IPSec VPN你理解到位了吗？

最新推荐文章于 2025-03-05 11:10:23 发布

网络工程师鸡哥

最新推荐文章于 2025-03-05 11:10:23 发布

阅读量1.5k

点赞数 40

文章标签：网络运维经验分享服务器

本文链接：https://blog.csdn.net/2401_87792907/article/details/145246873

版权

IPsec VPN基本概念

IPsec是由Internet Engineering Task Force（IETF）定义的一套安全标准框架，主要用于在公网上为两个私有网络提供安全通信通道，保证连接的安全性。IPsec VPN通过在两个公共网关间提供私密数据封包服务，确保数据在传输过程中不被窃取、篡改或伪造。

IPsec VPN协议体系结构

IPsec主要由三个核心协议组成：IKE（Internet Key Exchange）、AH（Authentication Header）和ESP（Encapsulating Security Payload）。

IKE协议：IKE协议用于协商安全联盟（Security Association，SA）和密钥管理。它分为IKEv1和IKEv2两个版本，其中IKEv2修复了IKEv1中的安全漏洞，提高了协商效率和安全性能。IKE协议通过基于UDP的应用层协议，综合了ISAKMP、Oakley和SKEME协议，用于建立IKE SA和IPsec SA。

AH协议：AH协议主要用于对IP报文进行数据源认证和完整性校验，确保传输的IP报文的来源可信且数据不被篡改。但它不提供加密功能，而是在每个数据包的标准IP报文头后面添加一个AH报文头。

ESP协议：ESP协议除了提供数据源认证和完整性校验外，还能对数据进行加密。它在每个数据包的标准IP报头后方添加一个ESP报文头，并在数据包后方追加一个ESP尾。ESP协议在传输模式下的数据完整性校验范围不包括IP头，因此不能保证IP报文头不被篡改。

IKE协商

IKE协议分IKEv1和IKEv2两个版本。

IKEv1

IKEv1使用两个阶段为IPSec进行密钥协商并建立IPSec SA。

第一阶段，通信双方协商和建立IKE本身使用的安全通道，建立一个IKE SA。

主模式（Main Mode）

主模式包含三次双向交换，共涉及六条ISAKMP消息：

消息①：发起方发送封装有IKE安全提议的SA载荷进行安全提议协商。SA中的参数包括加密算法、认证算法、身份认证算法、Diffie-Hellman（DH）组、IKE SA生存周期等。

消息②：响应方查找最先匹配的IKE安全提议，并发送一个SA载荷，表明接受协商的IKE安全提议。

消息③和④：发起者和接受者交换DH公开值（KE载荷）和临时随机数（Ni、Nr）。这些值是计算共享密钥（用来生成加密密钥和认证密钥）所必需的。

消息⑤和⑥：双方交换身份ID（ID载荷）和验证Hash值（AUTH载荷）。这两个消息中传递的信息是加密的，加密的密钥由消息③和④中交换的密钥信息生成，所以身份信息受到保护。

野蛮模式（Aggressive Mode）

野蛮模式只用到三条信息：

消息①：发起端发送封装有IKE安全提议的SA载荷。在野蛮模式中，只带有一个安全提议（包括加密算法、认证算法、身份认证算法、DH组、IKE SA生存周期等），响应者可以选择接受或拒绝该安全提议。此外，DH公开值（KE载荷）、临时随机数（Ni载荷）和身份ID（ID载荷）也在其中发送。在野蛮模式下，身份信息未经加密，因此可以在获取报文头时看到。

消息②：响应者发送SA载荷，包含推荐的安全提议。同时，也发送DH公开值（KE载荷）、临时随机数（Nr载荷）、身份ID（ID载荷）和验证Hash值（AUTH载荷）。

消息③：发起端发送验证Hash值，确认协商成功。