IPsec操作

IPsec中需要兩種類型的數(shu)據(ju)包編碼(ma)(ma)(DPE)：身(shen)份驗(yan)證(zheng)標頭(AH)和封裝安(an)全負載(ESP)DPE。這些編碼(ma)(ma)為數(shu)據(ju)提(ti)供網絡(luo)級(ji)安(an)全性，AH提(ti)供數(shu)據(ju)包的真實性和完整(zheng)性，通(tong)過密(mi)鑰散列函數(shu)(也稱為MAC(消(xiao)息驗(yan)證(zheng)代碼(ma)(ma)))可以進行驗(yan)證(zheng)，此標題(ti)還(huan)禁止修改，并(bing)可選擇提(ti)供反重放安(an)全性。

AH可以(yi)在多(duo)個主機，多(duo)個網關(guan)或多(duo)個主機和(he)網關(guan)之(zhi)間建立安(an)全(quan)性(xing)，所有這些都實現了(le)AH ，VPN 網關(guan)價格，ESP標頭提供加密，數(shu)據(ju)封裝和(he)數(shu)據(ju)機密性(xing)。通過對稱(cheng)密鑰提供數(shu)據(ju)機密性(xing)。

IPsec操作

IPsec的一個重要部分是安全關(guan)聯(SA)，SA使用(yong)(yong)AH和ESP中(zhong)攜(xie)帶(dai)的SPI編號來(lai)指(zhi)示(shi)哪個SA用(yong)(yong)于數據(ju)包，VPN 網關(guan)報價，還(huan)包括(kuo)IP目標地址以(yi)指(zhi)示(shi)端(duan)點：這可以(yi)是防火(huo)墻，路由(you)器或用(yong)(yong)戶。

安(an)全(quan)(quan)關聯數(shu)據庫(SAD)用于存儲所(suo)(suo)有使用的SA，SAD使用安(an)全(quan)(quan)策略(lve)來指示路由器應該對數(shu)據包(bao)執行的操作，VPN 網(wang)關，三個例子包(bao)括完全(quan)(quan)丟(diu)(diu)棄(qi)數(shu)據包(bao)，僅丟(diu)(diu)棄(qi)SA，或替換不同的SA。正在(zai)使用的所(suo)(suo)有安(an)全(quan)(quan)策略(lve)都存儲在(zai)安(an)全(quan)(quan)策略(lve)數(shu)據庫中。

IPsec的缺點

在某些情況下，不可(ke)以進行(xing)直(zhi)接的(de)端到(dao)端通信(即傳(chuan)輸(shu)模式)。舉一(yi)個簡(jian)單示例，其中H1和H2是一(yi)個直(zhi)接隧道上的(de)兩個主機，H1使(shi)用防火墻稱為FW1。

在大型分布式系(xi)統(tong)或域(yu)間環境(jing)中(zhong)，多樣(yang)化的(de)(de)區域(yu)安(an)全策略實施可能會給端到端通信帶來嚴重的(de)(de)問題。在上面的(de)(de)示例中(zhong)，假設FW1需要檢(jian)查(cha)流量(liang)內(nei)容(rong)以(yi)進(jin)行檢(jian)測(ce)，并且在FW1設置策略以(yi)拒絕所有(you)加密流量(liang)以(yi)強制執(zhi)行其內(nei)容(rong)檢(jian)查(cha)要求。

然而(er)，H1和H2構建直接隧道而(er)不了解防火墻(qiang)及其策略(lve)(lve)規則的(de)存在。因此，VPN 網(wang)關供(gong)應，所有流量(liang)將被FW1丟棄(qi)，該場景顯示(shi)每個策略(lve)(lve)滿足(zu)其相應的(de)要求(qiu)，而(er)所有策略(lve)(lve)一起可能導致沖突。