18、网络安全规则配置：从IPSec到用户访问限制

网络安全规则配置：从IPSec到用户访问限制

1. IPSec工作流程与问题

1.1 IPSec工作流程

IPSec（Internet Protocol Security）在保障网络数据安全方面发挥着重要作用，其工作流程如下：
1. IPSec驱动程序暂停数据包，并指示Internet密钥交换（IKE）在客户端和服务器之间协商安全关联（SA）。
2. IKE协议用于在客户端和服务器之间协商必要的SA，双方使用UDP端口500进行IKE协商。
3. IPSec驱动程序获知协商结果SA，以便在传输数据之前使用协商好的算法对数据进行加密或签名。
4. IPSec驱动程序对数据应用所需的加密和/或完整性算法，然后将数据传输到服务器。

1.2 IPSec失败原因

IPSec在通过执行网络地址转换（NAT）的防火墙时会失败。因为NAT会将传出数据包中的原始源IP地址和端口信息替换为外部地址信息，而应用IPSec时，源IP地址和源端口地址字段是受保护字段。对于认证头（AH），源数据的修改会使应用于数据包的签名无效；对于封装安全有效载荷（ESP），由于数据被加密，源数据无法读取。

1.3 未来解决方案

目前，互联网工程任务组（IETF）有两份草案文档提出了使IPSec数据包通过NAT设备的方法：
- 草案一：draft - ietf - ipsec - nat - t - ike - 05.txt ：提出了一种让两个主机协商IPSec NAT穿越的方法。该草案对IKE协议进行了修改，使两个端点能够识别是否支持NAT穿越，以及两个主机之间是