01

IPSec概念

IPSec（Internet Protocol Security）是IETF定義的一個協議組。

通信雙方在IP層通過加密、完整性校驗、數據源認證等方式，保證了IP數據報文在網絡上傳輸的機密性、完整性和防重放。

機密性：對數據進行加密保護，用密文的形式傳送數據

完整性：指對接收的數據進行認證，以判定報文是否被篡改

防重放：防止惡意用戶通過重復發送捕獲到的數據包所進行的攻擊，即接收方會拒絕舊的或重復的數據包。

應用場景：企業分支通過IPSec隧道接入企業總部

02

IPSec VPN

應用場景及協議

?01??IPSec VPN的應用場景分為3種?

1. ?Site-to-Site（站點到站點或者網關到網關）：

如彎曲評論的3個機構分布在互聯網的3個不同的地方，各使用一個商務領航網關相互建立VPN隧道，企業內網（若干PC）之間的數據通過這些網關建立的IPSec隧道實現安全互聯。

2. ?End-to-End（端到端或者PC到PC）：?

兩個PC之間的通信由兩個PC之間的IPSec會話保護，而不是網關。

3. ?End-to-Site（端到站點或者PC到網關）：

兩個PC之間的通信由網關和異地PC之間的IPSec進行保護。

?02??IPSec 協議?

VPN只是IPSec的一種應用方式，IPSec其實是IP Security的簡稱，它的目的是為IP提供高安全性特性，VPN則是在實現這種安全特性的方式下產生的解決方案。

IPSec是一個框架性架構，具體由下面協議組成：

IPSec VPN體系結構主要由下面這些協議套件組成：

AH（Authentication Header）

ESP（Encapsulating Security Payload）

IKE（Internet Key Exchange）

AH協議（使用較少）：提供的功能有數據源驗證、數據完整性校驗和防報文重放功能。

ESP協議（使用較廣）：提供AH協議的所有功能外（ESP的數據完整性校驗不包括IP頭），還提供對IP報文的加密功能

IKE協議：自動協商AH和ESP所使用的密碼算法

為何AH使用較少呢？

因為AH無法提供數據加密，所有數據在傳輸時以明文傳輸，而ESP提供數據加密；

其次AH因為提供數據來源確認（源IP地址一旦改變，AH校驗失敗），所以無法穿越NAT。

當然，IPSec在極端的情況下可以同時使用AH和ESP實現最完整的安全特性，但是此種方案極其少見。

編輯：黃飛