3. 抗量子VPN协议架构设计

抗量子VPN不是把IKEv2里的DH组号换成一个后量子算法就结束了。真正的难点在于：后量子密钥封装（KEM）的公钥、密文尺寸远大于经典DH，认证链需要同时容纳RSA/ECDSA与ML-DSA等签名体系，而隧道数据面又必须保持与既有IPsec或TLS承载方式兼容。因此本节从分层架构入手，先明确每一层"换什么、不换什么"，再定义混合与纯后量子两种密钥交换模式，最后给出可落地的协议交互流程。

一、分层架构：把"可替换"与"必须稳定"切开

建议将抗量子VPN协议栈划分为五层，自下而上为：密码算法层、密钥交换层、身份认证层、隧道封装层、策略管理层。分层的核心原则是算法可插拔、报文格式稳定、策略可协商。

• 密码算法层：提供KEM（如ML-KEM-768）、签名（如ML-DSA-65）、对称算法（AES-256-GCM、SHA-384）与经典算法（X25519、ECDSA-P256）的统一抽象接口。上层只调用"KEM封装/解封装""签名/验签"原语，不感知具体算法。
• 密钥交换层：负责一次或多次KEM/DH交换的组合、共享秘密的拼接与KDF派生，是混合模式与纯后量子模式的分叉点。
• 身份认证层：承载证书链或预共享密钥，支持"经典签名+后量子签名"双证书并行验证。
• 隧道封装层：保持ESP/AH或TLS记录层格式不变，仅更换密钥来源，确保与现有网络设备、NAT穿越、MTU处理兼容。
• 策略管理层：定义模式选择、算法优先级、降级策略与合规审计点。

这样划分后，升级后量子能力主要改动密码算法层与密钥交换层，隧道封装层几乎不动，显著降低现网改造风险。

二、混合密钥交换模式：怎么组合才安全

混合模式的目标是"经典安全或后量子安全，二者取其一即可"。实现上有两种常见组合方式：串联拼接与嵌套封装。工程上更推荐串联拼接，因为它对报文格式改动最小、易于审计。

以IKEv2为例，发起方在IKE_SA_INIT中同时携带X25519公钥与ML-KEM-768公钥（后者约1184字节），响应方返回X25519公钥与ML-KEM密文（约1088字节）。双方各自计算：

SS_classical = X25519(私钥, 对端公钥)          // 32 字节
SS_pq        = ML-KEM.Decaps(密文, 私钥)        // 32 字节
SS           = SS_classical || SS_pq            // 64 字节
KEYMAT       = HKDF-SHA384(SS, salt=Ni||Nr, info="IKEv2-PQ-HYBRID")

注意三点工程细节：其一，拼接顺序必须由协议固定（如经典在前、后量子在后），否则两端派生结果不一致；其二，KDF的info字段应显式标注模式，防止混合模式与纯后量子模式之间发生密钥混淆；其三，ML-KEM公钥与密文体积大，单个IKE报文可能超过路径MTU，需要启用IKE分片（RFC 7383）或调整UDP封装策略，否则会出现"协商卡在INIT阶段"的典型故障。

三、纯后量子模式：目标态与适用边界

纯后量子模式去掉X25519，仅用ML-KEM派生共享秘密，认证侧仅信任ML-DSA证书链。它的优势是密码套件单一、审计简单、无经典算法残留；代价是对算法实现质量、证书签发体系与设备固件版本要求更高。实践中建议按"混合模式先行、纯后量子模式灰度"的路径推进：先在测试环境验证纯后量子模式的互通性，再在封闭专网或新建链路中试点，最后随标准与产品成熟度扩大范围。

模式选择应写入策略管理层，并明确降级规则。例如：策略要求"必须混合"，则对端仅支持经典DH时直接拒绝协商，而不是静默降级——静默降级是抗量子部署中最危险的反模式，会让攻击者通过伪造能力通告把连接拉回纯经典。

四、交互流程中的关键判断点

把上面的流程落到排障视角，有三个必须观察的判断点。第一，能力通告是否匹配：双方SA载荷中的Transform ID需同时包含混合套件标识，任一端缺失即协商失败，日志通常表现为NO_PROPOSAL_CHOSEN。第二，分片是否完整：抓包可见IKE_SA_INIT被拆为多个分片，若末片丢失则重传超时，应检查中间设备是否丢弃大UDP包。第三，认证是否双通过：混合模式下ECDSA与ML-DSA验签必须同时成功，任一失败都应终止并记录具体算法，便于定位是证书链问题还是算法实现问题。

综上，抗量子VPN协议架构的关键不在于"用了哪个后量子算法"，而在于分层解耦让算法可替换、双模式让过渡可控、交互流程让每个判断点可观测。把这三件事定清楚，后续的兼容测试才有明确的对照基准。