33、IPsec技术详解：传输模式、XFRM查找与NAT穿越

IPsec技术详解：传输模式、XFRM查找与NAT穿越

1. IPsec数据包发送（传输模式）

在IPsec中，以传输模式发送IPv4 ESP数据包时，其发送路径如下：
1. 在路由子系统中进行查找，调用 ip_route_output_flow() 方法。
2. 查找可应用于该流的XFRM策略，调用 xfrm_lookup() 方法。
3. 若查找命中，继续调用 ip_local_out() 方法。
4. 经过一系列方法调用后，最终到达 esp_output() 方法，该方法对数据包进行加密，然后调用 ip_output() 方法将其发送出去。

graph LR
    A[路由子系统查找] --> B[XFRM策略查找]
    B -->|命中| C[ip_local_out()]
    C --> D[其他方法调用]
    D --> E[esp_output()]
    E --> F[加密数据包]
    F --> G[ip_output()发送]

2. XFRM查找

2.1 查找机制

xfrm_lookup() 方法用于系统中每个发出的数据包，为提高查找效率，使用了捆绑（bundles）技术。捆绑可以缓存重要信息，如路由、策略、策略数量等。这些捆绑是 xfrm_ds