5.1 IPSec概述

IPSec网络层的安全协议，对IP数据包的机密性、完整性和重放进行保护

1、IPSec概述

• IPSec是IETF组织设计的网络层的一个安全协议标准簇，包括了数十个RFC文件和IETF草案，核心的有：

  • IPSec体系（RFC4301，2411）

    • 定义了IPSec基本概念、安全需求、定义、机制等

  • IPSec协议（RFC4302，4303，435，2403）

    • 定义了IPSec的两种基本协议，认证头协议AH和封装安全荷载协议ESP

  • 密钥管理协议（RFC4304，4306，2412）

    • 定义了密钥协商方面的协议，因特网密钥交换协议IKE是核心

• IPSec对IP分组进行安全保护，提供如下安全服务（RFC 4301）

  • 访问控制

  • 无连接完整性

  • 数据原发鉴别

  • 抗重放攻击

  • 数据机密性

  • 限制流量机密性

• IPSec体系

2、安全协议AH和ESP

• 安全关联（SA）

• • SA保护单向通信，双向安全交换需要建立两个安全关联

  • 一个特定的流量可以应用一个或多个SA（SA束）的嵌套进行保护

• 安全关联数据库（SAD）

• 安全策略数据库（SPD）

3、密钥管理

• IPSec发送包的流程

• IPSec接收包的流程

• 防重放攻击

• 传输模式和隧道模式

  

  

  • 传输模式

    • 以保护基于IP的上层协议报文为目的，如TCP、UDP、ICMP报文等

    • 典型用于两台主机之间端到端数据安全传输

    • 优势：能防止来自内网的威胁

    • 不足：对终端用户不透明   不能使用内部私有地址

  • 隧道模式

    • 保护整个IP分组，将整个IP分组作为IP安全协议的荷载进行封装，再加一个新的IP头

    • 隧道可以建立在任意的两个网络节点之间，实现点到点的数据安全保护

    • 不足：不能防止来自内网的威胁

    • 优势：对终端用户透明   能使用内部私有地址