1. 抗量子VPN需求分析与威胁建模
在动手改造任何一条VPN链路之前，必须先回答三个问题：量子计算究竟威胁到哪一层、哪些安全目标必须重新定义、以及在不破坏现网兼容性的前提下我们能接受多大的性能代价。本节围绕这三个问题展开，最终形成一份可评审、可追溯的需求规格说明书。
一、量子威胁的两种攻击面
量子计算对VPN的威胁并非单一维度，需要区分两类性质完全不同的攻击。
第一类是“先存后解”（Harvest Now, Decrypt Later）。攻击者今天被动记录IPsec ESP密文或TLS应用数据，等未来具备足够规模的容错量子计算机后，再用Shor算法从握手阶段暴露的公钥反推出共享密钥，从而解密历史流量。这类威胁针对的是机密性，且具有回溯性——今天不迁移，十年后的解密风险已经埋下。对长期敏感数据（如政务档案、医疗记录、根证书私钥）而言，这是最紧迫的威胁。
第二类是握手阶段的实时伪造与身份冒用。Shor算法可破解RSA、DH、ECDH、ECDSA等所有基于大整数分解或离散对数的算法。攻击者若在握手时实时破解签名，就能实施中间人攻击，冒充网关或服务器。这类威胁针对的是身份认证与完整性，影响的是当下连接的可信度。
需要特别指出：对称加密（AES-256、ChaCha20）和哈希（SHA-256/384）受Grover算法影响仅为平方根级加速，AES-256的有效强度仍约128位，属于“可接受但需关注”的范畴，不是迁移重点。真正的迁移重心在密钥交换与数字签名。
二、三类协议的威胁差异与迁移切入点
IPsec/IKEv2。IKEv2的密钥交换依赖DH或ECDH，认证依赖RSA/ECDSA证书或预共享密钥。迁移切入点最清晰：在IKE_SA_INIT阶段引入混合密钥交换（如X25519 + ML-KEM-768），在IKE_AUTH阶段引入PQC签名证书。难点在于IKEv2报文长度受UDP分片与MTU约束，ML-KEM公钥约1184字节，需要评估分片与重传影响。
TLS 1.3。标准化程度最高，IETF已定义混合密钥交换组（如X25519MLKEM768），主流库已可实验性启用。证书链的PQC签名迁移更复杂，涉及CA生态与链长度膨胀。TLS 1.3的密钥交换与认证分离设计，使其可以先迁移密钥交换、后迁移证书，是风险最低的路径。
WireGuard。设计极简，固定使用Curve25519进行静态与临时密钥交换，没有算法协商字段。这意味着无法通过配置切换算法，必须修改协议实现或采用外层封装（如在其上叠加PQC隧道）。其优势是代码量小、易于审计和改造；劣势是缺乏敏捷性，迁移成本集中在实现层而非配置层。
三、安全目标、性能指标与兼容性约束
需求规格说明书的核心是把“抗量子”翻译成可验证的条目。安全目标至少包括：密钥交换具备抗量子机密性（推荐混合模式，经典算法与PQC并存，任一不被同时攻破即安全）；身份认证具备抗量子不可伪造性；保留前向保密；迁移期允许双栈共存与平滑回退。
性能指标需给出可测量阈值。以下为一组教学示例参数（非实测值，实际项目须以现网基准测试为准）：
| 指标 | 基线（经典算法） | 目标（混合PQC） | 判据 |
|---|---|---|---|
| 握手时延（IKEv2） | 约 40 ms | ≤ 80 ms | 增量不超过 2 倍 |
| 握手报文大小 | 约 1.2 KB | ≤ 4 KB | 不触发额外分片 |
| 隧道吞吐 | 1.0 Gbps | ≥ 0.85 Gbps | 下降不超过 15% |
| 新建连接速率 | 2000 CPS | ≥ 1200 CPS | 满足峰值并发 |
兼容性约束往往比性能更棘手，必须在需求阶段写死：现网对端设备是否支持算法协商扩展；中间设备（防火墙、负载均衡、DDoS清洗）能否透传增大的握手报文；证书链长度增加后是否超出对端解析上限；是否要求与不支持PQC的老旧分支节点互通。对这些约束，规格书应明确“必须支持降级回退”或“允许隔离为独立隧道”等处置策略。
四、需求规格说明书的落地结构
一份可评审的规格书建议包含：威胁模型（资产、攻击者能力假设、攻击路径）、安全功能需求（编号化，如SR-01混合密钥交换、SR-02 PQC证书链）、性能需求（带阈值与测量方法）、兼容性需求（对端矩阵与回退策略）、验收准则（每项需求对应的测试方法与通过条件）。需求编号必须可追溯到后续设计与测试用例，形成闭环。
威胁建模推荐采用结构化方法：先列出资产（会话密钥、长期私钥、历史流量），再假设攻击者能力（当前可记录、未来可解密、握手期可实时计算），然后沿协议握手流程逐阶段标注暴露的公钥材料与可被破解的环节，最后为每个环节分配缓解需求。这样得到的规格书不是泛泛而谈的“要抗量子”，而是能直接驱动下一阶段协议选型与测试设计的工程输入。