包封装协议

包封装协议

设想现实一种通讯方式。假定发信和收信需要有身份证（成年人才有），儿童没有身份证，不能发信收信。有2个儿童，小张和小李，他们的老爸是老张和老李。现在小张和小李要写信互通，怎么办？

一种合理的实现方式是：小张写好一封信，封皮写上 "小张-->小李", 然后给他爸爸，老张写一个信封，写上“老张-->老李”，把前面的那封信套在里面，发给老李，老李收到信以后，打开，发现这封信是给儿子的，就转给小李了。小李回信也一样，通过他父亲的名义发回给小张。

这种通讯实现方式要依赖以下几个因素：

* 老李和老张可以收信发信

* 小张发信，把信件交给老张。

* 老张收到儿子的来信以后，能够正确的处理（写好另外一个信封），并且重新包装过的信封能够正确送出去。

* 另外一端，老李收到信拆开以后，能够正确地交给小李。

* 反过来的流程一样。

把信封的收发人改成Internet上的IP地址，把信件的内容改成IP的数据，这个模型就是IPsec的包封装模型。小张小李就是内部私网的IP主机，他们的老爸就是VPN网关，本来不能通讯的两个异地的局域网，通过出口处的IP地址封装，就可以实现局域网对局域网的通讯。

引进这种包封装协议，实在是有点不得已。理想的组网方式，当然是全路由方式。（这里注意理想的组网方式虽然是全路由方式，但VPN的应用也不会因全网而没有用武之地，因为VPN的根本还是为了方便外网访问内网）任意节点之间可达（就像理想的现实通讯方式是任何人之间都可以直接写信互通一样）。

Internet协议最初设计的时候，IP地址是32位，当时是很足够了，没有人能够预料到将来Internet能够发展到现在的规模（相同的例子发生在电信短消息上面，由于160字节的限制，很大地制约了短消息的发展）。按照2的32次方计算，理论上最多能够容纳40亿个左右IP地址。这些IP地址的利用是很不充分的，另外大约有70%左右的IP地址被美国分配掉了（谁让人家发明并且管理Internet呢？）所以对于中国来说，可供分配的IP地址资源非常有限。

既然IP地址有限，又要实现异地lan-lan通讯，包封包，自然是最好的方式了。