IPsec操作

IPsec的一個(ge)重要(yao)部分是(shi)安(an)全(quan)關聯(SA)，SA使(shi)用(yong)AH和ESP中(zhong)攜帶的SPI編號來指示(shi)哪個(ge)SA用(yong)于數據(ju)包，還包括IP目標地址以指示(shi)端點(dian)：這可以是(shi)防火墻，路由器或用(yong)戶(hu)。

安(an)全關聯(lian)數(shu)據庫(ku)(SAD)用于(yu)存儲(chu)所(suo)有(you)使用的(de)(de)SA，SAD使用安(an)全策略來指示路由(you)器應該對數(shu)據包(bao)執行的(de)(de)操作，三(san)個(ge)例(li)子包(bao)括完全丟棄數(shu)據包(bao)，僅丟棄SA，或替換不(bu)同的(de)(de)SA。正在使用的(de)(de)所(suo)有(you)安(an)全策略都存儲(chu)在安(an)全策略數(shu)據庫(ku)中。

IPsec的缺點

在某些情況下，不可以進(jin)行(xing)直接(jie)的端(duan)到端(duan)通信(即(ji)傳(chuan)輸模式)。舉一(yi)個簡單示(shi)例，IPSec VPN價(jia)格，其中H1和(he)H2是一(yi)個直接(jie)隧道上(shang)的兩(liang)個主機，H1使用(yong)防火墻稱為FW1。

在(zai)(zai)大型分布式系(xi)統或域(yu)間環境中，多樣化的區域(yu)安全策(ce)略實施可能(neng)會給(gei)端到(dao)端通信帶來嚴(yan)重的問(wen)題(ti)。在(zai)(zai)上面的示例中，IPSec VPN，假設(she)FW1需要(yao)檢查流量內容(rong)以(yi)進(jin)行(xing)檢測，并且在(zai)(zai)FW1設(she)置策(ce)略以(yi)拒(ju)絕所有加密流量以(yi)強制(zhi)執行(xing)其內容(rong)檢查要(yao)求(qiu)。

然而，H1和H2構建(jian)直接(jie)隧(sui)道而不了解防(fang)火墻及(ji)其策略(lve)(lve)規則(ze)的(de)存在(zai)。因此，所(suo)有流(liu)量(liang)將被FW1丟棄，IPSec VPN供應，該(gai)場景顯示(shi)每個策略(lve)(lve)滿足(zu)其相應的(de)要求，而所(suo)有策略(lve)(lve)一起可(ke)能(neng)導(dao)致(zhi)沖突。

IPSec安全網關(guan)產品用途

IPSec 方(fang)案(an)安(an)(an)全網關產(chan)(chan)品采用一(yi)(yi)體化設(she)計，硬(ying)件、整機、軟件均具有自主知識產(chan)(chan)權(quan)。同時(shi)，IPSec 方(fang)案(an)安(an)(an)全網關完(wan)全采用國產(chan)(chan)化的(de)隨機數模塊，方(fang)案(an)設(she)備和加密卡為同一(yi)(yi)企(qi)業生產(chan)(chan)，技(ji)術完(wan)全自主可控。

IPSec 方案(an)安(an)全(quan)網關(guan)產品作(zuo)為一(yi)種(zhong)提(ti)供IPSec 方案(an)功能和信息加密(mi)的(de)設備，為用戶內部網絡(luo)數據(ju)傳(chuan)輸，提(ti)供機(ji)密(mi)性(xing)、完(wan)整性(xing)保護(hu)以及數據(ju)源鑒別等安(an)全(quan)保障，廣泛應用于大中型企業(ye)事業(ye)單位(wei)，通過(guo) IPSec 方案(an) 產品可以實現(xian)企業(ye)總(zong)部與各個分支機(ji)構、合作(zuo)伙(huo)伴、移動(dong)辦公(gong)人員(yuan)之間(jian)的(de)遠程接入等多種(zhong)網絡(luo)互聯需求，同時對這些(xie)遠程網絡(luo)中傳(chuan)輸的(de)數據(ju)提(ti)供完(wan)整性(xing)等安(an)全(quan)防護(hu)手(shou)段(duan)。