本文介绍Linux 6.6中IPsec数据面核心对象xfrm：策略库（policy）对应SPD，状态库（state）对应SAD。出站查策略找状态封装，入站按SPI解封装再校验策略。用户态IKE仅协商并安装对象。文章提供ip xfrm命令观测SAD/SPD，手工配置传输模式ESP示例，并说明netns隔离、路由与策略关系，最后通过双netns实验验证数据面流程。

本文介绍IPSec系列文章，对比WireGuard的cryptokey routing，详解SPD/SAD分层、IKEv2握手、ESP/NAT-T、Linux xfrm实现及strongSwan配置。强调IPSec在证书合规、互通性上的优势，但需权衡复杂度。提供8篇阅读路径，涵盖架构、协议、运维与后量子扩展，适合网络工程师深入理解IPSec机制与排障。

本文介绍strongSwan通过swanctl配置IKEv2隧道并安装到Linux xfrm的流程。核心是connection定义IKE SA参数，children定义Child SA及流量选择器，经charon守护进程与内核netlink交互，最终生成xfrm policy/state。排障需同时查看swanctl和ip xfrm状态，常用命令包括load-all、list-sas、initiate等，并对比Libreswan差异。

WireGuard 是在 Linux 内核实现的 VPN 模块。得益于内核实现，它跟基于 tun 设备的 OpenVPN 相比，可以省掉在内核态和用户态之间复制数据，性能自然要好很多。但我从 WireGuard 技术白皮书得知，WireGuard 的性能只比 IPsec 高一点。这让我不禁怀疑 IPsec 的核心功能也是在内核态实现的。经过一番~~研究~~Google，果不其然。Linux...