IPsec封装模式

IPsec封装模式

IPsec 支持两种封装模式：传输模式和隧道模式。

1. 传输模式（Transport Mode）
   该模式下的安全协议主要用于保护上层协议报文，仅传输层数据被用来计算安全协议头，生成的安
   全协议头以及加密的用户数据（仅针对ESP封装）被放置在原IP头后面。若要求端到端的安全保障，
   即数据包进行安全传输的起点和终点为数据包的实际起点和终点时，才能使用传输模式。
   如图所示，通常传输模式用于保护两台主机之间的数据。
   

2. 隧道模式（Tunnel Mode）
   该模式下的安全协议用于保护整个IP数据包，用户的整个IP数据包都被用来计算安全协议头，生成
   的安全协议头以及加密的用户数据（仅针对ESP封装）被封装在一个新的IP数据包中。这种模式下，
   封装后的IP数据包有内外两个IP头，其中的内部IP头为原有的IP头，外部IP头由提供安全服务的设
   备添加。在安全保护由设备提供的情况下，数据包进行安全传输的起点或终点不为数据包的实际起
   点和终点时（例如安全网关后的主机），则必须使用隧道模式。
   如图所示，通常隧道模式用于保护两个安全网关之间的数据。
   

       不同的安全协议及组合在隧道和传输模式下的数据封装形式：