IP安全 91页.pptVIP

IP安全 TCP/IP协议 IPSec概述 安全关联(SA)和安全策略(SP) 认证头(AH) 封装安全载荷 (ESP) Internet密钥交换协议(IKE) IPSec的实现 TCP/IP协议 Internet概述 Internet安全 IP层安全 internet和Internet internet（互联网或互连网）是一个通用名词，它泛指由多个计算机网络互连而成的虚拟网络。 Internet（因特网）是一个专用名词，它特指当前全球最大的、开放的、由众多网络相互连接而成的特定计算机网络，它采用TCP/IP协议簇，且前身是美国的ARPANET。 图 示 OSI/RM和TCP/IP RM TCP/IP例子 TCP/IP中的数据传输 网络层安全 传输层安全 应用层安全 IP层安全 IP层的主要协议是IP协议，有两种版本的IP：IPv4和IPv6。IPv6是IPv4的后续版本，IPv6简化了IP首部，其数据报更灵活，同时IPv6还增加了对安全性的考虑。 目前因特网占统治地位的是IPv4。IPv4在设计之初没有考虑安全性，IP数据报本身并不具备任何安全特性，导致在网络上传输的数据很容易收到各式各样的攻击：业务流被监听和捕获、IP地址欺骗、信息泄露和数据项篡改等。 IPv4首部 IPv6首部 IPSec概述 为加强因特网的安全性，从1995年开始，IETF着手研究制定了一套用于保护IP通信的IP安全协议（IP Security,IPSec），目的是：为IPv4和IPv6提供具有较强的互操作能力、高质量和基于密码的安全功能，在IP层实现多种安全服务：访问控制、数据完整性、数据源验证、抗重播、机密性等。 IPSec是IPv6的一个组成部分，也是IPv4的一个可扩展协议。本课程只考虑IPv4情况。 IPSec的构成 两个通信协议 AH 和ESP。 两种操作模式 传输模式和隧道模式。 一个密钥交换管理协议 IKE。 两个数据库 安全策略数据库SPD和安全关联数据库SAD。 IPSec安全体系结构 IPSec的文档 IPSec的服务 访问控制 无连接完整性 数据源认证 拒绝重放数据包 机密性（必威体育官网网址） 有限通信量机密性 IPSec的服务 IPSec的实现 安全关联(SA)和安全策略(SP) 安全关联（SA） 安全策略（SP） 概 述 理解SA这一概念对于理解IPSec至关重要。AH和ESP协议都使用SA来保护通信，而IKE的主要功能就是在通信双方协商SA。 SA的定义 SA是两个IPSec实体（主机、安全网关）之间经过协商建立起来的一种约定，内容包括：采用何种IPSec协议（AH？ESP？）、操作模式（传输模式？隧道模式？）、验证算法、加密算法、加密密钥、密钥生存期、抗重放窗口、计数器等，从而决定了保护什么？如何保护？谁来保护？可以说SA是构成IPSec的基础。 SA是单向的，进入SA负责处理接收到的IP数据报，外出SA负责处理要发送的IP数据报。因此每个通信方必须要有两个SA：一个进入SA，一个外出SA，这两个SA构成了一个SA束（SA Bundle）。 SA的管理 手工管理 SA的内容由管理员手工指定、手工维护，但是，手工操作容易出错，而且手工建立的SA没有生存周期限制，除非手工删除，因此有安全隐患。 IKE管理 一般来说，SA的自动建立和动态维护是通过IKE进行的，SA有生存周期限制。如果安全策略要求建立安全、必威体育官网网址的连接，但又不存在与该连接相应的SA，IPSec的内核会立即启动IKE来协商SA。 安全关联数据库（SAD） 安全关联数据库（SAD）用于存储SA参数。 对于外出的流量，如果需要使用IPSec处理，然而相应的SA不存在，则IPSec将启动IKE来协商出一个SA，并存储到SAD中。对于进入的流量，如果需要进行IPSec处理，IPSec将从IP数据报中得到三元组，并利用这个三元组在SAD中查找一个SA。 每个SA由三元组唯一标识： SPI，源/目的IP地址，IPSec协议 安全关联数据库（SAD） 安全关联数据库（SAD） 安全关联数据库（SAD） 安全关联数据库（SAD） 安全关联数据库（SAD） 安全关联数据库（SAD） 安全关联数据库（SAD） 安全关联数据库（SAD） 安全关联数据库（SAD） 安全关联数据库（SAD） 安全关联数据库（SAD） 安全关联数据库（SAD） 安全策略（SP） 安全策略决定了应用于IP数据报的安