安全关联SA

 

3

．安全关联SA

为正确封装及提取

IPSec 数据包，有必要采取一套专门的方案，将安全服务／密钥与要保护的通信数据联系到一起；同时要将远程通信实体与要交换密钥的 IPSec 数据传输联系到一起。换言之，要解决如何保护通信数据、保护什么样的通信数据以及由谁来实行保护的问题。这样的构建方案称为安全关联（ SecurityAssociation ， SA ）。

SA

是两个应用 IPsec 实体（主机、路由器）间的一个单向逻辑连接，决定保护什么、如何保护以及谁来保护通信数据。它规定了用来保护数据包安全的 IPsec 协议、转换方式、密钥以及密钥的有效存在时间等等。 SA 是单向的，要么对数据包进行“进入”保护，要么进行“外出”保护。具体采用什么方式，要由三方面的因素决定：第一个是安全参数索引（ SPI ），该索引存在于 IPSec 协议头内；第二个是 IPSec 协议值；第三个是要向其应用 SA 的目标地址。通常， SA 是以成对的形式存在的，每个朝一个方向。既可人工创建它，亦可采用动态创建方式。 SA 驻留在安全关联数据库（ SAD ）内。