/ip/ipsec/policy

官方原文约 5 分钟阅读

policy

在隧道模式下，所有数据包都被 IPIP 封装，并且它们的新 IP 头中的 src-address 和 dst-address 设置为此策略的 sa-src-address 和 sa-dst-address 值。如果不使用隧道模式（即使用传输模式），则只有源地址和目标地址与 sa-src-address 和 sa-dst-address 相同的数据包才能由此策略处理。传输模式只能处理源自主机且发往 IPsec 对等体（建立安全关联的主机）的数据包。要加密网络之间（或网络与主机之间）的流量，必须使用隧道模式。

ip/ipsec/policy

Type: Directory

信息

策略顺序很重要。它的工作方式类似于防火墙过滤器，策略从上到下执行（priority 参数已移除）。

在隧道模式下，所有数据包都被 IPIP 封装，并且它们的新 IP 头中的 src-address 和 dst-address 设置为此策略的 sa-src-address 和 sa-dst-address 值。如果不使用隧道模式（即使用传输模式），则只有源地址和目标地址与 sa-src-address 和 sa-dst-address 相同的数据包才能由此策略处理。传输模式只能处理源自主机且发往 IPsec 对等体（建立安全关联的主机）的数据包。要加密网络之间（或网络与主机之间）的流量，必须使用隧道模式。 | 标志 | 名称 | 描述 | | --- | --- | --- | | T | template | 该项是否为用于分配给动态对等体的模板。 | | B | backup | 该项是否包含在备份中。 | | X | disabled | 该项是否已禁用。 | | D | dynamic | 该项是否为动态创建。 | | I | invalid | 此策略是否无效 - 可能的原因是具有相同 src-address 和 dst-address 的重复策略。 | | A | active | 该项当前是否活动。 | | * | default | 该项目是否为默认项。 |

参数	类型	描述
`peer`	multi { array-id, peer: enum }	策略应用到的对等体名称。
`tunnel`	bool	是否使用隧道模式。
`group`	enum	策略组名称。
`src-address`	alt { prefix6: ip6Prefix , prefix4: ipPrefix }	要匹配的数据包源地址或网络。当使用隧道模式（`tunnel=yes`）或模板（`template=yes`）时适用。
`src-port`	num	源端口。
`dst-address`	alt { prefix6: ip6Prefix , prefix4: ipPrefix }	要匹配的数据包目标地址或网络。当使用隧道模式（`tunnel=yes`）或模板（`template=yes`）时适用。
`dst-port`	num	目标端口。
`protocol`	enum (all) { all:255 }	IP 协议编号或名称。
`action`	enum (encrypt \| discard \| none) { encrypt:2, discard:0, none:1 }	对匹配流量执行的操作。 - `none` - 原样传递数据包。 - `discard` - 丢弃数据包。 - `encrypt` - 应用此策略及其 SA 中指定的转换。
`level`	enum (require \| use \| unique) { require:2, use:1, unique:3 }	指定当此策略的某些 SA 找不到时的处理方式： - `use` - 跳过此转换，不丢弃数据包，也不从 IKE 守护进程获取 SA； - `require` - 丢弃数据包并获取 SA； - `unique` - 丢弃数据包并获取仅用于此特定策略的唯一 SA。它用于多个客户端可以位于一个公共 IP 地址之后的设置（NAT 后的客户端）。
`ipsec-protocols`	enum (ah \| esp) { ah:1, esp:2 }	指定要应用于匹配流量的身份验证头（AH）和封装安全载荷（ESP）协议组合。
`sa-src-address`	alt { ipv6: ip6Addr , ip: ipAddr }	端点地址
`sa-dst-address`	alt { ipv6: ip6Addr , ip: ipAddr }	端点地址
`proposal`	enum	提议模板名称。
`template`	bool	此策略是否为模板。

只读参数	类型	描述
`active-interface`	iface_enum	建立 SA 所经过的接口。
`ph2-count`	num	第 2 阶段交换次数。
`ph2-state`	enum (spawning \| starting \| ready-to-send \| getspi-sent \| getspi-done \| msg1-sent \| ready-to-establish \| commiting \| adding-sa \| established \| expired \| no-phase2) { spawning:0, starting:1, ready-to-send:2, getspi-sent:3, getspi-done:4, msg1-sent:5, ready-to-establish:6, commiting:7, adding-sa:8, established:9, expired:10, no-phase2:11 }	当前第 2 阶段状态。