对照
| 维度 | AH | ESP |
|---|---|---|
| 加密 | 不提供 | 提供（按算法组合） |
| 完整性覆盖 | 含部分 IP 头 | 不含外层 IP 头 |
| NAT 环境 | 不适用 | 配合 NAT-T 可用 |
| 协议号 | 51 | 50 |
Cisco 写法
Cisco 写法
# 常规 ESP 组合:
crypto ipsec transform-set TS esp-aes 256 esp-sha256-hmac
# 仅 AH（少见场景）:
# crypto ipsec transform-set TS-AH ah-sha256-hmacAH 与 ESP：封装差异与适用场景
AH 提供完整性但不加密且不兼容 NAT；ESP 可加密并支持完整性，是绝大多数部署的选择。
易错点
- 穿越 NAT 使用 AH：校验失败导致不通
- 认为 ESP 必然加密：是否加密由 transform 组合决定
数据来源与参考
- RFC 4302: IP Authentication Header
- RFC 4303: ESP