问ipsec 协议处于那一层 网络分层定位详解

IPsec 协议工作在 TCP IP 模型的网络层，也就是 OSI 七层模型里面的第三层，它是针对 IP 数据包做加密认证的安全协议套件，不是单独一个协议，整套里面包含 AH ESP IKE 多个子协议，很多考生容易混淆，会把它当成传输层或者应用层，核心判断依据就是 IPsec 直接对 IP 报文本身进行封装加密，保护的对象是 IP 层的数据，上层的 TCP UDP 应用数据全部被封装在 IPsec 保护里面，上层应用不需要做任何改动，应用层程序感知不到 IPsec 的存在，这个就是网络层安全协议最典型特征，它主要用来搭建 VPN 隧道，实现站点到站点，远程接入的加密通信，和 SSL VPN 做区分，SSL VPN 是工作在传输层以上，属于应用层相关方案，这个对比也是考试和面试高频考点，IPsec 在处理的时候会新增 AH 或者 ESP 头部，对原始 IP 报文做处理，有传输模式和隧道模式两种工作模式，两种模式都依旧属于网络层安全机制，不会改变它所在的分层位置。

相关子协议分层说明

这里要重点区分，AH 和 ESP 是 IPsec 核心安全载荷协议，属于网络层，IKE 是密钥交换协议，本身运行在 UDP500 端口，依靠传输层 UDP 承载，但是 IKE 只是配套控制协议，不能因此把整套 IPsec 判定成传输层，考试答题的时候，标准答案依旧是 IPsec 协议套件主体工作在网络层。

两种工作模式介绍

传输模式，保护 IP 报文里面的上层载荷，保留原始 IP 头部，一般用于主机之间端到端加密通信。

隧道模式，把整个原始 IP 报文当作数据，重新封装新的 IP 头部，常见在网关 VPN 场景，站点到站点 VPN 绝大多数使用隧道模式。

不管是传输模式还是隧道模式，本质依旧是在网络层对 IP 报文做安全处理，分层位置不变。

和其他 VPN 协议分层对比

IPsec 网络层，可以保护所有基于 IP 的业务，TCP UDP 都可以被保护，不需要应用单独支持。

SSL TLS 属于传输层安全协议，主要保护 HTTP 等应用，也就是 SSL VPN。

PPTP L2TP 同样属于数据链路层或者网络层相关 VPN 协议，经常和 IPsec 搭配使用，L2TP 本身没有加密能力，一般叠加 IPsec 实现加密，也就是 L2TP over IPsec。

常见易错点

很多人看到 IKE 使用 UDP 端口，就错误认为 IPsec 属于传输层，这个是最典型误区，UDP 只是 IKE 的承载方式，IPsec 核心安全处理动作是在网络层完成，面试答题一定要把这个点讲清楚，还有 IPsec 是协议套件，不是单一协议，答题最好说明是协议簇，不要只写单个协议。

【常见问题】

问题 1 ipsec 协议处于那一层 为什么不是传输层

回答 1 ipsec 协议处于那一层，核心安全处理是对 IP 数据包进行加密认证，保护 IP 层报文，上层 TCP UDP 业务透明，所以属于网络层，IKE 虽然使用 UDP 传输，只是密钥协商控制协议，不能代表 ipsec 协议主体分层。

问题 2 ipsec 协议处于那一层 AH 和 ESP 也在网络层吗

回答 1 ipsec 协议处于那一层，AH 和 ESP 作为 ipsec 核心载荷协议，都是工作在网络层，负责报文认证和加密，是 ipsec 协议套件的核心组成部分。

问题 3 ipsec 协议处于那一层 隧道模式会改变所在层级吗

回答 1 ipsec 协议处于那一层，隧道模式只是重新封装 IP 头部，属于封装方式变化，ipsec 协议本身依旧工作在网络层，不会因为隧道模式变成其他层级。

问题 4 ipsec 协议处于那一层 和 SSL VPN 分层区别是什么

回答 1 ipsec 协议处于那一层，ipsec 属于网络层 VPN，可以保护全部 IP 业务，SSL VPN 基于 TLS，属于传输层安全机制，主要针对应用层业务，两者分层位置不同。

【免责申明】

本文基于计算机网络教材与标准协议规范整理，不同教材对配套 IKE 协议描述角度略有差异，答题以主流计算机网络考试标准结论为准，本文仅作为学习备考参考，实际工程部署细节请参考 RFC 官方协议文档。