01

IPSec概念

IPSec（Internet Protocol Security）是IETF定義的一個協(xié)議組。

通信雙方在IP層通過加密、完整性校驗、數(shù)據(jù)源認(rèn)證等方式，保證了IP數(shù)據(jù)報文在網(wǎng)絡(luò)上傳輸?shù)臋C密性、完整性和防重放。

機密性：對數(shù)據(jù)進(jìn)行加密保護(hù)，用密文的形式傳送數(shù)據(jù)

完整性：指對接收的數(shù)據(jù)進(jìn)行認(rèn)證，以判定報文是否被篡改

防重放：防止惡意用戶通過重復(fù)發(fā)送捕獲到的數(shù)據(jù)包所進(jìn)行的攻擊，即接收方會拒絕舊的或重復(fù)的數(shù)據(jù)包。

應(yīng)用場景：企業(yè)分支通過IPSec隧道接入企業(yè)總部

02

IPSec VPN

應(yīng)用場景及協(xié)議

?01??IPSec VPN的應(yīng)用場景分為3種?

1. ?Site-to-Site（站點到站點或者網(wǎng)關(guān)到網(wǎng)關(guān)）：

如彎曲評論的3個機構(gòu)分布在互聯(lián)網(wǎng)的3個不同的地方，各使用一個商務(wù)領(lǐng)航網(wǎng)關(guān)相互建立VPN隧道，企業(yè)內(nèi)網(wǎng)（若干PC）之間的數(shù)據(jù)通過這些網(wǎng)關(guān)建立的IPSec隧道實現(xiàn)安全互聯(lián)。

2. ?End-to-End（端到端或者PC到PC）：?

兩個PC之間的通信由兩個PC之間的IPSec會話保護(hù)，而不是網(wǎng)關(guān)。

3. ?End-to-Site（端到站點或者PC到網(wǎng)關(guān)）：

兩個PC之間的通信由網(wǎng)關(guān)和異地PC之間的IPSec進(jìn)行保護(hù)。

?02??IPSec 協(xié)議?

VPN只是IPSec的一種應(yīng)用方式，IPSec其實是IP Security的簡稱，它的目的是為IP提供高安全性特性，VPN則是在實現(xiàn)這種安全特性的方式下產(chǎn)生的解決方案。

IPSec是一個框架性架構(gòu)，具體由下面協(xié)議組成：

IPSec VPN體系結(jié)構(gòu)主要由下面這些協(xié)議套件組成：

AH（Authentication Header）

ESP（Encapsulating Security Payload）

IKE（Internet Key Exchange）

AH協(xié)議（使用較少）：提供的功能有數(shù)據(jù)源驗證、數(shù)據(jù)完整性校驗和防報文重放功能。

ESP協(xié)議（使用較廣）：提供AH協(xié)議的所有功能外（ESP的數(shù)據(jù)完整性校驗不包括IP頭），還提供對IP報文的加密功能

IKE協(xié)議：自動協(xié)商AH和ESP所使用的密碼算法

為何AH使用較少呢？

因為AH無法提供數(shù)據(jù)加密，所有數(shù)據(jù)在傳輸時以明文傳輸，而ESP提供數(shù)據(jù)加密；

其次AH因為提供數(shù)據(jù)來源確認(rèn)（源IP地址一旦改變，AH校驗失敗），所以無法穿越NAT。

當(dāng)然，IPSec在極端的情況下可以同時使用AH和ESP實現(xiàn)最完整的安全特性，但是此種方案極其少見。

編輯：黃飛