IPsec学习总结

这个阶段IPsec学习了诸多的内容，从一开始的IPsec整个交互过程，到后面的IPsec的具体应用，因为内容颇多，所以在这里记录一下。

IPsec是一个IPv4的安全保护措施，IPsec内夹杂着多个安全协议和多种安全算法，可以算作是协议簇，从一开始的IKEv1的主模式+快速模式，野蛮模式+快速模式，到后面的IKEv2的4包交互，IPsec的也是在不断地发展地。IPsec中主要的两个传输模式隧道模式和传输模式，隧道模式主要用于端对端地保护，其实说它是端到端的主要原因就是因为只有加密包的目的地址是自己，那么该设备才会对加密包进行解密操作，否则加密包就只会被pass或者转发，所以为什么说隧道模式是端到端的保护的主要原因就是因为大家在触发IPsec的感兴趣流之后在外面都会封装一个新的IP首部，于是这些数据包其实就是都是在IPsec双端的隧道上进行数据传输，这些加密数据包的内部的数据载荷的类型可能有很多种，有可能是ICMP，又有可能是上层的应用数据等等，但是它们在隧道模式下都会被加上新的IP首部，于是无论这些加密数据包的内部封装的是什么数据，当它们传输到对端的IPsec设备后都会进行解密，然后将内部的数据载荷提取出来，并根据它的原生IP首部进行数据的转发，所以说隧道模式是一种端到端的保护，那么为什么说传输模式是点到点的保护？其实就是因为传输模式没有在外层新添数据包，那么IPsec保护的流的范围也仅仅约束在建立了IPsec隧道的双端。IPsec的应用有很多，而且有很多的表现形式，比如有像专门的网络设备去提供相对应的VPN服务，也有像软件形式的VPN服务。但是无论怎么样都逃不过，IKE，IKE就是一个用于协商IPsecSA的辅助工具，我们在设置IKE的相关参数的时候，主要就是配置DH算法，认证方式，认证算法，加密算法，完整性算法，数据验证算法，伪随机算法，SA的存活时间，DPD的相关配置，本端和远端的标识识别，还有一些其他的配置。这些都与IKE协商有着十分紧密的关联，因为我们最终是要协商IPsecSA，所以后面的IPsec的一些参数也是需要我们进行配置的，比如ESP的数据源认证算法，ESP的加密算法，ESP是IPsec中的一个安全协议，其主要功能就是加密和数据源的认证，从ESP的首部结构我们也能看出它的主要功能，首先ESP首部的序号字段表示了它具有抗重放的功能，同时ESP还有ESP的填充，这个ESP的填充主要功能就是为了让被加密数据满足加密算法的位长，ESP还有ESP尾部，ESP的验证填充字段，这个字段就是为了结合MAC消息验证，将双方共享的密钥与数据结合做HASH运算，得到了一个可验证数据源来源的同时还可验证数据完整性的数据，所以虽然在IKE上我们需要协商那么多东西，但是在ESP上需要配置的内容却并没有那么多，仅有加密和验证算法的选择。在ESP中它的验证范围仅仅在ESP首部和ESP尾部，并没有包含IP首部，所以即便做了NAT的源地址转换后也不会ESP的验证数据从而导致数据的接收失败。但是对于AH算法来说，它就有所不同，主要就是因为AH的验证范围是整个数据报文，那么当做了NAT的相关操作后，就会影响它的验证数据从而导致数据的接收失败，在AH安全协议中，它的验证数据是包括在AH首部中的，而并不像ESP是有一个单独的ESP验证数据放在数据包的尾部。在IPsec中还有诸多部署方式，比如传统的感兴趣流引流的方式，还有tunnel接口+静态路由的方式，其实两种方式都有各自的有点，针对tunnel接口+静态路由的方式，它就需要使用ipsec profile而不是ipsec policy了。tunnel接口+静态路由的方式可以在路由协议中进行接口的宣告，所以就可以借助IPsec的隧道进行路由协议的数据报文的传输，但是tunnel接口与传统的ACL引流比起来的缺点就是它没有传统方式的附加功能多。IPsec的配置还是相当的繁杂的，其主要原因就是因为各种安全协议的相关参数让人十分烦恼，所以若IPsec双端有一些参数上的变动的话，就会导致IPsec隧道的崩塌。比如在学习IPsec的时候经常会碰到的一个问题就是为什么要野蛮模式？就因为它快吗？主要原因就是传统的IKEv1IPsec，仅仅只能依靠对端的IP地址去寻找预共享密钥然后进行后续的密钥生成，那么IP地址变动，就会导致IPsec隧道的破坏，所以若要将IPsec与IP地址解绑就需要使用其他固定不变的参数作为IPsec的双端标识符，比如字符串或者域名等等，但是因为主模式的一二包是不会发送任何身份标识的，原因显而易见这样做可能会泄露一些信息，所以一般这个东西一般都是在IKE SA协商完毕后以加密的形式去进行传送的，所以主模式就完全没有办法了，于是就搞了一个野蛮模式，直接将身份信息在第一阶段进行发送，所以这样对端就可以直接使用身份信息去找到预共享密钥。IKEv2比起IKEv1就显得聪明的多，它并不将预共享密钥作为IKE SA生成的一个必要参数，而是将其视为一种身份标识的因子，所以即便在IKEv2中使用什么样的身份标识也不会影响它的相关协商，而且IKEv2的DH猜想的想法十分的棒，同时将IPsec SA的协商与身份验证结合在一起，这样就很大程度地减少了数据包地交互，所以说IKEv2真的是一个很棒的协议。

针对Effcient VPN，其实从本质上来说，也是一个十分棒的思想，将相关的安全参数的选择完全交给总部来决定，支部只要上交决定性参数，如身份标识感兴趣流即可。但是华为的有些魔改我不是很喜欢。