2020.7.7_ie_10_ipsec

IPSec（Internet Protocol Security）：是一组基于网络层，应用密码学的安全通信协议栈。IPSec不是具体指哪个协议，而是一个开放的协议族

IPSec协议的设计目标：是在IPV4和IPV6环境中为网络层流量提供灵活的安全服务

IPSec VPN：是基于IPSec协议族构建的在IP层实现的安全虚拟专用网。通过在数据包中插入一个预定义头部的方式，来保障OSI上层协议数据的安全，主要用于保护TCP、UDP、ICMP和隧道的IP数据包

IPSec提供的服务：不可否认性 重传攻击保护 数据源鉴别 完整性 机密性

IPSec协议族

• 两种工作模式：传输模式（transport） 隧道模式（Tunnel）

• 两个通信保护协议：

  • 鉴别头（AH，Authentication Header）

  • 封装安全载荷（ESP,Encapsulating Security Payload）

• 密钥交换管理协议（IKE）：

  • 阶段1：主模式 野蛮模式
  • 阶段2（Quick mode）

• 两个数据库：

  • 安全策略数据库SPD（Security Policy Database）

  • 安全关联数据库SAD（Security Association Database）

• 解释域DOI（Domain of Interpretaion）

安全联盟SA

定义：SA（Security Association）是通信对等体间对某些要素的约定，通信的双方符合SA约定的内容就可以建立SA

SA由三元组来唯一标示：安全参数索引 目的IP地址 安全协议号

ike用途

• IKE为IPSec协商生成密钥，供AH/ESP加解密和验证使用
• 在通信双方之间，动态地建立安全关联，对SA进行管理和维护