IPsec虚拟专用网络

简介

互联网安全协议（英语：Internet Protocol Security，缩写为IPsec），是一个协议簇，通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议族（一些相互关联的协议的集合）。

导入协议原因

导入IPSEC协议，原因有2个，一个是原来的TCP/IP体系中间，没有包括基于安全的设计，任何人，只要能够搭入线路，即可分析所有的通讯数据。IPSEC引进了完整的安全机制，包括加密、认证和数据防篡改功能。

另外一个原因，是因为Internet迅速发展，接入越来越方便，很多客户希望能够利用这种上网的带宽，实现异地网络的的互连通。

IPSEC协议通过包封装技术，能够利用Internet可路由的地址，封装内部网络的IP地址，实现异地网络的互通

IPsec VPN

指采用IPsec来实现远程接入的一种VPN技术，IPSec全称为Internet Protocol Security，是由Internet Engineering Task Force (IETF) 定义的安全标准框架，在公网上为两个私有网络提供安全通信通道,通过加密通道保证连接的安全——在两个公共网关间提供私密数据封包服务

IPsec vpn 技术的特性:

在使用公网传送内部专网的内容时，ipsec vpn 在ip传输上通过加密隧道，保证在ip公网上传输的数据的安全性，从而实现总部到分支机构之间的语音，视频等数据的互通。如今，很多国际的企业已经把vpn作为总部到分支机构的主要连接手段，比如的国际大型的组织，商业机构，连锁门店已经采用vpn这种安全的技术。

1经济

企业不再承担实施昂贵的固定线路的租费，而且带宽的费用很高，相反采用把internet作为骨干传输是非常便宜的，而其基本不用花费资金来做后期的维护，并且vpn设备的造价相比之下相对低廉。

2 灵活性很强

连接internet的方式可以多种，一个ipsec vpn 网路可以连接任意地点的分支机构

3.多业务

可以同时支持语音和视频传递到远端的分支机构和移动用户，大大提高了现代化办公的以及其他的数据需求。

4 安全性

安全是ipsec vpn 的显著特点，保证数据的 安全是该技术的根本所在。在vpn设备上，支持通道协议，数据加密，过滤

通过实现授权的多种方式保证安全，同时提供内置防火墙的功能，可以在vpn 通道之外，对公网到私网之间的数据进行监测过滤。

5：冗余设计

vpn 设备提供冗余机制，保证链路和设备的可靠性。

6 通道分离

vpn设备的通道分离特性为 ipsec 提供 客户端同时访问公网私网的支持。访问本地网络可以设置用户的访问权限

该特性在安全的条件下实现看合理方便的使用网络资源。

7：支持动态静态的路由协议，rip 和ospf 路由协使得vpn设备冲路由器的功能。在扩大网路的规模的同时并实现看安全功能，

并且路由协议可以加密在隧道中进行安全传输。

IPsec组成

IPsec主要由以下协议组成：
一、认证头（AH），为IP数据报提供无连接数据完整性、消息认证以及防重放攻击保护；
二、封装安全载荷（ESP），提供机密性、数据源认证、无连接完整性、防重放和有限的传输流（traffic-flow）机密性；
三、安全关联（SA），提供算法和数据包，提供AH、ESP操作所需的参数。
四、密钥协议（IKE），提供对称密码的钥匙的生存和交换。

安全协议

(1)AH(AuthenticationHeader) 协议。
它用来向 IP通信提供数据完整性和身份验证,同时可以提供抗重播服务。
在 IPv6 中协议采用 AH 后, 因为在主机端设置了一个基于算法独立交换的秘密钥匙, 非法潜入的现象可得到有效防止, 秘密钥匙由客户和服务商共同设置。在传送每个数据包时,IPv6 认证根据这个秘密钥匙和数据包产生一个检验项。在数据接收端重新运行该检验项并进行比较,从而保证了对数据包来源的确认以及数据包不被非法修改。
(2)ESP(EncapsulatedSecurityPayload) 协议。
它提供 IP层加密保证和验证数据源以对付网络上的监听。因为 AH虽然可以保护通信免受篡改, 但并不对数据进行变形转换, 数据对于黑客而言仍然是清晰的。为了有效地保证数据传输安全, 在IPv6 中有另外一个报头 ESP,进一步提供数据保密性并防止篡改。

传输模式

传输模式（Transport Mode）是IPSec的默认模式,又称端到端（End-to-End）模式，它适用于两台主机之间进行IPSec通信。

传输模式下只对IP负载进行保护，可能是TCP/UDP/ICMP协议，也可能是AH/ESP协议。传输模式只为上层协议提供安全保护，在此种模式下，参与通信的双方主机都必须安装IPSec协议，而且它不能隐藏主机的IP地址。启用IPSec传输模式后，IPSec会在传输层包的前面增加AH/ESP头部或同时增加两种头部，构成一个AH/ESP数据包，然后添加IP头部组成IP包。在接收方，首先处理的是IP，然后再做IPSec处理，最后再将载荷数据交给上层协议。

隧道模式

隧道模式（Tunnel Mode）使用在两台网关之间，站点到站点（Site-to-Site）的通信。参与通信的两个网关实际是为了两个以其为边界的网络中的计算机提供安全通信的服务。

使用 IPSec 隧道模式时，IPSec 对 IP 报头和有效负载进行加密，而传输模式只对 IP 有效负载进行加密。通过将其当作 AH 或 ESP 有效负载，隧道模式提供对整个 IP 数据包的保护。使用隧道模式时，会通过 AH 或 ESP 报头与其他 IP 报头来封装整个 IP 数据包。外部 IP 报头的 IP 地址是隧道终结点，封装的 IP 报头的 IP 地址是最终源地址与目标地址。

AH 隧道模式使用 AH 与 IP 报头来封装 IP 数据包并对整个数据包进行签名以获得完整性并进行身份验证。

ESP 隧道模式采用 ESP 与 IP 报头以及 ESP 身份验证尾端来封装 IP 数据包。