33、IPsec 技术详解：传输模式、XFRM 查找与 NAT 穿越

IPsec 技术详解：传输模式、XFRM 查找与 NAT 穿越

1. IPsec 数据包发送（传输模式）

在 IPv4 ESP 传输模式下发送数据包时，首先会在路由子系统中进行查找，调用 ip_route_output_flow() 方法。之后，需要查找适用于该数据流的 XFRM 策略，这通过调用 xfrm_lookup() 方法实现。若查找成功，会继续调用 ip_local_out() 方法，经过一系列方法调用后，最终到达 esp_output() 方法，该方法会对数据包进行加密，然后调用 ip_output() 方法将其发送出去。

graph LR
    A[路由子系统查找] --> B[XFRM 策略查找]
    B -->|查找成功| C[ip_local_out()]
    C --> D[一系列方法调用]
    D --> E[esp_output()]
    E --> F[加密数据包]
    F --> G[ip_output()]
    G --> H[发送数据包]

2. XFRM 查找

xfrm_lookup() 方法会为系统发出的每个数据包调用，为提高查找效率，会使用捆绑包（bundles）。捆绑包是 xfrm_dst 结构的实例，用于缓存路由、策略、策略数量等重要信息，这些捆绑包通过流缓存存