IPsec介绍

VPN：虚拟专用网络，类似于专线

专线，通过专线提供给用户接入公共网络的桥梁。一般的专线有电话专线、分组网专线、DDN专线、
专线不需要拨号，开机即可上网，专线分配的是固定的公网IP地址，而非动态的IP地址
专线的优势是稳定，延时较短,避免了传统的分组网中传输协议复杂、传输时延长且不固定的缺点

DDN数字数据网。它是利用数字信道提供永久性连接电路，用来传输数据信号的数字传输网络

VPN特性

安全性:认证机制和数据加密机制
可靠性:校验纠错
可控性:路由控制

IPsec协议不是单独的协议，它给出了应用于IP层上网络数据安全的一整套体系结构包括网络认证协议AH、ESP、IKE和加密算法等,目前IPSec只支持IPv4

IPsec提供了两种安全机制:认证和加密
认证机制是IP通信的数据接收方能够确认数据发送方的真实身份以及数据在传输过程中是否遭到篡改（控制层面）
加密机制通过对数据进行加密运算来保证数据的机密性，以防数据在传输过程中被窃取（数据层面）

认证方式:MD5、SHA-1 

加密算法:DES、3DES、AES 

IKE协议用于协商密钥，AH和ESP协议提供安全服务

名词解释：

1、IKE（Internet Key Change）互联网密钥交换:针对密钥安全
2、AH认证头：只是隐藏数据包，并没有被加密

3、ESP封装安全载荷：保护数据安全，对数据头部加密

IKE互联网密钥交换，可实现密钥的自动协商功能建立SA，减少了密钥协商的开销

ISAKMP互联网安全联盟和密钥管理协议IKE为IPsec提供了自动协商交换密钥、建立SA的服务

IKE协议来建立SA，SA协议建立在由ISAKMP定义的框架上

IKE不是在网络上直接传输密钥，而是通过一系列数据交换，最终计算出双方共享的密钥，并且即使第三方截获了双方用于计算密钥所有交换数据，无法计算出真正的密钥
IKE具有一套自保护机制，可以在不安全的网络上安全地认证身份，分发密钥，建立IPsec SA
数据认证
身份认证:确认通信双方的身份，预共享密钥（pre-shared-key）认证和基于PKI的数字签名认证
身份保护:身份数据在密钥产生之后加密传送，实现了对身份数据的保护

注释：

IKE的认证方式有三种:pre-shared keys 、PKI、encrypted nonce（RSA）
1、pre-shared keys 最简单的最常用的，由管理员预先定义好的密码，认证时，只有双方密码匹配之后，后续的工作才能继续，配置时通常可以包含IP地址，子网掩码，指定任意地址来替代固定地址，适用于IP地址不固定的环境
2、PKI是使用第三方证书做认证，叫做CA，里面包含名字，序列号，有效期以及其它可以用来确认身份的参数，证书也可以被取消

IKE两个阶段
1、本端VPN对等体发起到远端VPN对等体的连接会话
2、ISAKMP/IKE阶段1;设备验证、密钥交换、算法协商等操作
3、阶段2；对等体协商参数和密钥信息来保护数据连接
4、建立完，即可数据通信

IKE维护SA的服务，简化了IPsec的使用和管理

SA安全联盟:IPsec在两个端点之间提供安全通信，端点被称为IPsec对等体

对等体之间采用认证机制,确保会话是来自于真正的对等体而不是攻击者

SA是通信对等体间对某些要素的约定，使用哪种协议、封装模式、加密算法

transform set是一组算法集合，通过它来定义ESP、AH封装IP报文
Crypto Map 是IPSec的组件，执行两个主要功能:    
1、选择需要加密处理的数据（transform set）、

2、定义数据加密的策略以及数据发往的对端（感兴趣流、目的地址）

AH协议定义认证应用方法、提供数据源认证和完整性保证；ESP协议定义加密和可选认证的应用方法，提供数据可靠保证
AH协议(IP协议号51)工作原理:在每一个数据包上添加一个身份验证报文头，此报文头插在标准IP包头后面，对数据提供完整性保护。可选择的认证算法有MD5、SHA-1等
ESP协议（IP协议号50）工作原理:在每一个数据包的标准IP包头后面添加一个ESP报文头，并在数据包后面追加一个ESP尾。
ESP协议与AH协议不同的是，ESP保护用户数据进行加密后再封装到IP包中，保证数据的机密性

AH和ESP联合使用方式:先对报文进行封装ESP，再对报文进行AH封装

SA手工方式适用场合小型静态环境，
SA自动协商方式适用场合大型的动态网络环境环境，只需要配置好IKE协商安全策略的信息，有IKE自动协商来创建和维护SA

IPsec工作模式:传输模式、隧道模式封装格式

传输模式:只是传输层数据被用来计算AH或ESP头，AH或ESP头以及ESP加密的用户数据被放置在厡IP包头后面

适用场合:两台主机之间通讯，一台主机和一个安全网关之间通讯

transport mode 模式只有安全功能，没有隧道功能

transport mode 多应用于局域网

DPD:（Dead Peer Detection）隧道检测机制，为了防止“隧道黑洞”，只对第一阶段生效

隧道模式:用户的整个IP数据包被用来计算AH或ESP头，AH或ESP头以及ESP加密的用户数据被封装在一个新的IP数据包中

适用场合:两个安全网关之间的通讯

加密认证都需要占用大量CPU资源，对于模块的路由器可以使用加密卡，完成数据的IPsec运算
路由器将需要加/解密处理的数据发送给加密卡，加密卡对数据进行加/解密运算并给数据添加/删除加密帧头

本文转自 周小玉 51CTO博客，原文链接：http://blog.51cto.com/maguangjie/1891408，如需转载请自行联系原作者