IPSec相关知识汇总

最新推荐文章于 2023-12-06 19:07:02 发布

李老板的水果店

最新推荐文章于 2023-12-06 19:07:02 发布

阅读量999

点赞数 1

分类专栏：笔记

本文链接：https://blog.csdn.net/qq_36629373/article/details/119706045

版权

7 篇文章 0 订阅

订阅专栏

SA是单向的,进入(inbound)SA负责处理接收到的数据包，外出 (outbound)SA负责处理要发送的数据包。因此每个通信方必须要有两种SA，一个进入SA，一个外出SA，这两个SA构成了一个SA束 (SA Bundle)
发送实体和接收实体均需要维护SA状态信息
SA由三元组（SPI安全参数索引,IP目的地址,使用的安全协议）唯一标识
- SPI用于标识具有相同IP地址和相同安全协议的的不同SA，本端入方向的SPI和对端出方向的SPI是一样的。
SA由SPD和SAD组成
- SP主要根据源IP地址,目的IP地址,入数据还是出数据来标识,决定对IP数据宝提供何种保护,并以何种方式实施保护.
- 当接收或将要发出IP包时，首先要查找SPD来决定如何进行处理。存在3种可能的处理方式:丢弃、不用IPSec和使用IPSec。

l 丢弃:流量不能离开主机或者发送到应用程序，也不能进行转发。

l 不用IPSec:对流量作为普通流量处理，不需要额外的IPSec保护。

l 使用IPSec:对流量应用IPSec保护，此时这条安全策略要指向一个SA。对于外出流量，如果该SA尚不存在，则启动IKE进行协商，把协商的结果连接到该安全策略上。

对于外出的流量，如果需要使用IPSec处理，然而相应的SA不存在，则IPSec将启动IKE来协商出一个SA，并存储到SAD中。
对于进入的流量，如果需要进行IPSec处理，IPSec将从IP包中得到三元组(SPI,DST,Protocol)，并利用这个三元组在SAD中查找一个SA。有时是四元组，加上源地址(SRC)。

IKE是应用层协议

协商的过程通常分为两个阶段，第一阶段是为第二阶段服务，第二阶段是真正的为兴趣流服务的SA.两个阶段协商的侧重有所不同，第一阶段主要确认双方身份的正确性并在两端之间建立一条安全通道.第二阶段则在上述安全通道上协商SA参数.阶段一可以被多个阶段二反复利用.

1. AH协议（Authentication Header，使用较少）：可以同时提供数据完整性确认、数据来源确认、防重放等安全特性；AH常用摘要算法（单向Hash函数）MD5和SHA1实现该特性。

2. ESP协议（Encapsulated Security Payload，使用较广）：可以同时提供数据完整性确认、数据加密、防重放等安全特性；ESP通常使用DES、3DES、AES等加密算法实现数据加密，使用MD5或SHA1来实现数据完整性。

为何AH使用较少呢？因为AH无法提供数据加密，所有数据在传输时以明文传输，而ESP提供数据加密；其次AH因为提供数据来源确认（源IP地址一旦改变，AH校验失败），所以无法穿越NAT

保证传输安全性

SA建立的方法

IPSec SA安全参数

关注