建立明确的IPsec边界

拜访网络的S-G📚W将S8方向的GTP-C和GTP-U流量送往双方约定的安全边界。安全边界可以是部署在S-GW、P-GW附近的安全网关，也可以是运营商专门部署的安全互联设备。逻辑上，IPsec隧道保护的是S-GW与🚀P-GW之间的跨网传输段。

用户先建立漫游数据会话

家庭路由（Home 😎Routed）是最典型的S8场景：用户数据从拜访网络回到归属网络的P-GW，再访问外部网络。此时应重点保护S-GW至归属侧P-GW的跨网路径。

S8隧道建立后，必须同时检查隧道状态和业务路由。常见部署会配置两条或多条安全隧道，并通过静态路由、动态路由或链路健康检查实现主备切换。主备路径的源地址、回程路由和策略匹配应保持一致，否✅则可能出现一端发送成功、另一端回包走错出口的情况。