【计算机网络】IPSec的安全协议和封装模式

根据上一篇文章我们讲了IPSec的基本框架，这一篇我们将对IPSec的协议和封装模式进行讲解。

IPSec安全协议

• AH(Authentication Header)报文头验证协议，主要提供完整性、真实性、防重放功能；然而，AH并不加密数据报文(机密性)。IP协议号=51。
• ESP(Encapsulating Security Payload)封装安全载荷协议。除提供AH协议的所有功能外(但其完整性校验不包括IP头)，还可提供对数据报文的加密功能。IP协议号=50。

IPSec封装模式

• 在传输模式(Transport Mode)下，IPSec头被插入到IP头之后但在所有传输层协议之前，或所有其他IPSec协议之前。
• 在隧道模式(Tunnel Mode)下，IPSec头插在原始IP头之前，另外生成一个新的报文头放到AH或ESP之前。

封装模式对比：

安全性：
隧道模式隐藏原IP头信息，安全性更好。

性能:
隧道模式有一个额外的IP头，隧道模式比传输模式占用更多带宽

传输模式总结：

传输模式的IPSec会直接加到原IP头部后面。

• AH会被加到IP头部后面。

• ESP也会被加到IP头部后面，同时后面会出现一个ESP尾部。

• AH只支持验证不支持加密，验证范围为所有（包括IP头部）。

• ESP支持验证也支持加密，加密范围为ESP后面的部分（除去验证数据），而验证范围还会加上ESP头部。

隧道模式总结：

隧道模式的IPSec会加到原IP头部前面，然后再加上新IP头部。

除此处与传输模式不同，其他基本与传输模式相同