45、虚拟专用网络之IPSec技术详解

虚拟专用网络之IPSec技术详解

1. IPSec简介

IPSec是一种基于标准的创建隧道的方法，数据可通过该隧道安全地传输到目的地。它可以借助其他一些标准来建立隧道，其中之一便是互联网密钥交换（IKE）协议，该协议与IPSec协同工作。

IPSec提供认证、加密等服务的组件包括：
- 认证头（AH）和封装安全载荷（ESP）协议
- 哈希
- 加密
- 迪菲 - 赫尔曼密钥交换
- IKE
- 转换集
- IPSec安全关联（SAs）

2. IPSec服务

IPSec可完成以下配置任务：
- 数据机密性 ：通过在数据包离开路由器时对流量进行加密来确保数据机密性。
- 数据完整性 ：通过验证数据包在发送后未发生更改来确保数据完整性，使用哈希来验证传输的数据是否有变化。
- 数据来源认证 ：验证数据包发起者的身份。
- 防重放 ：接收方可以检测到某个数据包已经被接收过，并拒绝任何重复的数据包，且不影响TCP重传功能。

3. IPSec构建模块：AH和ESP

要在两个设备之间建立IPSec隧道，这些设备必须协商隧道的构建方式。IPSec工作在OSI模型的第3层（网络层），实际上是插入到OSI模型的第3层和第4层之间，但按照ISO定义，加密是第7层的功能。有两种协议可用于构建隧道并保护穿越隧道的数据：
- 认证头（AH）