IPSec传输模式下ESP报文的装包与拆包过程

先上图

装包过程

1. 在原IP报文中的payload（可能承载了是TCP报文）后面添加ESP trailer信息。

• ESP trailer包括三部分：Padding, Pad length, Next header。由于所选加密算法可能是块加密，所以可能需要进行填充（Padding）；附上的填充长度（Pad length）方便在解包时移除填充的数据；Next Head用来表明原IP报文的payload的协议类型，如6表示TCP。

2. 将原IP报文中的payload与ESP trailer作为整体进行加密，加密的算法与密钥由SA（Security Association)给出。

3. 为第2步得到的加密数据添加ESP header，加密数据与ESP header 合称为“Enchilada”，对“Enchilada”做一个摘要，得到一个完整性度量值（ESP Message Authentication Data），并添加到最后面，完整性度量算法包括需 要的认证密钥由SA 给出。

• ES