两层可选方案
DTLS 在 UDP 之上提供与 TLS 类似的安全通道，生态与调试工具相对成熟，代价是握手报文对受限网络仍是不小的负担；对象安全机制则把保护放在应用载荷层，中间代理可以转发而不解密，适合端到端保护，但密钥分发与重放防护要自行处理。
安全模式对照
| 模式 | 信任基础 | 适用 |
|---|---|---|
| 无安全 | 无 | 仅限隔离测试网段，不得用于公网 |
| 预共享密钥 | 双方预先共享同一密钥 | 设备无证书能力、部署规模可控 |
| 裸公钥 | 设备公钥已预置在服务端 | 设备能生成密钥但无完整证书链 |
| 证书 | 通过根证书校验证书链 | 具备完整证书管理能力的场景 |
典型使用场景
- 公网设备接入：加密通道加对端身份校验，防止中间人接管
- 企业内网设备管理：证书模式配合既有证书体系统一管理
- 端到端保护：载荷层加密让中间节点只做转发，不接触明文
- 低功耗设备：评估握手开销后选择更轻的方案或延长会话复用
完整握手在受限设备上耗时明显，会话恢复能显著降低重连成本；具体支持情况取决于设备协议栈与所部署的版本。
安全方案要与设备资源一起评估：握手计算、密钥存储与随机数质量都会影响实际强度。缺少可靠随机源的设备会直接削弱密钥质量，这类风险在选型阶段就要确认。
只加密不校验对端身份，等于建立了一条可以被中间人接管的通道，加密强度再高也无法阻止伪造的服务端。