项目中需要将IPsec的控制面和转发面进行分离，也就是说IKE协商在一个vm上进行，然后协商成功的child sa通过ip xfrm下发到另外的vm上用来加解密流量。实际使用的时候发现，如果是不穿越nat的时候，是可行的，因为这个时候走的esp或者ah协议。但是如果要穿越nat的话，报文经过udp封装之后就不能正常加解密了，转念一想，这样是正常的，因为vm上并没有打开对应的udp端口，报文在进入协议栈的时候就被丢掉了，linux系统会返回给发包方一个端口不可达的错误消息。
为了正确处理udp封装的ipsec报文，必须要在linux正确打开对应端口，一般是4500。
Perl 语言版：
http://techblog.newsnow.co.uk/2011/11/simple-udp-esp-encapsulation-nat-t-for.html
设置IP_XFRM_POLICY部分的内容没有办法正确执行，可能是版本太老的原因。
Python语言版
实际测试发现，不配置IP_XFRM_POLICY也是可以正常加解封装UDP封装的IPsec报文的。 socket必须是global变量。
def init_socket(port):
global udp4500
udp4500 = socket.socket(socket.AF_INET, socket.SOCK_DGRAM, socket.IPPROTO_UDP)
udp4500.setsockopt(socket.IPPROTO_IP, socket.SO_REUSEADDR, 1)
udp4500.setsockopt(socket.IPPROTO_UDP, 100, 2)
# IP_IPSEC_POLICY = 17
# IPSEC_DIR_INBOUND = 0
# IPSEC_DIR_OUTBOUND = 1
#
# policy1 = struct.pack("384xH828xLLBBBB", 2, 0, 0, IPSEC_DIR_OUTBOUND, 0, 0, 0)
# policy2 = struct.pack("384xH828xLLBBBB", 2, 0, 0, IPSEC_DIR_INBOUND, 0, 0, 0)
# s.setsockopt(socket.IPPROTO_IP, IP_IPSEC_POLICY, policy1)
# s.setsockopt(socket.IPPROTO_IP, IP_IPSEC_POLICY, policy2)
udp4500.bind(("0.0.0.0", port))
C语言版：
http://blog.csdn.net/xingyeping/article/details/51353448
可以正常执行，代码如下：
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/types.h>
#include <sys/socket.h>
#include <string.h>
#include <errno.h>
#include <unistd.h>
#include <stdlib.h>
#include <fcntl.h>
#include <sys/ioctl.h>
#include <netinet/in_systm.h>
#include <netinet/in.h>
#include <netinet/ip.h>
#include <netinet/udp.h>
#include <net/if.h>
#include <linux/xfrm.h>
int set_ipsec_policy(int fd)
{
struct xfrm_userpolicy_info policy;
u_int sol, ipsec_policy;
sol = IPPROTO_IP;
ipsec_policy = IP_XFRM_POLICY;
memset(&policy, 0, sizeof(policy));
policy.action = XFRM_POLICY_ALLOW;
policy.sel.family = AF_INET;
policy.dir = XFRM_POLICY_OUT;
if (setsockopt(fd, sol, ipsec_policy, &policy, sizeof(policy)) < 0)
{
printf("unable to set IPSEC_POLICY on socket: %s\n",strerror(errno));
return -1;
}
policy.dir = XFRM_POLICY_IN;
if (setsockopt(fd, sol, ipsec_policy, &policy, sizeof(policy)) < 0)
{
printf("unable to set IPSEC_POLICY on socket: %s\n",strerror(errno));
return -1;
}
return 0;
}
int main(int argc, char *argv[])
{
int sockfd = -1;
struct sockaddr_in host_addr;
if((sockfd = socket(AF_INET, SOCK_DGRAM, IPPROTO_UDP))<0)
{
printf("socket() error!\n");
exit(1);
}
memset(&host_addr, 0, sizeof(host_addr));
host_addr.sin_family = AF_INET;
host_addr.sin_port = htons(4500);
host_addr.sin_addr.s_addr = htonl(INADDR_ANY);
const int on = 1;
if(setsockopt(sockfd, IPPROTO_IP, SO_REUSEADDR, &on, sizeof(on))<0)
{
printf("setsockopt() error!\n");
exit(0);
}
int encap = 2;
if(setsockopt(sockfd, IPPROTO_UDP, 100, &encap, sizeof(encap))<0)
{
printf("setsockopt() udp error!\n");
exit(0);
}
if (bind(sockfd, (struct sockaddr*)&host_addr, sizeof(host_addr)) < 0)
{
printf("unable to bind socket: %s\n", strerror(errno));
close(sockfd);
return -1;
}
set_ipsec_policy(sockfd);
printf("bind ..\n");
while(1)
{
sleep(1);
}
return 0;
}
