ipsec-Internet Protocol Security

设计目标

为ip分组传输提供辅助安全服务，如数据源身份认证、数据完整性认证与数据加密等。

协议概况

ipsec是一个协议包，通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议族。ipsec是网络层协议，为上层协议提供服务。

协议主要组成

AH—authentication header

认证头提供数据源身份认证、数据完整性认证，以及可选的抗重放数据包功能。网络层协议

ESP—encapsulating security payload

封装安全载荷提供AH协议的所有功能与数据加密服务。网络层协议.

秘钥管理协议

秘钥管理协议用于通信双方协商安全参数，如工作模式、认证或者加密算法、秘钥以及生存周期等。应用层协议。
如IKE-Internet key exchange。支持自动建立认证、加密信道以及自动分发与更新秘钥。

协议报文

AH—authentication header

AH包括传输模式协议封装和隧道模式协议封装，提供认证但不加密。隧道模式中提供的是网关到网关之间的安全服务，传输模式中提供的是端到端的安全服务，隧道模式会自动隐藏ip分组路由信息，所提提供比传输模式更高的安全性。

ESP—encapsulating security payload

ESP协议封装也包含传输模式和隧道模式，提供认证和加密。

传输模式和隧道模式的区别在于ipsec数据包插入位置的区别，具体区别如下图：