Linux内核的IPIP隧道【明文内网】

General
1

Linux 系统内核自带了一种开销几乎为 0% 的终极明文打洞方案：IPIP 隧道 (IP-in-IP)。

它直接在系统最底层把内网数据包套上公网 IP 的壳扔过去，全程无需任何加密计算，对您的 CPU 来说就像普通的网卡收发一样轻松。

只需在两台机器上分别敲三行命令，立刻建立纯明文内网：

在 发送端 VPS (假设它的公网IP是 1.1.1.1) 执行：

Bash

ip tunnel add tun0 mode ipip remote 2.2.2.2 local 1.1.1.1
ip link set tun0 up
ip addr add 10.0.1.1/24 dev tun0

在 接收端 VPS (假设它的公网IP是 2.2.2.2) 执行：

Bash

ip tunnel add tun0 mode ipip remote 1.1.1.1 local 2.2.2.2
ip link set tun0 up
ip addr add 10.0.1.2/24 dev tun0

执行完后，两台机器就能通过 10.0.1.1 和 10.0.1.2 极速互通了！这就是 Linux 网络架构里最快、最轻量的点对点直连方案。

类似于easyTier这些内网工具的取消加密。
如何取消（关闭加密）：
如果您使用的是 EasyTier 的配置文件（通常是 config.toml），里面有一项专门的配置：

# 默认是 true，改成 false 即可关闭加密
enable_encryption = false

如果您是纯命令行启动，可以通过输入 easytier-core --help 查看，较新版本通常提供了 --disable-encryption 或不提供 --network-secret 的明文运行模式。

:warning: 数据将在公网上 100% 纯明文传输

2

IPsec（Internet Protocol Security）可以说是网络安全领域的“老大哥”，它是企业级 VPN 和异地组网中最经典、最正统的国际标准。

IPsec vs 您之前尝试的方案

既然您在追求 E5 服务器的极致性能，我们把 IPsec 和您之前了解的方案做个硬核对比：

特性 IPIP 隧道 (您尝试的) WireGuard (推荐的) IPsec (ESP 隧道模式)
安全性 绝对为 0 (明文裸奔) 极高 (现代密码学) 极高 (军工级标准)
CPU 开销 极低 (接近 0%) 极低 (内核态原生) 中等偏高 (算法复杂)
配置难度 极简 (3行命令) 简单 (一对公私钥) 地狱级 (极其复杂的策略和阶段配置)
生态兼容性 仅限 Linux 互通 现代系统支持好 无敌 (任何企业级防火墙、路由器原生支持)

:light_bulb: 架构师建议：您需要用 IPsec 吗？

如果您只是为了解决 Seafile 两台 Linux 服务器之间的跨网同步：强烈不建议使用 IPsec。

原因：

  1. 配置极其折磨人：配置 IPsec 隧道（比如使用 StrongSwan 或 Libreswan）需要编写非常复杂的配置文件，涉及各种提议、加密套件匹配，一旦有一行配错，连排错都无从下手。
  2. 性能沉重：虽然 IPsec 在内核运行，但它的历史包袱重，传统算法（如 AES-CBC）在没有专门硬件加速卡的情况下，对 CPU 的消耗依然远大于 WireGuard 采用的流密码（ChaCha20）。

最终结论：
IPsec 是用来给企业级硬件路由器（比如思科、华为防火墙）打通跨国机房用的。对于两台 Linux VPS 之间的安全通信，WireGuard 依然是性能最高、最轻量、最现代的最优解。 您的 E5 处理器运行 WireGuard 时，不仅绝对安全，CPU 占用也能被压到最低。