跳到主要內容

IPsec 三劍客深度解析：AH、ESP 與 IKE 協同構建 VPN 安全通道完整指南

作者：

在現代網路安全架構中，IPsec 三劍客——AH、ESP、IKE——協同運作，構成 VPN 安全通道的核心骨幹。理解三者分工，是正確部署 VPN 的第一步。

AH 與 ESP：保護資料的兩種策略

AH（Authentication Header，IP Protocol 51）僅提供完整性驗證與來源認證，不加密封包內容。其致命缺點是對整個 IP 標頭進行雜湊計算，導致與 NAT 完全不相容——因為 NAT 會修改 IP 位址，破壞 AH 的驗證結果。

ESP（Encapsulating Security Payload，IP Protocol 50）同時提供加密（如 AES）與完整性保護（如 HMAC-SHA256），是實務上的主流選擇。ESP 僅對封包內容雜湊，可透過 NAT-T（UDP 4500）穿透 NAT 環境，適應性遠優於 AH。

IKE：安全通道的金鑰協商引擎

IKE（Internet Key Exchange）運行於 UDP 500，負責自動協商加密演算法、交換金鑰，並建立 SA（Security Association）。整個流程分為兩個階段：Phase 1 建立 ISAKMP SA（管理通道），Phase 2 在其保護下協商 IPsec SA（資料通道）。IKEv2 相較於 v1 大幅簡化握手流程，並原生支援 EAP 認證與 MOBIKE（行動環境切換），為現代 VPN 標準配置。

# Linux strongSwan 設定片段（/etc/ipsec.conf）
conn my-vpn
    keyexchange=ikev2        # 使用 IKEv2
    esp=aes256-sha256        # ESP 加密+完整性
    ike=aes256-sha256-modp2048  # IKE Phase 1 演算法
    leftsubnet=192.168.1.0/24
    rightsubnet=10.0.0.0/24

💡 核心重點整理

  • AH（Protocol 51）：僅驗證完整性，不加密，且與 NAT 不相容，現代部署幾乎不採用。
  • ESP（Protocol 50）：同時加密與驗證，支援 NAT-T（UDP 4500），為實務首選協定。
  • IKE（UDP 500）：自動協商 SA 與金鑰，IKEv2 為現行主流，支援行動切換。
  • NAT 環境：必須選用 ESP + NAT-T，切勿使用 AH，否則連線必定失敗。

掌握 AH、ESP、IKE 的角色分工，才能正確選型與排障。實務上優先採用 IKEv2 + ESP，兼顧安全性與 NAT 穿透能力，構建穩健的 VPN 通道。

Labels:

留言

張貼留言