linux内核xfrm参数replay-window用于设定抗重放攻击效果。
replay-window为0表示不启用抗重放攻击，大于0时表示当前esp/ah包活动序列窗口大小，序号太旧的包因赶不上活动窗口而被丢弃或回复失败包。
在基于
StrongSwan PSK RSA
连通的环境下。
在C机器中编辑/etc/strongswan.d/charon.conf，更改replay-window值。
重启strongswan并启动连接后，可能通过命令
1 | ip xfrm state |
查看strongswan有没有将参数值设定到内核中。
在B机器中
1 | apt install tcpreplay |
在B机器中启动两个wireshark进程，分别抓包vmnet2和vmnet3。
当B和C中的strongswan都启动并连通后，在A中ping D的ip。
此时在B中抓vmnet3上的esp包，抓了几个后，点击对应wireshark窗口菜单
1 | File/Export Specified Packet |
将这些esp包保存为文件
1 | /tmp/esp-b2c.pcapng |
在A中停止ping D的ip。
在B的bash中执行
1 | tcpreplay -i enp2s6 /tmp/esp-b2c.pcapng |
其中enp2s6是网卡vmnet3对应的识别名。
可以看到，
当C中的replay-window参数设为0时，B中的vmnet2上会抓到模拟重放的icmp ping包，并且方向是10.2.0.10至10.1.0.10。
当C中的replay-window参数不为0时，B中的vmnet2上抓不到模拟重放的icmp ping包。
一旦重启B或C中的strongswan，使用旧的esp-b2c.pcapng文件重放时，不管C中的replay-window取何值，B中的vmnet2上都不会出现模拟重放包。