18、深入理解IPSec组件及相关技术

深入理解IPSec组件及相关技术

1. IPSec隧道终止

IPSec隧道终止主要有两个原因：隧道被删除，或者IPSec安全关联（SA）的生命周期到期。当IPSec SA生命周期到期时，IKE第二阶段协商会重新开始，如果需要，IKE第一阶段协商也会重新进行。

2. IPSec封装

IPSec通过封装安全有效载荷（ESP）和/或认证头（AH）来处理数据包封装。ESP对数据包的有效载荷进行加密，而AH则通过将头部嵌入数据中并验证IP数据报的完整性，为整个数据报提供保护。IPSec有两种封装方法：传输模式和隧道模式。

2.1 传输模式封装

传输模式封装使用原始IP头，并插入ESP和/或AH头。在传输模式下，原始IP头必须包含可路由的IP地址。以下是不同情况的数据包格式：
- 使用ESP的传输模式 ：

Encrypted
Original IP Header | ESP Header | Data | ESP Trailer | TCP/UDP | ESP Auth | Authenticated

• 使用AH的传输模式 ：（此处省略图，可参考相关标准格式）
• 使用ESP和AH的传输模式 ：（此处省略图，可参考相关标准格式）

2.2 隧道模式封装

使用隧道模式封装时，原始IP头不用于传输数据包。而是使用IP