本文通过双netns环境实测Linux xfrm的IPsec ESP功能，验证了ping成功且SA计数匹配；删除out policy后丢包，恢复后通信正常，证明policy与state需成对配置。提供了swanctl、ip xfrm等命令台账，分析了无法建立、单向通等故障模式，并指出WireGuard适用场景及实验边界。

本文介绍Linux 6.6中IPsec数据面核心对象xfrm：策略库（policy）对应SPD，状态库（state）对应SAD。出站查策略找状态封装，入站按SPI解封装再校验策略。用户态IKE仅协商并安装对象。文章提供ip xfrm命令观测SAD/SPD，手工配置传输模式ESP示例，并说明netns隔离、路由与策略关系，最后通过双netns实验验证数据面流程。

本文介绍WireGuard配置与故障排查。通过双netns实验验证握手与传输，强调cryptokey routing与主机路由表需一致。常见错误包括AllowedIPs过窄或过宽、FIB脱节、NAT后Endpoint问题。建议用wg show、ip route get等工具排障，并注意MTU与静默丢弃特性。不适合L2延伸、X.509合规等场景。