是否可以从 IPSec 标头中删除 SPI？

【问题标题】：Is it possible to remove SPI from IPSec header?是否可以从 IPSec 标头中删除 SPI？
【发布时间】：2016-11-25 07:07:43
【问题描述】：

我知道 SPI 在 IPsec 中扮演着重要的角色。但我想知道：是否可以从 IPSec 标头中删除 SPI 并且仍然可以正常工作？

【问题讨论】：

标签： ipsec sa

【解决方案1】：

我认为这是不可能的。但这总是取决于内核的实现。

根据 RFC 4301，SA 由三个参数标识：IP 目标、安全协议（AH、ESP）和 SPI。

SPI 是唯一的，如果我们有一个 SA 具有相同的 IP 目标和相同的安全协议（例如，不同的加密算法），那么唯一可以区分 SA 的参数就是 SPI，它需要映射流量。

【讨论】：