TCP/IP协议之网络安全协议

网络层安全协议（IPSec）能提供的服务包括：访问控制、无连接的完整性、数据源认证、拒绝发重包（部分序列完整性形式）、保密性和有限传输流保密性。由于IPSec在TCP/Ip的核心层——IP层实现，因此可以有效保护各种上层协议，并为各种安全服务提供一个统一的平台。IP数据包本质上来说是不安全的，IPSec是将密码学的安全机制引入IP。

IPSec体系结构

IPsec主要包括3个功能域：

该体系结构包括：IP首部鉴别（AH）协议、封装安全载荷（ESP）协议、密钥交换（IKE）协议、用于网络验证及加密的一些算法。它由每台机器上的安全策略和发送、接收方的安全关联（SA）进行控制。

SA是构成IPSec的寄出，是两个通信实体经协商建立的一种协定，她决定了用来保护数据分组安全的安全协议、转码方式、密钥及密钥的有效存在时间等。IPSec工作时两端的网络设备必须就ＳＡ达成一致，由于SA是单向的，因此要建立两个SA。对于某一个主机来说，某个会话的输出数据和输入数据流需要两个独立的SA。SA通过密钥管理协议（IKE）在通信双方进行协商，协商完毕之后，双方都在他们的安全关联数据库(SAD)中存储该SA参数。