本文通过双netns环境实测Linux xfrm的IPsec ESP功能，验证了ping成功且SA计数匹配；删除out policy后丢包，恢复后通信正常，证明policy与state需成对配置。提供了swanctl、ip xfrm等命令台账，分析了无法建立、单向通等故障模式，并指出WireGuard适用场景及实验边界。