> 本文是写作规划，不是可发布正文。拆解对象：IPsec 架构（RFC 4301）+ IKEv2（RFC 7296）+ ESP（RFC 4303）+ Linux 6.6 xfrm + strongSwan。作为 [WireGuard 深度系列](../wireguard/index.html) 的对照续作：把「正确分层…

本文介绍IKEv2协议架构，聚焦初始握手：IKE_SA_INIT协商加密套件与DH密钥，IKE_AUTH完成身份认证并建立首个Child SA。对比PSK与证书认证，说明Cookie抗DoS机制，并与WireGuard对照。强调四条消息即可完成建链，延迟差异主要来自证书验证等环节。

本文介绍IPSec系列文章，对比WireGuard的cryptokey routing，详解SPD/SAD分层、IKEv2握手、ESP/NAT-T、Linux xfrm实现及strongSwan配置。强调IPSec在证书合规、互通性上的优势，但需权衡复杂度。提供8篇阅读路径，涵盖架构、协议、运维与后量子扩展，适合网络工程师深入理解IPSec机制与排障。

IPsec 是标准的 VPN 技术，主流系统都支持，不需要单独安装客户端。但是 IPsec 概念非常多，配置起来很繁杂。经过一番折腾，终于摸索出了一套基于 strongSwan 的简便配置方法，支持 iOS 和 macOS 拨入。

IKEv2 VPN 安装及使用