Cloudflare宣布其IPsec服务现已支持后量子加密，旨在抵御“先收集后解密”的攻击。该技术采用混合ML-KEM算法，确保与Cisco和Fortinet等硬件的互操作性。Cloudflare计划在2029年前实现全面的后量子安全，以应对量子计算威胁。

StrongSwan 是一款开源的 IPsec VPN 解决方案，适用于企业和家庭网络，通过公网安全连接不同局域网。本文介绍了在 Ubuntu 上安装 StrongSwan 并与 TP-Link 路由器配置 IPsec 隧道的步骤，包括编辑配置文件和设置预共享密钥，以确保两端成功通信。

在密码测评过程中，分析IPSec VPN流量是重要的知识点。IPSec协议是通过加密数字信封来确保消息传输安全。主模式和快速模式是IPSec数据的两个阶段。第一阶段主模式主要是设备密钥协商，需要协议筛选出ISAKMP。第二阶段主要是响应方收到加密套件后，对比自己是否有相应的加密套件，发送自己的SPI值和选择好的加密套件。消息三和消息四交换数据，使用临时密钥进行加密保护，双方对数据进行数字签名。对于消息三的载荷值，我们可以通过解密获取到对称载荷SK的明文。

本文介绍了IPSec VPN中SA的三要素和SA的切换、PFS、RRI和DPD等扩展话题，以及DMVPN和NHRP。

WireGuard 是在 Linux 内核实现的 VPN 模块。得益于内核实现，它跟基于 tun 设备的 OpenVPN 相比，可以省掉在内核态和用户态之间复制数据，性能自然要好很多。但我从 WireGuard 技术白皮书得知，WireGuard 的性能只比 IPsec 高一点。这让我不禁怀疑 IPsec 的核心功能也是在内核态实现的。经过一番~~研究~~Google，果不其然。Linux...

IPsec 是标准的 VPN 技术，主流系统都支持，不需要单独安装客户端。但是 IPsec 概念非常多，配置起来很繁杂。经过一番折腾，终于摸索出了一套基于 strongSwan 的简便配置方法，支持 iOS 和 macOS 拨入。

ArchLinux 配置 L2TP/IPSec VPN 流水帐。