ipsec中esp、ah协议的区别.pdfVIP

文章一 :IPSec 中安全协议 ESP、AH精解 ESP 的协议号为 50 AH 协议号为 51 一、 ESP详解 （一）ESP提供： confidentiality ，data integrity ，optional data origin authentication ， anti-replay services （二）ESP结构为： 1、Security Parameter Index （SPI ） 2、Sequence Number 3、Payload Data （Variable ） 4、Padding （0-255 ） Bytes 5、Pad length 6、Report Handler 7、Authentication Data （varaible ） SPI ： 1、destination address 2、protocol 3、identify the security association （SA） SPI number 是在 Internet Key Exchange （IKE ）协商过程中，可以任意指定的。利用 这个 number 可以在 security association database （SADB）中查询相关信息。 Sequence number ： 提供 anti-replay services. 这点在 AH 中也是同样的 原理是通过 increasing 序号 Payload data ： 被保护的数据，加密算法需要一个 initialization vector （IV ），注意 IV 需要认证， 但是不是加密的， DES使用前 8 个字节做为 IV ，3DES、AES也使用 8 字节的 IV. Padding Bytes ： 根据加密算法不同，补足的字节也不同。 二、 AH详解 （一）AH提供： connectionless integrity ，data authentication ，optional replay protection ，但是不提供 confidentiality （加密） （二）AH 的包结构： 1、Next header 2、Payload Length 3、Reserved 4、Security Parameter Index （SPI ） 5、Sequence Number 6、Authentication Data （Variable ） 三、 ESP、AH对比 1、AH没有 ESP的加密特性 2 、AH的 authtication 是对整个数据包做出的，包括 IP 头部分，因为 IP 头部分包含 很多变量， 比如 type of service （TOS），flags ，fragment offset ，TTL 以及 header checksum. 所以这些值在进行 authtication 前要全部清零。否则 hash 会 mismatch 导致丢包。 相反， ESP是对部分数据包做 authentication ，不包括 IP 头部分。 文章二： IPsec AH ：IPsec 认证头协议（ IPsec Authentication Header ） IPsec 认证头协议（ IPsec AH ）是 IPsec 体系结构中的一种主要协议，它为 IP 数据报提 供无连接完整性与数据源认证， 并提供保护以避免重播情况。 一旦建立安全连接， 接收方就 可能会选择后一种服务。 AH 尽可能为 IP 头和上层协议数据提供足够多的认证。