![](http://pg.zhku.edu.cn/inforwork/kejian/COURSE/images/gif410.gif)
为正确封装及提取
IPSec 数据包,有必要采取一套专门的方案,将安全服务/密钥与要保护的通信数据联系到一起;同时要将远程通信实体与要交换密钥的 IPSec 数据传输联系到一起。换言之,要解决如何保护通信数据、保护什么样的通信数据以及由谁来实行保护的问题。这样的构建方案称为安全关联( SecurityAssociation , SA )。SA
是两个应用 IPsec 实体(主机、路由器)间的一个单向逻辑连接,决定保护什么、如何保护以及谁来保护通信数据。它规定了用来保护数据包安全的 IPsec 协议、转换方式、密钥以及密钥的有效存在时间等等。 SA 是单向的,要么对数据包进行“进入”保护,要么进行“外出”保护。具体采用什么方式,要由三方面的因素决定:第一个是安全参数索引( SPI ),该索引存在于 IPSec 协议头内;第二个是 IPSec 协议值;第三个是要向其应用 SA 的目标地址。通常, SA 是以成对的形式存在的,每个朝一个方向。既可人工创建它,亦可采用动态创建方式。 SA 驻留在安全关联数据库( SAD )内。