计算机网络-IPSec VPN工作原理

一、IPSec VPN工作原理

昨天我们大致了解了IPSec是什么，今天来学习下它的工作原理。

IPsec的基本工作流程如下：

• 通过IKE协商第一阶段协商出IKE SA。
• 使用IKE SA加密IKE协商第二阶段的报文，即IPsec SA。
• 使用IPsec SA加密数据。

IPsec基本工作流程

简单理解就是先创建一条安全协商的道路（IKE SA），然后通过IKE SA经过算法达到一个秘钥（IPSec SA）,接着使用IPSec SA对传输的流量进行加密与验证，这第三步就涉及到哪些流量需要加密，我们需要通过一些方式将对应流量引入到IPSec VPN隧道中来进行传输。

二、IKE 协商

前面我们学习了IPSec双方需要协商出一个SA来进行算法的匹配，一般情况下我们使用IKE方式建立IPsec SA。IKE是建立在ISAKMP定义的框架上，是基于UDP的应用层协议。它为IPsec提供了自动协商密钥、建立IPsec安全联盟的服务，能够简化IPsec的配置和维护工作。

简单说就是我们通过IKE这个框架协商出双方认可的加密算法、认证算法、传输模式等等。而IKE目前有两个版本：IKEv1和IKEv2。

2.1 IKEv1

采用IKEv1协商安全联盟主要分为两个阶段：

• 第一阶段：通信双方协商并建立IKE协议本身使用的安全通道，即建立一个IKE SA；
• 第二阶段：利用第一阶段已通过认证与安全保护的安全通道，建立一对用于数据安全传输的IPsec SA。