| state | 内核中的 SA：SPI、算法、计数器 |
|---|---|
| policy | 方向与选择符：dir in/out/fwd |
| 计数 | 每个 SA 的 bytes/packets 用于定位单向 |
| 工具 | ip xfrm monitor 观察事件 |
检查命令
检查命令
ip -s xfrm state
ip xfrm policy
ip xfrm state list | grep -A3 'proto esp'
# 观察变化
ip xfrm monitorLinux XFRM 状态检查：state 与 policy
Linux 内核用 XFRM 承载 IPsec：ip xfrm state 看 SA（含字节与包计数），ip xfrm policy 看策略；strongSwan 只是上层管理面。
易错点
- 只看 upper 层状态不看内核 state：管理面与内核不一致时要查这里
- 忽略 policy 匹配顺序：多条策略的顺序会影响处理结果
数据来源与参考
- Linux man: ip-xfrm
- RFC 4301: IPsec 架构