IPsec概述

BeatRex

已于 2022-05-03 21:40:51 修改

阅读量9.3k

点赞数 2

分类专栏：计算机网络文章标签：网络安全 web安全

于 2022-05-03 16:54:20 首次发布

本文链接：https://blog.csdn.net/BeatRex/article/details/124551076

版权

12 篇文章 0 订阅

订阅专栏

一、 IPsec简介

是一组基于网络层的，应用密码学的安全通信协议族。IPsec不是具体指哪个协议，而是一个开放的协议族。
设计目标：是在IPv4和IPv6环境中为网络层流量提供灵活的安全服务。
是基于IPsec协议族构建的在IP层实现的安全虚拟专网。通过在数据包中插入一个预定义头部的方式，来保障OSI上层协议数据的安全，主要用于保护TCP、UDP、ICMP和隧道的IP数据包。

** IPsec提供的安全服务**
机密性、完整性、数据源鉴别、重传攻击保护、不可否认性

两种工作模式：传输模式、隧道模式
两个通信保护协议：鉴别头（AH，Authentication Header）、封装安全载荷（ESP，Encapsulating Security Payload）
密钥交换管理协议（IKE）：阶段一（两种基本模式：主模式、野蛮模式）、阶段2（Quick mode）
两个数据库：安全策略数据库SPD（Security Policy Database）、安全关联数据库SAD（Security Association Database）
解释域DOI（Domain of Interpretation）

主要应用场景：经常用于主机和主机之间端到端通信的数据保护。
封装方式：不改变原有的IP包头，在原数据包后面插入如IPsec包头，将原来的数据封装成被保护的数据

主要应用场景：经常用于私网与公网之间通过公网进行通信，建立安全VPN通道。
封装方式：增加新的IP（外网IP）头，其后是ipsec包头，之后再将原来的整个数据包封装。公网传输过程中看到的是公网IP，无法看到数据包中的私网IP

在这里插入图片描述

用IPsec保护一个IP包之前，必须先建立安全联盟（SA）
IPsec的安全联盟可以通过手工配置的方式建立，但是当网络中节点较多时，手工配置将非常困难，而且难以保证安全性。这时就可以使用IKE（Internet Key Exchange）自动进行安全联盟建立与密钥交换的过程。Internet密钥交换（IKE）就用于动态建立SA，代表IPsec对SA进行协商。

IKE经过两个阶段为IPsec进行密钥协商并建立安全联盟：

第一阶段交换：通信各方彼此建立了一个已通过身份验证和安全保护的通道，此阶段的交换建立了一个ISAKMP安全联盟，即ISAKMP SA（也可称为IKE SA）。第一阶段交换由两种协商模式：主模式协商（公网IP固定）、野蛮模式协商（拨号等公网IP不固定）
第二阶段交换：用已经建立的安全联盟（IKE SA）为IPsec协商安全服务，即IPsec协商具体的安全联盟，建立IPsec SA，产生真正可以用来加密数据流的密钥，IPsec SA用于最终的IP数据安全传送。