項目中需要將IPsec的控制面和轉發面進行分離，也就是說IKE協商在一個vm上進行，然后協商成功的child sa通過ip xfrm下發到另外的vm上用來加解密流量。實際使用的時候發現，如果是不穿越nat的時候，是可行的，因為這個時候走的esp或者ah協議。但是如果要穿越nat的話，報文經過udp封裝之后就不能正常加解密了，轉念一想，這樣是正常的，因為vm上并沒有打開對應的udp端口，報文在進入協議棧的時候就被丟掉了，linux系統會返回給發包方一個端口不可達的錯誤消息。
為了正確處理udp封裝的ipsec報文，必須要在linux正確打開對應端口，一般是4500。
Perl 語言版：
http://techblog.newsnow.co.uk/2011/11/simple-udp-esp-encapsulation-nat-t-for.html
設置IP_XFRM_POLICY部分的內容沒有辦法正確執行，可能是版本太老的原因。
Python語言版
實際測試發現，不配置IP_XFRM_POLICY也是可以正常加解封裝UDP封裝的IPsec報文的。 socket必須是global變量。
def init_socket(port):
global udp4500
udp4500 = socket.socket(socket.AF_INET, socket.SOCK_DGRAM, socket.IPPROTO_UDP)
udp4500.setsockopt(socket.IPPROTO_IP, socket.SO_REUSEADDR, 1)
udp4500.setsockopt(socket.IPPROTO_UDP, 100, 2)
# IP_IPSEC_POLICY = 17
# IPSEC_DIR_INBOUND = 0
# IPSEC_DIR_OUTBOUND = 1
#
# policy1 = struct.pack("384xH828xLLBBBB", 2, 0, 0, IPSEC_DIR_OUTBOUND, 0, 0, 0)
# policy2 = struct.pack("384xH828xLLBBBB", 2, 0, 0, IPSEC_DIR_INBOUND, 0, 0, 0)
# s.setsockopt(socket.IPPROTO_IP, IP_IPSEC_POLICY, policy1)
# s.setsockopt(socket.IPPROTO_IP, IP_IPSEC_POLICY, policy2)
udp4500.bind(("0.0.0.0", port))
C語言版：
http://blog.csdn.net/xingyeping/article/details/51353448
可以正常執行，代碼如下：
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/types.h>
#include <sys/socket.h>
#include <string.h>
#include <errno.h>
#include <unistd.h>
#include <stdlib.h>
#include <fcntl.h>
#include <sys/ioctl.h>
#include <netinet/in_systm.h>
#include <netinet/in.h>
#include <netinet/ip.h>
#include <netinet/udp.h>
#include <net/if.h>
#include <linux/xfrm.h>
int set_ipsec_policy(int fd)
{
struct xfrm_userpolicy_info policy;
u_int sol, ipsec_policy;
sol = IPPROTO_IP;
ipsec_policy = IP_XFRM_POLICY;
memset(&policy, 0, sizeof(policy));
policy.action = XFRM_POLICY_ALLOW;
policy.sel.family = AF_INET;
policy.dir = XFRM_POLICY_OUT;
if (setsockopt(fd, sol, ipsec_policy, &policy, sizeof(policy)) < 0)
{
printf("unable to set IPSEC_POLICY on socket: %s\n",strerror(errno));
return -1;
}
policy.dir = XFRM_POLICY_IN;
if (setsockopt(fd, sol, ipsec_policy, &policy, sizeof(policy)) < 0)
{
printf("unable to set IPSEC_POLICY on socket: %s\n",strerror(errno));
return -1;
}
return 0;
}
int main(int argc, char *argv[])
{
int sockfd = -1;
struct sockaddr_in host_addr;
if((sockfd = socket(AF_INET, SOCK_DGRAM, IPPROTO_UDP))<0)
{
printf("socket() error!\n");
exit(1);
}
memset(&host_addr, 0, sizeof(host_addr));
host_addr.sin_family = AF_INET;
host_addr.sin_port = htons(4500);
host_addr.sin_addr.s_addr = htonl(INADDR_ANY);
const int on = 1;
if(setsockopt(sockfd, IPPROTO_IP, SO_REUSEADDR, &on, sizeof(on))<0)
{
printf("setsockopt() error!\n");
exit(0);
}
int encap = 2;
if(setsockopt(sockfd, IPPROTO_UDP, 100, &encap, sizeof(encap))<0)
{
printf("setsockopt() udp error!\n");
exit(0);
}
if (bind(sockfd, (struct sockaddr*)&host_addr, sizeof(host_addr)) < 0)
{
printf("unable to bind socket: %s\n", strerror(errno));
close(sockfd);
return -1;
}
set_ipsec_policy(sockfd);
printf("bind ..\n");
while(1)
{
sleep(1);
}
return 0;
}
