IPSec VPN技術(shù)原理解析

01

IPSec概念

IPSec（Internet Protocol Security）是IETF定義的一個(gè)協(xié)議組。

通信雙方在IP層通過加密、完整性校驗(yàn)、數(shù)據(jù)源認(rèn)證等方式，保證了IP數(shù)據(jù)報(bào)文在網(wǎng)絡(luò)上傳輸?shù)臋C(jī)密性、完整性和防重放。

機(jī)密性：對(duì)數(shù)據(jù)進(jìn)行加密保護(hù)，用密文的形式傳送數(shù)據(jù)

完整性：指對(duì)接收的數(shù)據(jù)進(jìn)行認(rèn)證，以判定報(bào)文是否被篡改

防重放：防止惡意用戶通過重復(fù)發(fā)送捕獲到的數(shù)據(jù)包所進(jìn)行的攻擊，即接收方會(huì)拒絕舊的或重復(fù)的數(shù)據(jù)包。

應(yīng)用場(chǎng)景：企業(yè)分支通過IPSec隧道接入企業(yè)總部

02

IPSec VPN

應(yīng)用場(chǎng)景及協(xié)議

?01??IPSec VPN的應(yīng)用場(chǎng)景分為3種?

1. ?Site-to-Site（站點(diǎn)到站點(diǎn)或者網(wǎng)關(guān)到網(wǎng)關(guān)）：

如彎曲評(píng)論的3個(gè)機(jī)構(gòu)分布在互聯(lián)網(wǎng)的3個(gè)不同的地方，各使用一個(gè)商務(wù)領(lǐng)航網(wǎng)關(guān)相互建立VPN隧道，企業(yè)內(nèi)網(wǎng)（若干PC）之間的數(shù)據(jù)通過這些網(wǎng)關(guān)建立的IPSec隧道實(shí)現(xiàn)安全互聯(lián)。

2. ?End-to-End（端到端或者PC到PC）：?

兩個(gè)PC之間的通信由兩個(gè)PC之間的IPSec會(huì)話保護(hù)，而不是網(wǎng)關(guān)。

3. ?End-to-Site（端到站點(diǎn)或者PC到網(wǎng)關(guān)）：

兩個(gè)PC之間的通信由網(wǎng)關(guān)和異地PC之間的IPSec進(jìn)行保護(hù)。

?02??IPSec 協(xié)議?

VPN只是IPSec的一種應(yīng)用方式，IPSec其實(shí)是IP Security的簡(jiǎn)稱，它的目的是為IP提供高安全性特性，VPN則是在實(shí)現(xiàn)這種安全特性的方式下產(chǎn)生的解決方案。

IPSec是一個(gè)框架性架構(gòu)，具體由下面協(xié)議組成：

IPSec VPN體系結(jié)構(gòu)主要由下面這些協(xié)議套件組成：

AH（Authentication Header）

ESP（Encapsulating Security Payload）

IKE（Internet Key Exchange）

AH協(xié)議（使用較少）：提供的功能有數(shù)據(jù)源驗(yàn)證、數(shù)據(jù)完整性校驗(yàn)和防報(bào)文重放功能。

ESP協(xié)議（使用較廣）：提供AH協(xié)議的所有功能外（ESP的數(shù)據(jù)完整性校驗(yàn)不包括IP頭），還提供對(duì)IP報(bào)文的加密功能

IKE協(xié)議：自動(dòng)協(xié)商AH和ESP所使用的密碼算法

為何AH使用較少呢？

因?yàn)锳H無法提供數(shù)據(jù)加密，所有數(shù)據(jù)在傳輸時(shí)以明文傳輸，而ESP提供數(shù)據(jù)加密；

其次AH因?yàn)樘峁?shù)據(jù)來源確認(rèn)（源IP地址一旦改變，AH校驗(yàn)失?。?，所以無法穿越NAT。

當(dāng)然，IPSec在極端的情況下可以同時(shí)使用AH和ESP實(shí)現(xiàn)最完整的安全特性，但是此種方案極其少見。

編輯：黃飛