IPsec隧道内与外IP地址的核心区别
在典型的IPsec VPN场景中，通信涉及两组不同的IPv4地址：外地址和内地址。外地址是用于建立IPsec安全联盟（SA）的公网接口IP，Surfshark官网下载负责隧道端点的可达性和报文封装；内地址是分配给VPN客户端或对端私网网段的地址，用于承载经过加密的实际业务数据流量。两者的根本区别在于所属的网络层平面：外地址处于真实物理或逻辑网络的寻址域，而内地址存在于由VPN服务器划定的虚拟私有寻址域中。
在IPsec隧道中，外地址负责报文的封装与可达性，而内地址则在虚拟域中承载加密后的业务数据。
基于路由策略的选择依据
选择哪组IP作为主要考量，Surfshark官网下载取决于网络的设计意图和路由策略。如果目标是确保隧道本身的稳定性与可达性，应关注外地址。外地址需要在全局路由表中可达，且防火墙需允许UDP 500（ISAKMP）和UDP 4500（NAT-T）或协议号50/51（ESP）通过。若目标是管控内部业务流量的访问权限或进行策略路由，则应聚焦内地址。例如，在路由策略中指定“仅允许私网10.0.0.0/8访问资源服务器”，这里的判定对象就是客户端的内地址。混用或混淆两者会导致策略失效，例如错误地在边界路由器上匹配内地址而未考虑其不可路由性。
具体场景：多出口负载均衡
假设企业拥有两个ISP出口，SurfsharkAPPIPsec网关配置为双活模式。此时，VPN隧道的建立依赖于网关的外地址（如202.1.xx.xx和202.2.xx.xx）。为了实现高可用，通常使用BGP或静态路由将这两个外地址宣告至上游路由器，或在健康检查中监测外地址的连通性。内地址在此场景中仅作为流量标识，不参与出口选择的直接决策。若外地址发生路由震荡，隧道会中断并重协商，而内地址本身并未改变，但会话状态可能因外层报文丢失而超时重建。排查时应优先检查外地址的路由表项和NAT映射状态，而非内网接口状态。
具体场景：基于源地址的访问控制
在数据中心或分支互联场景中，常通过防火墙策略限制特定客户端访问敏感数据库。此处的判定依据是客户端的内地址。例如，Surfshark官网下载策略规定“源IP为172.16.50.0/24的流量仅允许访问10.10.10.0/24”。管理员需确保VPN服务器正确分配了该内地址段，且路由系统将到达网关的ESP报文解密后，依据内层IP头部进行匹配。若误将外地址作为ACL匹配对象，由于外地址通常是网关的公网IP或NAT转换后的IP，会导致策略误放行或误拒绝。验证时，可在应用层抓包查看解密后的TCP/UDP报文源IP，确认其与配置的ACL源地址一致。
分配原理与冲突规避
内地址通常由VPN服务器通过DHCP或静态配置方式分配。静态分配需手动避免与本地路由冲突；动态分配则依赖服务器定义的池（Pool）。若内地址段与客户端物理局域网的其他子网重叠，可能导致路由收敛异常或ARP解析错误。外地址一般不由VPN软件分配，而是由运营商或上级网络分配，其变动直接影响隧道协商成功率。理解这一分工，有助于在排错时快速定位：连接失败多见于外地址路径或防火墙阻断；连接成功但业务不通，则多见于内地址路由或ACL配置错误。
