网络安全——网络层安全协议（2）_登记流程安全、透明-优快云博客

本文链接：https://blog.youkuaiyun.com/xnxqwzy/article/details/137171755

本文详细介绍了IPSec体系结构，包括其目标、工作原理、驱动程序角色和工作流程。重点阐述了IPSec如何保护网络通信安全，以及在企业网络部署中的各种应用场景。同时，文中还提及了网络安全行业的人才需求和职业发展机会。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

![8791120c159b4fefb83c67ec75337817.gif](https://img-
blog.csdnimg.cn/8791120c159b4fefb83c67ec75337817.gif)

作者简介：一名云计算网络运维人员、每天分享网络与运维的技术与干货。

座右铭：低头赶路，敬事如仪

个人主页：网络豆的主页

前言

一.IPSec体系结构

1.IPSec体系结构

2. IPSec驱动程序

① IPSec驱动程序

② IPSec工作流程

前言

本章将会讲解网络层的安全协议，了解IPSec体系结构，与工作原理。

一.IPSec体系结构

1.IPSec体系结构

IPSec(Internet协议安全)是一个工业标准网络安全协议，为IP网络通信提供透明的安全服务，保护TCP/IP通信免遭窃听和篡改，可以有效抵御网络攻击，同时保持易用性。

![6eb85316bddb4ae085619eec4b0d38f1.png](https://img-
blog.csdnimg.cn/6eb85316bddb4ae085619eec4b0d38f1.png)

IPSec有两个基本目标：

①保护IP数据包安全。
②为抵御网络攻击提供防护措施。

IPSec基于一种端到端的安全模式。这种模式有一个基本前提假设，就是假定数据通信的传输媒介是不安全的，因此通信数据必须经过加密。

而掌握加解密方法的只有数据流的发送端和接收端，两者各自负责相应的数据加解密处理，而网络中其他只负责转发数据的路由器或主机无须支持IPSec。

该特性有助于企业用户在下列方案中成功地配置IPSec。

(1)局域网：C/S模式，对等模式。
(2)广域网：路由器到路由器模式，网关到网关模式。
(3）远程访问：拨号客户机，专网对Internet的访问。

![abb9ba2385254b0e9b56e247444ae168.png](https://img-
blog.csdnimg.cn/abb9ba2385254b0e9b56e247444ae168.png)

IPSec结合安全联盟、安全协议组和动态密钥管理三者来实现上述两个目标，如图所示，不仅能为企业局域网与拨号用户、域、网站、远程站点以及Extranet（外联网）之间的通信提供强有力且灵活的保护，而且还能用来筛选特定数据流。

IPSec(IP
Security)协议是IETF安全工作组制定的一套可以用于IPv4和IPv6上的、具有互操作性的、基于密码学的安全协议。IPv4可选支持IPSec,IPv6必须支持IPSec。

![cb34b24a4b704569810241cef464c64c.png](https://img-
blog.csdnimg.cn/cb34b24a4b704569810241cef464c64c.png)

IPSec提供的安全服务包括访问控制、无连接的完整性、数据源头的认证、防重放功能、数据保密和一定的数据流保密等。IPSec协议产生的初衷是解决Internet上IP传输的安全性问题，它包括从RFC2401到RFC2412的一系列RFC，定义了一套默认的、强制实施的算法，以保证不同的实施方案可以互通。

IPSec标准包含了IP安全体系结构、IP认证AH头、IP封装安全载荷ESP和Internet密钥交换（IKE）4个核心的基本规范，组成了一个完整的安全体系结构，如图所示。

![5b6ca0727edc404faa7db900697e16dd.png](https://img-
blog.csdnimg.cn/5b6ca0727edc404faa7db900697e16dd.png)

（1）安全体系结构。包含一般的概念、安全需求和定义IPSec的技术机制。
（2）ESP协议。加密IP数据包的默认值、头部格式以及与加密封装相关的其他条款。
（3）AH协议。验证IP数据包的默认值、头部格式以及与认证相关的其他条款。
（4）加密算法。描述各种加密算法如何用于ESP中。
（5）验证算法。描述各种身份验证算法如何用于AH和ESP身份验证选项。
（6）密钥管理。描述因特网IETF标准密钥管理方案。其中IKE是默认的密钥自动交换协议。
（7）解释域DOI。是因特网统一协议参数分配权威机构中数字分配机制的一部分，它描述的值是预知的。包括彼此相关各部分的标志符及运作参数。
（8）策略。决定两个实体之间能否通信，以及如何进行通信。策略的核心由三部分组成：SA、SAD、SPD。
SA（安全关联)）表示了策略实施的具体细节，包括源/目的地址、应用协议、SPI（安全策略索引）等；SAD为进入和外出包处理维持一个活动的SA列表；SPD决定了整个VPN的安全需求。

![fba4517fcd9a4406b5767707ba077f1b.png](https://img-
blog.csdnimg.cn/fba4517fcd9a4406b5767707ba077f1b.png)

2. IPSec驱动程序

① IPSec驱动程序

IPSec驱动程序负责监视、筛选和IP通信。它负责监视所有出入站的IP数据包，并将每个IP数据包与作为IP策略一部分的IP筛选器相匹配。一旦匹配成功，IPSec驱动程序通知IKE开始协商，图3-3为IPSec驱动程序服务示意图。

![a93fdb7fac68485385e43359ade2fb04.png](https://img-
blog.csdnimg.cn/a93fdb7fac68485385e43359ade2fb04.png)

协商成功完成后，发送端IPSec驱动程序执行以下步骤。

（1）从IKE处获得SA和会话密钥。
（2）在IPSec驱动程序数据库中查找相匹配的出站SA，并将SA中的SPI插人IPSec包头。
（3）对数据包签名(完整性检查)；如果要求机密，则另外加密数据包。
（4）将数据包随同SPI发送IP层，然后进一步转发至目的主机。

接收端IPSec驱动程序执行以下步骤。

（1）从IKE处获得会话密钥，SA和SPI。
（2）通过目的地址和SPI，在IPSec驱动程序数据库中查找相匹配的人站SA。
（3）检查签名，对数据包进行解密(如果是加密包的话)。
（4）将数据包递交给TCP/IP驱动程序，然后再交给接收应用程序。

② IPSec工作流程

![b468f931927b4dfda797d70f741f59d8.png](https://img-
blog.csdnimg.cn/b468f931927b4dfda797d70f741f59d8.png)

IPSec的流程如下所述，为简单起见，本章假设这是一个Intranet例子，每台主机都有处于激活状态的IPSec策略。

(1)用户甲(在主机A上)向用户乙(在主机B上)发送一消息。
(2)主机A上的IPSec驱动程序检查IP筛选器，查看数据包是否需要以及需要受到何种保护。
(3）驱动程序通知IKE开始协商。
(4)主机B上的IKE收到请求协商通知。
(5)两台主机建立第一阶段SA，各自生成共享“主密钥”。若两机在此前通信中已经建立起第一阶段SA，则可直接进行第二阶段SA协商。
（6）协商建立第二阶段SA对：入站SA和出站SA。SA包括密钥和SPI。
(7) 主机A上的IPSec驱动程序使用出站SA，对数据包进行签名(完整性检查)与加密。
(8) 驱动程序将数据包递交IP层，再由IP层将数据包转发至主机B。
（9）主机B网络适配器驱动程序收到数据包并提交给IPSec驱动程序。
（10)主机B上的IPSec驱动程序使用入站SA，检查签名完整性并对数据包进行解密。
（11）驱动程序将解密后的数据包提交上层TCP/IP驱动程序，再由TCP/IP驱动程序将数据包提交主机B的接收应用程序。

以上是IPSec的一个完整工作流程，虽然看起来很复杂，但所有操作对用户是完全透明的。

创作不易，求关注，点赞，收藏，谢谢~

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2022年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。