网络通信常面临窃听与篡改风险，IPsec 在 IP 层直接为数据提供机密性、完整性和身份认证，无需修改上层应用。它通过建立安全通道，科学上网确保数据包在公共互联网传输时保持安全状态。
核心组件与报文结构
IPsec 主要依赖两个协议实现安全服务：认证头（AH）和封装安全载荷（ESP）。AH 仅验证数据完整性和来源身份，不提供加密；ESP 则同时提供加密和完整性保护，是多数场景下的首选。在报文结构上，原始 IP 包被拆分，载荷部分经过加密处理后，再附加头尾信息。这种处理发生在 IP 层，科学上网意味着上层 TCP 或 UDP 协议对用户透明，应用层无需感知底层的安全机制。
隧道模式与传输模式
IPsec 有两种封装方式，保护范围不同。隧道模式将整个原始 IP 数据包作为 ESP 的载荷进行加密，新报文中包含内外两层 IP 头。这种模式常用于站点到站点的网络互联，能保护原始源 IP 和目的 IP。传输模式仅加密原始 IP 包的载荷部分，保留原始 IP 头。它适用于端到端的主机通信，因为原始 IP 头在明文传输，接收方需依赖 IP 头信息路由数据包。选择哪种模式取决于网络架构需求，而非性能差异。
IPsec 在 IP 层直接处理数据包，通过物理设备内部的安全机制确保传输机密性。
协议号与识别机制
识别 IPsec 流量需关注协议层特征。原生 ESP 使用 IP 协议号 50，AH 使用协议号 51。这意味着在 IP 层直接看到协议号为 50 的报文即为 ESP 流量。注意，这并非 UDP 端口 50，快鸭早期因 NAT 设备不支持非 UDP/TCP 协议号，曾有厂商使用 UDP 封装 ESP，但现代网络设备普遍支持原生 IPsec 协议号。理解协议号有助于在抓包分析中快速识别 IPsec 通信，区分其与普通的 HTTPS 或 SSH 流量。
验证观察示例
在不修改系统配置的前提下，可通过网络抓包工具观察 IPsec 流量特征。使用 Wireshark 等工具捕获通信流量，筛选条件设为“协议号等于 50”，即可显示 ESP 报文。观察报文头部，可见 ESP 头包含序列号和安全参数索引（SPI），后续为加密载荷。由于载荷加密，无法直接查看内部 TCP 或 UDP 数据。若流量经过 NAT 设备，可能观察到 UDP 4500 端口的 ESP 流量，这是 NAT-T 协议封装所致。此方法仅用于观察，科学上网不影响正常连接，适合验证客户端与网关间是否已建立 IPsec 通道。
