协商又依赖管理面，一旦关联到期就会两边都失联。管理地址应排除在感兴趣流之外，留一条不依赖该隧道的维护路径。达希物联虚拟专网的通断要同时看关联状态和选择器命中计数。关联是绿的、命中不增加，业务地址或端口还没写进选择器。此时更换物联网卡不会增加命中，改的是策略而不是用户身份。