IPsec VPN 可以先粗略理解成一句話：在 IP 層用 IPsec 這套安全機制保護通訊的 VPN。 它不是單一協議名稱，而是一整套在網絡層提供加密、完整性校驗和身份認證的機制，常見於企業遠端接入、站點到站點互聯，以及某些系統級 VPN 方案。［1］［2］

如果你需要補齊 VPN 基礎，可以先用這篇VPN 完整指南理清隧道、出口 IP、加密和路由，再回到本文。

如果你只想先看結論：IPsec VPN 到 2026 年仍然沒有過時。 它穩定、成熟、適合網絡層隧道，但配置和網絡兼容性通常比純消費級 VPN App 更複雜，也更容易牽涉 NAT、端口放行和閘道策略。［1］［3］

關鍵要點

IPsec 不是單一算法，而是一套在 IP 層提供機密性、完整性和認證能力的安全架構。［1］

AH、ESP、SA 和 IKEv2 是理解 IPsec VPN 最核心的幾個概念。［1］［2］

IPsec 常見於站點到站點和企業遠端接入，不只是「個人轉地區」那類 VPN。［1］［4］

它支援傳輸模式和隧道模式，兩者解決的問題不同。［1］

NAT 環境會令 IPsec 更複雜，這也是為甚麼你常會看到 NAT-T 和路由器 passthrough 這些名詞。［3］［5］

如果你還未把協議和隧道這兩個基礎概念分開，建議先看 VPN 協議對比：WireGuard vs OpenVPN vs IKEv2 和甚麼是 VPN 隧道？原理、類型與常見誤解，再回來看 IPsec，會更容易理解它為甚麼偏企業網絡。

IPsec 到底是甚麼？

RFC 4301 直接把 IPsec 定義為 Internet Protocol 的安全架構。它的核心目標，是在 IP 層為數據報提供機密性、資料完整性、存取控制和資料來源認證。［1］

這句話拆開後，其實就是四件事：

確保資料內容不被隨便看見；
確保資料沒有在中途被篡改；
確保通訊雙方身份可驗證；
確保只有符合策略的流量能進入隧道。

所以 IPsec 更像「網絡層安全積木」，而 IPsec VPN 則是把這套積木搭成一條 VPN 隧道。

IPsec VPN 由哪些部分組成？

Surfshark 那篇源文把這部分拆成 AH、ESP、SA，我這裏補成更接近工程理解的版本：

組件	它負責甚麼	你可以怎樣理解
AH	完整性和認證	證明封包沒被改、來源可信
ESP	加密，也可提供完整性保護	把有效載荷包起來
SA	Security Association	雙方對算法、密鑰、參數的約定
IKE / IKEv2	協商和維護 SA	負責「先談好規則，再開始加密通訊」［2］

多數現代部署裏，你更常聽到的是 ESP + IKEv2。原因很簡單：AH 對 NAT 的兼容性更差，而 ESP 配合 IKEv2 更符合今天的實際部署。

IPsec VPN 是如何運作的？

你可以把它理解成 6 步：

雙方先用 IKEv2 協商身份、算法和密鑰；
建立好 Security Association；
符合策略的 IP 流量被挑出來；
流量透過 ESP 等機制加密和封裝；
數據包穿過公開網絡；
對端按同樣約定解密並校驗完整性。［1］［2］

這也是為甚麼 IPsec 比很多人以為的「單純加密」更複雜。它不只是加密，還包括協商、策略匹配、會話維護和重新協商。

如果你想先補「隧道」這個概念本身，可以順手看甚麼是 VPN 隧道？原理、類型與常見誤解。

傳輸模式和隧道模式有甚麼分別？

這是理解 IPsec VPN 必須分清的一組概念。

模式	保護對象	更常見場景
傳輸模式	原始 IP 封包的有效載荷	端到端主機通訊
隧道模式	整個原始 IP 封包	閘道到閘道、遠端接入 VPN［1］［2］

多數企業 VPN 場景裏，更常見的是隧道模式。因為它更適合：

分支機構到總部互聯；
員工從外網連回公司；
把整段內網流量包進統一隧道。

為甚麼 IPsec 經常和 NAT、MTU、路由器兼容性綁在一起？

因為 IPsec 工作在 IP 層，而現實網絡裏到處都是 NAT。

RFC 3715 和 RFC 3947 都專門討論了 IPsec 與 NAT 的兼容問題。簡單說，IPsec 的部分報文特性會和 NAT 的地址/端口轉換機制衝突，所以後來才有 NAT Traversal 這套補救路線。［3］［5］

這會帶來幾個實際現象：

某些網絡下 IPsec 建連不穩定；
路由器要明確支援相關 passthrough 或 NAT-T；
額外封裝會增加報文開銷，進而影響有效載荷大小。

這也是為甚麼你在企業環境裏常會遇到「能 ping 但不能連」「隧道能起但業務不通」這類問題。

IPsec VPN 適合哪些場景？

站點到站點互聯

這是 IPsec 的經典強項。總部、分支和雲端閘道之間建立長期隧道，是它最成熟的用途之一。［1］

企業遠端接入

員工從酒店、家居網絡或出差環境接入公司內網時，IPsec 仍然很常見，尤其是在系統原生支援較完善的環境裏。［2］［4］

對網絡層控制要求高的場景

如果你要保護的是整段網絡流量，而不是某個瀏覽器入口或單一 Web 應用，那麼 IPsec 往往比更偏應用層的方案更貼切。

IPsec VPN 和 SSL VPN 有甚麼分別？

這也是大家最常一起比較的一組。

維度	IPsec VPN	SSL VPN
工作層級	更偏網絡層	更常見於瀏覽器/應用接入
典型場景	站點到站點、系統級遠端接入	入口、瀏覽器接入、細粒度業務入口
網絡兼容性	常受 NAT、端口與閘道策略影響［3］［5］	往往更容易適應常見 HTTPS 環境
上手門檻	通常更高	通常更低

如果你想單獨看這組對比，可以繼續讀甚麼是 SSL VPN？它和 IPsec VPN 有甚麼分別，現在還值得用嗎？。

2026 年還值得關注 IPsec VPN 嗎？

值得，尤其是下面三類人：

做企業網絡和遠端接入的人；
經常碰系統原生 VPN 配置的人；
想理解「為甚麼某些 VPN 方案更講究閘道、策略和 NAT 兼容性」的人。

但如果你只是想讓手機和電腦預設更安全，不想碰證書、閘道、策略和隧道模式，那你真正關心的通常不是「IPsec 要不要學」，而是「哪個客戶端最省心」。

總結

IPsec VPN 是把 IPsec 這套網絡層安全架構用於 VPN 隧道。［1］
理解它的關鍵是分清 ESP、SA、IKEv2、傳輸模式和隧道模式。［1］［2］
它在企業遠端接入和站點到站點互聯裏依然非常重要。［1］［4］
NAT 和兼容性是 IPsec 現實部署裏最常見的複雜度來源。［3］［5］

常見問題（FAQ）