IPsec协议详解

作者：IT小白 | 2024-07-12 14:52:09

踩

ipsec协议

（一）基本概念

IPsec 是 IETF 制定的一组开放的网络安全协议，在IP层通过数据来源认证、数据加密、数据完整性和抗重放功能来保证通信双方Internet上传输数据的安全性。

数据来源认证：接收方认证发送方身份是否合法。

数据加密：发送方对数据进行加密，以密文的形式在Internet上传送，接收方对接收的加密数据进行解密后处理或直接转发。

数据完整性：接收方对接收的数据进行认证，以判定报文是否被篡改。

抗重放：接收方会拒绝旧的或重复的数据包，防止恶意用户通过重复发送捕获到的数据包所进行的攻击。

IPsec 包括认证头协议（Authenti c a tion Header，AH)、封装安全载荷协议（Encapsulating Security Payload，ESP）、因特网密钥交换协议（Internet Key Exchange，IKE)，用于保护数据流。

AH和ESP这两个安全协议用于提供安全服务，IKE协议用于密钥交换。AH主要做认证，ESP可以做认证还可以加密。

IPSec通过在IPSec对等体间建立双向安全联盟，形成一个安全互通的IPSec隧道，来实现 Internet上数据的安全传输。

安全联盟SA：

（二）协议内容

（1）数据的封装模式

传输模式：不改变原有的IP包头，通常用于主机与主机之间，只保护数据域。只针对数据部分进行加密。

隧道模式：增加新的IP头，通常用于私网与私网之间通过公网进行通信，适用于主机和网关实现，针对头和数据进行加密。在隧道模式下，AH报头或ESP报头插在原始IP头之前，另外生成一个新IP头（新IP头为对等体的IP地址）放到AH报头或ESP报头之前。隧道模式在两台主机端到端连接的情况下，隐藏了内网主机的IP地址，保护整个原始数据包的安全。

传输模式：加密点，通信点一致的话，推荐传输模式。

隧道模式：加密点，通信点不一致，比如加密点在AB之间，通信点在CD之间。

传输模式：可见原始ip报头都保留，原始ip地址都是在公网可路由的IP，不需要再重新封装。

隧道模式需要对原始IP数据进行重新封装，会产生新的IP头部，RawIP是原始，NewIP是新的IP头部。AH对整个IP报文做认证。

从安全性来讲，隧道模式优于传输模式。它可以完全地对原始IP数据包进行认证和加密，并且可以使用对等体的IP地址来隐藏客户机的IP地址。从性能来讲，因为隧道模式有一个额外的IP头，所以它将比传输模式占用更多带宽。

（2）认证头协议AH

上面有提到IPsec 包括认证头协议（Authenti c a tion Header，AH)、封装安全载荷协议（Encapsulating Security Payload，ESP）、因特网密钥交换协议（Internet Key Exchange，IKE)，用于保护数据流。

下面先介绍AH协议：