第三步：建立并验证IPsec隧道

典型数据方向：终端 → eNod👍eB → 拜访地 🔥S-GW → S8 安全传输通道 → 归属地 P-GW → SGi 接口 → 互联网或业务平台

其中，S8上的 IPsec通常是“网❤️关到网关”的保护方式。它可以防止链路中间设备直接读取或篡改隧道内的报文，但不代表业务数据从终端到最终服务器始终保持端到端加密。如果应用本身没有使用 TLS 等机制，数据在后续网络节点上的保护范围仍取决于运营商的内部安全设计。

S8接口连接的是哪些网络节点

S8链路不是只有一层加密，而是由无线侧保护、核心网隧道和应用层安全共同组成。每一层保护的对象和范围不同，不能互相替代。

在拜访地和归属地的网络边界分别配置安全网关或具备 IPs📢ec 能力的边界设😎备。双方需要提前确认对端地址、隧道数量、冗余关系、路由范围、允许的 GTP 流量以及故障切换方式。安全网关不宜直接暴露全部核心网地址，应通过专用接口、访问控制列表和最小权限规则限制通信范围。