第三章IPSecAH和ESP.pptVIP

第三章：IPSec：AH和ESP IPSec（IP Security）是Internet的网络层安全协议，于1995年8月发布IPSec 1.0，1998年11月发布了IPSec 2.0，同时支持IPv4和IPv6，它规定了： IPSec的整体结构（RFC2401，2411） IPSec协议（认证与加密）（RFC2402-2406） 密钥管理协议（RFC2407-2409，2412） 为什么需要IPSec？ 计算机网络的安全性能差，存在众多安全隐患。 如伪造、篡改、重放、窃听 安全保护的范围 点到点（链路）：由于IP分组头要用来寻路，在路由器上需要相应的安全操作（如认证或加解密） 端到端：只需要在收发两端进行安全操作 Security Protocol Layers 本章内容 3.1 IPv4和IPv6协议 3.2 IPSec中的安全组合（SA） 3.3 认证头标AH 3.4 加密头标ESP 3.5 IPSec的传输模式与隧道模式 3.6 IPSec与NAT 3.7 IPSec隧道模式的应用-VPN 3.8 IPSec的实现 3.1 IPv4和IPv6协议 IPv4协议——Internet的网络层协议 IPv6协议 IPv6地址 128位地址可产生2128个地址。 理论上说，地球上每平方米有665,570,793,348,866,943,898,599个IPv6地址. 实际分析表明，地球上每平方米可用的IPv6地址数为1564 - 3,911,873,538,269,506,102 表示方法采用十六进制冒号分割法 如1025:1ab6:0:0:0:87:a76f:1234 以上地址还可表示为1025:1ab6::87:a76f:1234 混合表示::FFFF:8 地址前缀表示：IPv6地址/前缀长度 IPv4与IPv6头标比较 V6: 6 fields + 2 addr V4: 10 fields + 2 addr + options Deleted: Header length type of service identification, flags, fragment offset Header Checksum Added: Traffic class Flow label Renamed: length - Payload length Protocol - Next header time to live - Hop Limit Redefined: Option mechanism IPv6 extension headers 中继点选项（Hop-by-hop options） 寻路头标（Routing） 报片头标（Fragment） 信宿选项（Destination options） 认证头标（Authentication） 安全净荷加密头标（Encryption Security Payload） Extension Header Order IPv6 Header Hop by Hop Options Header Destination Options Header 1 Routing Header Fragmentation Header Authentication Header Encryption Header Destination Options Header 2 Data in TCP/IP Data in TCP/IPSec/IP 本章内容 3.1 IPv4和IPv6协议 3.2 IPSec中的安全组合（SA） 3.3 认证头标AH 3.4 加密头标ESP 3.5 IPSec的传输模式与隧道模式 3.6 IPSec与NAT 3.7 IPSec隧道模式的应用-VPN 3.8 IPSec的实现 3.2 IPSec中的安全组合（SA） 需求：认证、加密算法及其参数、密钥 SA：为使通信双方的认证/加密算法及其参数、密钥的一致，相互间建立的联系被称为安全组合或安全关联（Security Association）。由于SA是单向的，因此在双向通信时要建立两个SA。对于某一主机来说，某个会话的输出数据和输入数据流需要两个独立的SA。 SA是通过密钥管理协议在通信双方之间进行协商，协商完毕后，双方都在它们的安全关联数据库（SAD）中存储该SA参数。 SA由一个三元组唯一地标识，该三元组为安全索引参数SPI、一个用于输出处理的目的IP地址（或用于输入处理的源IP地址）和协议（如AH或ESP）。 安全参数索引（SPI） SPI是为了唯一标识SA而生成的一个32位整数。包含在AH头标和ESP头标中，其值1～255被IANA留作将来使用，0被保留，目前有效的值为256～23