IPSec下隧道模式和传输模式的装包与拆包

---

隧道模式下的ESP协议运作过程

装包过程

对原始IP报文的处理：

1. 添加ESP尾部
   1. Padding：加密算法是块加密的话，就需要填充
   2. Pad length：补上填充长度
   3. Next header:用于标明原报文的协议类型，IPv4 or IPv6。
2. 对ESP尾部和原始IP数据报文进行加密：由SA给出加密算法和密钥。
3. 插入新的ESP头：SPI和一个Seq#，与加密数据部分构成认证部分"enchilada"。
4. 插入ESP MAc到数据报尾部：完整性的度量结果，对认证部分"enchilada"做消息摘要，得到一个32位整数倍的完整性度量值。完整性度量算法和验证密钥由SA给出。
5. 生成新的IP数据报头。新IP地址路由器和安全网关解释。协议类型50，封装ESP。
   

拆包过程

1. 接受IP报文，解析报头，确定协议类型50为ESP报文。
2. 解析ESP header，通过SPI确定数据报文以及所对应的SA，得到安全规范。
3. 计算"enchilada"部分摘要和尾部摘要进行比对，验证数据的完整性
4. 检查序列号Seq#保证数据的“新鲜”，防止重放攻击。
5. 根据SA提供的加密算法和密钥，解密数据，得到原IP报文和ESP tailer。
6. 根据ESPtrailer的填充