IPsec操作

IPsec有(you)(you)兩種操作模(mo)式(shi)：傳輸模(mo)式(shi)和隧(sui)道(dao)模(mo)式(shi)。在傳輸模(mo)式(shi)下運行(xing)時，IPSec VPN供應，源主(zhu)機(ji)和目標(biao)主(zhu)機(ji)必(bi)須直接執行(xing)所有(you)(you)加密(mi)操作，IPSec VPN，加密(mi)數據通過使用(yong)L2TP(第2層隧(sui)道(dao)協議)創建(jian)的單個(ge)隧(sui)道(dao)發(fa)送，數據(密(mi)文)由源主(zhu)機(ji)創建(jian)，并由目標(biao)主(zhu)機(ji)檢索，這種操作模(mo)式(shi)建(jian)立了(le)端到端的安全(quan)性。

在(zai)隧(sui)道模式下運行時，除源和目標主機外，特殊網關(guan)還會執行加(jia)密(mi)處理。在(zai)這(zhe)里，許(xu)多隧(sui)道在(zai)網關(guan)之間串聯(lian)創建，建立了網關(guan)到(dao)網關(guan)的(de)安全性。使(shi)用這(zhe)些模式中的(de)任何一(yi)種時，重(zhong)要(yao)的(de)是為所有網關(guan)提供驗(yan)證(zheng)數據包是否真實(shi)的(de)能力以及在(zai)兩端(duan)驗(yan)證(zheng)數據包的(de)能力，必須丟棄任何無(wu)效(xiao)的(de)數據包。

什么是IPsec?

IPsec(IP安全(quan)性)是一(yi)套協議，旨在(zai)確保(bao)IP網絡上(shang)數據(ju)通(tong)信的完整(zheng)性，機密性和(he)身份(fen)驗(yan)證(zheng)。雖然IPsec標準(zhun)的靈活性已引(yin)起(qi)商業市場的興趣，但由(you)于其(qi)(qi)復雜性，導致識別協議存在(zai)若干問題，與其(qi)(qi)他安全(quan)系統(tong)一(yi)樣，維(wei)護不良很(hen)容易(yi)導致關鍵系統(tong)故障。

IPsec可(ke)用(yong)于三個(ge)(ge)不(bu)同的安全(quan)域：虛(xu)擬網絡、應用(yong)程序級(ji)安全(quan)性(xing)和路(lu)由安全(quan)性(xing)。目前，IPsec主要用(yong)于VPN，當在應用(yong)程序級(ji)安全(quan)性(xing)或路(lu)由安全(quan)性(xing)中使用(yong)時，IPsec不(bu)是一個(ge)(ge)完整的解決方案，必須與其(qi)他安全(quan)措施結(jie)合才能發揮(hui)其(qi)有效作用(yong)。

IPSec VPN網關建立隧道

建(jian)立隧(sui)(sui)道說起(qi)來簡單，做(zuo)起(qi)來不(bu)容(rong)易(yi)。如果(guo)兩個設(she)備都(dou)有(you)合法的公網IP，那么建(jian)立一個隧(sui)(sui)道是比較容(rong)易(yi)的。

如(ru)果(guo)一方(fang)在nat之后，那就比(bi)較(jiao)麻煩了(le)。一般通(tong)過(guo)內部的vpn節點發起一個udp連接，再封裝(zhuang)(zhuang)一次ipsec，送到對方(fang)，因(yin)為udp可以(yi)通(tong)過(guo)防火墻進行記憶，因(yin)此(ci)通(tong)過(guo)udp再封裝(zhuang)(zhuang)的ipsec 包(bao)，可以(yi)通(tong)過(guo)防火墻來回(hui)傳(chuan)遞。

建立隧(sui)(sui)(sui)(sui)道以后，就(jiu)確定(ding)隧(sui)(sui)(sui)(sui)道路(lu)由，即到(dao)哪(na)里去(qu)，走哪(na)個(ge)隧(sui)(sui)(sui)(sui)道。很多VPN隧(sui)(sui)(sui)(sui)道配置的時候，IPSec VPN公(gong)司(si)，就(jiu)定(ding)義了保護網(wang)絡(luo)(luo)，這樣，隧(sui)(sui)(sui)(sui)道路(lu)由就(jiu)根據保護的網(wang)絡(luo)(luo)關系來(lai)決(jue)定(ding)。

但是這喪失了一定的(de)靈活性。所有(you)的(de)ipsec VPN展開來講，實(shi)現的(de)無非就(jiu)是以(yi)上幾個(ge)要點，具體各家公司，IPSec VPN哪(na)家好(hao)，各有(you)各的(de)做法。但是可(ke)以(yi)肯(ken)定，目(mu)前在市場銷售的(de)VPN，肯(ken)定都已經解決了以(yi)上的(de)問題(ti)。