浅谈AH协议与ESP协议的区别和联系

IPSec是一种端到端的确保IP层通信的安全体系，是一组协议，下面讨论是基于IPv4的讨论。AH协议与ESP协议是IPSec的两个核心协议，如下图所示。AH（Authentication Header）是验证头部协议，ESP（Encapsulating Security Payload）是封装安全载荷协议，从名字上来看AH主要用于验证IP头部，ESP主要用于加密。下面会详细介绍区别与联系。

区别与联系：构成元素→结构→功能，从构成元素，到协议的结构，再到功能来分析。（协议的三要素：语法、语义、时序）

总结 ：ESP的验证灵活，不验证IP头部（传输模式）或新IP头部（隧道模式），这使得它能很好的兼容NAT。但是，这也使得接收端无法检测IP头部被修改的情况（只要保证校验和计算正确），故ESP的验证服务没有AH的验证服务强大。所以，AH主要用于验证IP头部，ESP主要用于加密，通常也会将两者嵌套使用。

注：IP协议字段（Protocol）8bits，使用IP服务的高层协议，1（ICMP），2（IGMP），4（IP），6（TCP），8（EGP），17（UDP），41（IPv6）,89（OSPF)。

参考：
[1]. 网络安全（第2版）胡道元等
[2]. https://blog.csdn.net/weixin_38387929/article/details/117586652 （详解: IPsec 穿越 NAT 之道）
[3]. https://blog.csdn.net/bytxl/article/details/16825251（AH协议与ESP协议简析）