4.3. 组合 SA

本文档不要求支持嵌套安全关联，也不要求支持 RFC 2401 [RFC2401] 所称的“SA 捆绑（SA bundle）”。这些功能仍可通过适当配置 SPD 和本地转发功能（用于入站和出站流量）来实现，但这种能力位于 IPsec 模块之外，因而超出本规范的范围。因此，与 RFC 2401 [RFC2401] 隐含模型下的情况相比，嵌套/捆绑 SA 的管理可能更复杂，保障也 weaker。提供嵌套 SA 支持的实现应该（SHOULD）提供管理接口，使用户或管理员能够表达嵌套需求，然后创建适当的 SPD 条目和转发表条目以执行所需的处理。（关于如何配置嵌套 SA 的示例，见附录 E。）