IPsec-AHのみを使用する場合
私の知る限り、AHは整合性と認証のみを対象としています。したがって、中間ルーターがESPではなくAHでパケットを受信するとします。次に、ルーターがそのコンテンツを開き（<-とそれは明らかです）、パケットの認証データを読み取って、それを使用してIDを偽造することはできませんか？ （そして、リプレイ攻撃を可能にしますか？）
それで、これが本当なら、AHはESPでのみ有効ではないのですか？
編集：私が特に話していることは、パケットの内容を修正せずに、中間ルーターがパケットを読み取って、元の宛先にパケットを渡すことができることです。もしそうなら、認証は自動的に破られませんか？
IP認証ヘッダー（AH）は、IPデータグラムのコネクションレス整合性とデータオリジン認証（以下、単に「認証」と呼ぶ）を提供し、リプレイに対する保護を提供するために使用されます。この後者のオプションサービスは、セキュリティアソシエーションが確立されたときに、受信者が選択できます。 （デフォルトでは、送信側がアンチリプレイに使用されるシーケンス番号をインクリメントする必要がありますが、このサービスは、受信側がシーケンス番号をチェックする場合にのみ有効です。）AHは、IPヘッダーと上位レベルのプロトコルデータ。ただし、一部のIPヘッダーフィールドは転送中に変更される場合があり、これらのフィールドの値は、パケットが受信者に到着したときに送信者が予測できない場合があります。そのようなフィールドの値はAHで保護できません。したがって、AHによってIPヘッダーに提供される保護は、少しずつです。
AHは、IPカプセル化セキュリティペイロード（ESP）[KA97b]と組み合わせて単独で、またはトンネルモードを使用してネストされた方法で適用できます（「インターネットプロトコルのセキュリティアーキテクチャ」[KA97a]を参照）。セキュリティアーキテクチャドキュメント）。セキュリティサービスは、通信するホストのペア間、通信するセキュリティゲートウェイのペア間、またはセキュリティゲートウェイとホストの間に提供できます。 ESPは、同じセキュリティサービスを提供するために使用でき、機密性（暗号化）サービスも提供します。ESPとAHはカバレッジの範囲です。具体的には、ESPはIPヘッダーフィールドを保護しません
詳細については、これらのリンクを確認してください
https://tools.ietf.org/html/rfc4302
https://tools.ietf.org/html/rfc2402
http://www.amaranten.com/support/user%20guide/VPN/IPSec_Basics/Overview.htm
AHは メッセージ認証コード を使用します。これは、キーでパラメーター化された暗号化関数です。 MACは、特定のメッセージ（AHの場合はIPパケット）の「認証トークン」を計算します。各MAC値はメッセージ固有であり、別のメッセージには適用できません。したがって、MAC値を監視しても、ルーターは未検出の変更を行うことができません。ルーターにはキーがないため、変更されたパケットと一致するMAC値を計算できません。
AHにはシーケンス番号（MACでカバーされる）も含まれているため、ルーターは古いパケットを再生できません。
したがって、AHは、暗号化がなくてもデータの整合性を保証できます。整合性は、受信者が実際に受信したものを最後のビットまで確実に確認することです。 、送信者が送信したもの。その送信者も確実に識別されると（部外者が偽造できない方法で）、authenticityが得られます。これは強力な整合性です。 AHはそれを提供します。 AHが提供するものではないは機密性であり、第三者によるデータの読み取りを防止します。必要なESP for（IPsec context））AHmay完全性が重要であるが機密性ではない場合、または機密性がある場合に役立ちますからESPは非常に高価です（関連するハードウェアが特に扱いにくい場合は、暗号化の計算オーバーヘッドによって異なります）。