安全关联及基本问题

安全关联－SA创建步骤

1、通过像IKE这样的密钥管理协议在通信对等方之间协商而生成

2、当一个SA协商完成后，两个对等方都在其安全关联数据库(SAD)中存储该SA参数

3、SA具有一定的生存期，当过期时，要么中止该SA，要么用新的SA替换

4、终止的SA将从SAD中删除

SA的管理就是创建和删除。

手工方式：安全参数由管理员按安全策略手工指定、手工维护。

动态方式：SA有一个存活时间与其关联在一起。这个存活时间通常是由密钥管理协议在IPSec通信双方之间加以协商而确立下来的，

 

SA的自动建立和动态维护是通过IKE进行的。如果安全策略要求建立安全、保密的连接，但却不存在相应的SA，IPsec的内核则启动或触发IKE协商。

SAD为进入和外出包维持一个活动的SA列表。SAD的字段包括：

 

外部头目的IP地址：SA的目的地址（单播地址）。

IPsec协议：标识用的是AH还是ESP。

SPI：32比特的安全参数索引，标识同一个目的地的SA。

 

 

3. TCP/IP堆栈指纹

 

1）  FIN扫描

给打开的端口发送FIN包(或任何没有ACK或SYN标志的包)，然后等待应答。RFC 793中规定是不返回响应，但许多OS的实现如MS Windows，BSDI，CISCO