| 协议 | 多数场景使用 ESP；AH 不加密仅认证，较少用 |
|---|---|
| 加密与认证 | 算法集合与阶段一保持同一阵营 |
| PFS | 完美前向保密，两端开启状态与 DH 组需一致 |
| 生存周期 | 如 3600 秒，重协商瞬间可能有抖动 |
阶段二参数示意
阶段二参数示意
协议：ESP 加密：aes256 认证：sha256
PFS：group14 生存周期：3600 秒调整阶段二参数后先观察 SA 重协商是否平滑、业务是否有瞬断，再进行下一步变更。
IPsec 阶段二参数（IPsec SA）
阶段二协商数据面参数：安全协议（常见为 ESP）、加密与认证算法、PFS、生存周期，并绑定两端网段。修改阶段二会使隧道短暂重协商，生产环境安排在低峰窗口并观察恢复。
易错点
- PFS 一侧开启一侧关闭，二阶段协商失败
- 参数变更未排窗口，业务出现瞬断
数据来源与参考
- 阿里云 IPsec 连接参数文档
- 华为云 IPsec 策略配置说明