| SPI | 接收端 SA 标识（与目的地址联合定位） |
|---|---|
| 序列号 | 抗重放处理 |
| 载荷 | 加密后的原始数据 |
| ICV | 完整性校验值 |
抓包观察要点
抓包观察要点
# Wireshark 过滤:
# esp || udp.port == 4500
# 关注: SPI / Sequence / 是否为 NAT-T 的 UDP 封装ESP 报文结构：SPI、序列号与 ICV
ESP 头含 SPI 与序列号，尾部有填充与下一头部字段；完整性校验值（ICV）保护载荷完整性，序列号配合抗重放窗口。
易错点
- 把 SPI 当全局固定值：SPI 由接收端本地分配
- 忽略高吞吐下的序列号处理：实现差异需按文档确认
数据来源与参考
- RFC 4303: ESP 报文格式
- RFC 7296: SA 与 SPI