如何在 ESXi 上配置和使用 IPsec 来加密虚拟机流量？

是否考虑过利用 VMware 的 NSX-T 内置加密功能来保护虚拟机流量，它提供更简化的网络层安全策略？

在ESXi上配置IPsec加密虚拟机流量需通过主机层网络策略实现，步骤如下：

1. 环境准备：确认ESXi版本支持IPsec（6.x/7.x+），通过SSH或DCUI启用ESXi Shell。
2. 生成预共享密钥或证书：使用ipsecgenpsk生成密钥（例：ipsecgenpsk -a aes256 -h sha256），或配置CA证书。
3. 配置IPsec策略：编辑/etc/vmware/firewall/ipsec.xml，允许UDP 500/4500及ESP协议；通过esxcli network ip ipsec设置安全关联（SA）及策略（例：esxcli network ip ipsec sa add --enabled=true --src-ip=ESXi_IP --dst-ip=目标_IP --spi=0x1000 --auth-algo=sha256 --crypto-algo=aes256 --auth-key=密钥）。
4. 启用IPsec服务：执行esxcli network ip ipsec on启动服务，并用esxcli network ip ipsec status验证状态。
5. 验证加密：通过pktcap-uw抓包或跨主机VM互ping，检查ESP封装及加密流量。 注意事项：
   • 需同步配置所有通信主机的IPsec策略，确保算法/密钥一致；
   • 防火墙规则可能导致阻断，需开放相关端口；
   • 加密会提升CPU负载，建议评估性能影响；
   • 回滚方案：禁用IPsec服务（esxcli network ip ipsec off）并删除策略。