类似SSL的外挂协议（TLS、DTLS、IPsec、SSH、WireGuard、S/MIME、PGP）

SSL/TLS 是“传输层外挂安全层”；同类“外挂式”安全协议，按层级+外挂方式分三大类，最常用的是 TLS、DTLS、IPsec、SSH、WireGuard、S/MIME、PGP。

一、先明确：什么是“类似SSL的外挂协议”

SSL/TLS 的核心特点：

• 外挂式：在原有传输协议（TCP）之上加一层，不修改底层协议
• 安全层：只做加密、认证、防篡改，不负责业务逻辑
• 透明：上层应用（HTTP、WebSocket、RPC）几乎无感

下面按网络层级整理同类“外挂安全协议”，附一句话定位、用法、场景。

二、传输层/应用层外挂（最像SSL，直接套在TCP/UDP上）

1. TLS（Transport Layer Security）

• 定位：SSL 的官方继任、当前标准（SSL已废弃）
• 外挂方式：TCP 之上、应用层之下的安全层
• 作用：加密、身份认证、完整性、防重放
• 组合：HTTP+TLS=HTTPS；WebSocket+TLS=WSS；RPC+TLS=安全RPC
• 版本：TLS 1.2 / 1.3（主流）

✅ HTTPS = HTTP + TLS(SSL) + TCP ✅ TLS/SSL 就是：架在 TCP 之上、应用层之下 的一层外挂加密壳。

结构分层（从上到下）：

应用层： HTTP
—————————— ← TLS/SSL 加密层（外挂夹层）
传输层： TCP
网络层： IP

• ❌ 不是：SSL 替换了 TCP
• ✅ 而是：SSL 夹在 TCP 和 应用协议(HTTP/WS/RPC) 中间 纯外挂、附加层、不改动底层传输

明文HTTP → [TLS加密包裹] → TCP → 网络
← 外挂夹层

拓展： UDP 版本的同款夹层就是 DTLS，专门给 UDP 协议（直播、游戏、QUIC）做加密，逻辑一模一样。

2. DTLS（Datagram TLS）

• 定位：UDP版TLS，专为不可靠数据报设计
• 外挂方式：UDP 之上加安全层
• 解决：TLS 只能跑在TCP，DTLS 适配UDP
• 场景：实时音视频（RTP/SRTP）、游戏、物联网、VoIP、QUIC 底层

3. SSH（Secure Shell）

• 定位：远程登录/传输的安全外挂，替代明文Telnet/FTP
• 外挂方式：TCP 之上，自带加密+认证+会话
• 组合：SSH = 安全远程登录；SFTP = SSH+文件传输；SCP = 安全拷贝
• 特点：双向认证、强加密、可端口转发（隧道）

三、网络层外挂（IP层加密，全局通道）

1. IPsec（Internet Protocol Security）

• 定位：网络层全局加密外挂，给整个IP包加密
• 外挂方式：在IP层与传输层之间，对所有IP流量加密
• 模式：
  • 传输模式：只加密数据部分，IP头不变
  • 隧道模式：整个IP包加密，再封装新IP头（VPN常用）
• 组件：AH（认证）、ESP（加密+认证）、IKE（密钥交换）
• 场景：企业VPN、跨网安全通道、云专线

2. WireGuard

• 定位：轻量级IPsec替代，极简、高效、安全
• 外挂方式：网络层，内核级加密隧道
• 特点：代码量极小（≈4000行）、配置简单、性能远超IPsec
• 场景：现代VPN、嵌入式、云网络、移动设备

四、应用层外挂（给特定应用协议加安全）

1. S/MIME（Secure/Multipurpose Internet Mail Extensions）

• 定位：邮件安全外挂，给Email加加密/签名
• 外挂方式：在MIME邮件格式之上加安全层
• 作用：邮件加密、身份认证、防篡改
• 依赖：数字证书（X.509）

2. PGP/GPG（Pretty Good Privacy）

• 定位：文件/邮件端到端加密外挂，去中心化
• 外挂方式：对邮件正文/附件直接加密签名
• 特点：用户间直接交换公钥，无需CA
• 场景：个人隐私邮件、敏感文件加密、开源社区

3. SRTP（Secure Real-time Transport Protocol）

• 定位：实时音视频安全外挂，给RTP加安全
• 外挂方式：RTP 之上，结合 DTLS 做密钥交换
• 场景：WebRTC、视频会议、VoIP

五、极简对比表（一眼分清）

六、最容易混淆的点（一句话澄清）

七、一句话记忆口诀

• TLS：TCP上的安全壳（HTTPS/WSS）
• DTLS：UDP上的安全壳（实时音视频）
• IPsec：IP层的全局加密通道（VPN）
• SSH：远程登录的安全壳（替代Telnet）
• WireGuard：轻量快的现代VPN