两种封装模式
IPsec 有两种封装模式。传输模式在原始 IP 头之后插入 ESP 头，原地址保持不变，典型用于主机与主机之间的端到端保护；隧道模式把整个原始报文用新的 IP 头封装起来，原来的源目地址被加密隐藏，网关之间的站点 VPN 都采用这种模式。Cisco 的 transform-set 默认就是隧道模式。
基本信息
| 传输模式 | 保留原 IP 头，ESP 插在其后，报文开销更小 |
|---|---|
| 隧道模式 | 新 IP 头 + ESP + 原报文，原始地址受保护 |
| 典型用途 | 传输模式用于主机之间，隧道模式用于网关之间 |
| 协议对照 | AH 只认证不加密，ESP 可加密并认证 |
| Cisco 默认 | transform-set 下默认 tunnel，可显式改为 transport |
典型使用场景
- 站点到站点 VPN：网关之间用隧道模式，双方内网地址才能被保护
- 主机到主机加密：传输模式开销更小，适合服务器之间的直接加密
- GRE over IPsec：外层 GRE 天然采用隧道模式
- 远程接入：客户端软件通常用隧道模式承载整个内网流量
- 排查封装模式不一致：两端不匹配会协商失败或出现单向通
模式配置与核对
模式配置与核对
crypto ipsec transform-set TS esp-aes 256 esp-sha256-hmac
mode tunnel # 网关间站点 VPN 常用，也是默认值
!
crypto ipsec transform-set TS-HOST esp-aes 256 esp-sha256-hmac
mode transport # 主机间端到端，开销更小
!
show crypto ipsec transform-set TS # 核对实际生效的模式两种模式对照
| 维度 | 传输模式 | 隧道模式 |
|---|---|---|
| 封装方式 | ESP 插在原始 IP 头之后 | 新 IP 头包裹整个原报文 |
| 地址可见性 | 原源目地址明文可见 | 原始地址被加密保护 |
| 报文开销 | 较小 | 多一个外层 IP 头 |
| 典型用途 | 主机之间端到端加密 | 网关之间站点 VPN |
隧道模式多一个外层 IP 头，有效 MTU 相应变小：大包可能被中间链路分片或丢弃，必要时配合调整接口 MTU 或 TCP MSS。
两端封装模式必须一致，否则协商失败或出现部分流量不通；改模式等同于重建隧道，改动前先确认维护窗口。
AH 只提供认证、不提供加密，且不能穿越 NAT；需要加密并穿越 NAT 时应使用 ESP，配合 NAT-T 以 UDP 4500 承载。