在現代網路安全架構中， IPsec 三劍客——AH、ESP、IKE ——協同運作，構成 VPN 安全通道的核心骨幹。理解三者分工，是正確部署 VPN 的第一步。 AH 與 ESP：保護資料的兩種策略 AH（Authentication Header，IP Protocol 51） 僅提供完整性驗證與來源認證，不加密封包內容。其致命缺點是對整個 IP 標頭進行雜湊計算，導致 與 NAT 完全不相容 ——因為 NAT 會修改 IP 位址，破壞 AH 的驗證結果。 ESP（Encapsulating Security Payload，IP Protocol 50） 同時提供加密（如 AES）與完整性保護（如 HMAC-SHA256），是實務上的主流選擇。ESP 僅對封包內容雜湊， 可透過 NAT-T（UDP 4500）穿透 NAT 環境 ，適應性遠優於 AH。 IKE：安全通道的金鑰協商引擎 IKE（Internet Key Exchange） 運行於 UDP 500，負責自動協商加密演算法、交換金鑰，並建立 SA（Security Association）。整個流程分為兩個階段： Phase 1 建立 ISAKMP SA（管理通道）， Phase 2 在其保護下協商 IPsec SA（資料通道）。IKEv2 相較於 v1 大幅簡化握手流程，並原生支援 EAP 認證與 MOBIKE（行動環境切換），為現代 VPN 標準配置。 # Linux strongSwan 設定片段（/etc/ipsec.conf） conn my-vpn keyexchange=ikev2 # 使用 IKEv2 esp=aes256-sha256 # ESP 加密+完整性 ike=aes256-sha256-modp2048 # IKE Phase 1 演算法 leftsubnet=192.168.1.0/24 rightsubnet=10.0.0.0/24 💡 核心重點整理 AH（Protocol 51） ：僅驗證完整性，不加密，且與 NAT 不相容，現代部署幾乎不採用。 ESP（Protocol 50） ：同時加密與驗證，支援 NAT-T（UDP 4500），...