S8加密不等于整条访问链路都加密

S8隧道建立后，必须同时检查隧道状态和业务路由。常见部署会配置两条或多条安全隧道，并通过静态路由、动态路由或链路健康检查实现主备切换。主备路径的源地址、回程路由和策略匹配应保持一致，否则可能出现一端发送成功、另一端回包走错出口的情况。

先确定是家庭路由还是本地分流

S8是不同移☀️动运营商网络之间的核心网接口，最常见于国际或跨网LTE漫游。S-GW通常位于用户当前接入的拜访网⚡络，P-GW则位于用户所属的归属网络。用户访问互联网时，数据可能先回到归属网络，再由归属网络的P-GW完成地址分配、策略控制、计费和外部网络转发。

拜访网络的S-GW将S8方向的GTP-C和GTP-U流量送往双方约定的安全边界。安全边界可以是部署在S-G✨W、P-GW附近的安全网关，也可以是运营商专门部署的安全互联设备。逻辑上，IPsec✅隧道保护的是S-GW与P-GW之间的跨网传输段。

如果采用本地分流（Local Br🎇eakout），P-GW可能位于拜访网络，数据不再按传统方式回到归属网络。此时不能照搬家庭路由的S8拓扑，需要重新确认P-GW位置、外部出口以及双方的安全边界。