| IKE | UDP 500 协商（NAT-T 时为 UDP 4500） |
|---|---|
| ESP | 协议 50，加密并可选完整性（常用） |
| AH | 协议 51，仅完整性，不支持 NAT 场景 |
| SA | 单向安全关联，收发成对存在 |
状态查看
状态查看
# Cisco:
show crypto isakmp sa
show crypto ipsec sa
# 华为:
display ike sa
display ipsec saIPsec 组成：IKE、ESP/AH 与 SA
IPsec 由三部分构成：IKE 协商密钥与参数，ESP/AH 封装保护数据，SA 描述单向安全参数；两端协商参数完全一致才能建立。
易错点
- 以为是一条隧道：ESP 双向各一条 SA，需成对核对
- AH 与 NAT 混用：地址转换场景下完整性校验失败
数据来源与参考
- RFC 4301: Security Architecture for IP
- RFC 7296: IKEv2