IPsec ESP与AH首部数据校验与加密范围

AH

AH协议仅包括数据的认证，数据完整性校验以及防报文重放攻击，如上图可知，无论是传输模式还是隧道模式，AH的认证范围都是全部的报文，AH的数据校验字段是包含在AH首部当中的，所以这虽然看起来很不错，但是当这类报文在经过NAT之后，IP首部中的地址发生变化，AH首部中的校验字段将与经过NAT后的报文匹配不上，所以这将导致数据报文传送到对端后，对端会直接将其丢弃，这主要原因就是AH的校验字段中记录的校验和与根据现有报文计算出来的校验和不一样。

ESP

从上图可知，ESP无论是传输还是隧道模式，它的认证范围都仅仅在ESP首部和ESP尾部这段范围，ESP的校验数据是添加在ESP尾部的，也就是ESP AUTH DATA这个字段，那么为什么ESP会有ESP尾部？其实本质原因是因为ESP是具备加密功能的，所以比如在使用AES这样的加密算法的时候，需要输入固定长度的字段，所以需要在ESP的尾部作填充。

ESP的加密范围比起认证范围少了一个ESP首部的字段。

因为无论在传输模式还是隧道模式，ESP的认证范围没有包括IP首部，所以ESP是可以进行NAT操作的。