IPSec中ESP、AH协议区别.docVIP

文章一:IPSec中安全协议ESP、AH精解?????? ESP 的协议号为50　　AH　协议号为51　　一、ESP详解　　（一）ESP提供：confidentiality，data integrity，optional data origin authentication，anti-replay services　　（二）ESP结构为：　　1、Security Parameter Index（SPI）　　2、Sequence Number　　3、Payload Data（Variable）　　4、Padding（0-255）Bytes　　5、Pad length　　6、Report Handler　　7、Authentication Data（varaible）　　SPI：　　1、destination address　　2、protocol　　3、identify the security association（SA）　　SPI number是在Internet Key Exchange（IKE）协商过程中，可以任意指定的。利用这个number可以在security association database（SADB）中查询相关信息。　　Sequence number：　　提供anti-replay services.这点在AH中也是同样的　　原理是通过increasing序号　　Payload data：　　被保护的数据，加密算法需要一个initialization vector（IV），注意IV需要认证，但是不是加密的，DES使用前8个字节做为IV，3DES、AES也使用8字节的IV.　　Padding Bytes：　　根据加密算法不同，补足的字节也不同。　　二、AH详解　　（一）AH提供：connectionless integrity，data authentication，optional replay protection，但是不提供confidentiality（加密）　　（二）AH的包结构：　　1、Next header　　2、Payload Length　　3、Reserved　　4、Security Parameter Index（SPI）　　5、Sequence Number　　6、Authentication Data（Variable）　　三、ESP、AH对比　　1、AH没有ESP的加密特性　 　2、AH的authtication是对整个数据包做出的，包括IP头部分，因为IP头部分包含很多变量，比如type of service（TOS），flags，fragment offset，TTL以及header checksum.所以这些值在进行authtication前要全部清零。否则hash会mismatch导致丢包。　　相反，ESP是对部分数据包做authentication，不包括IP头部分。 文章二：IPsec AH：IPsec 认证头协议（IPsec Authentication Header）IPsec 认证头协议（IPsec AH）是 IPsec 体系结构中的一种主要协议，它为 IP 数据报提供无连接完整性与数据源认证，并提供保护以避免重播情况。一旦建立安全连接，接收方就可能会选择后一种服务。 AH 尽可能为 IP 头和上层协议数据提供足够多的认证。但是，在传输过程中某些 IP 头字段会发生变化，且发送方无法预测当数据包到达接受端时此字段的值。 AH 并不能保护这种字段值。因此， AH 提供给 IP 头的保护有些是零碎的。AH 可被独立使用，或与 IP 封装安全负载（ESP）相结合使用，或通过使用隧道模式的嵌套方式。在通信主机与通信主机之间、通信安全网关与通信安全网关之间或安全网关与主机之间可以 提供安全服务。 ESP 提供了相同的安全服务并提供了一种保密性（加密）服务，而 ESP 与 AH 各自提供的认证其根本区别在于它们的覆盖范围。特别地，不是由 ESP 封装的 IP 头字段则不受 ESP 保护。有关在不同网络环境下如何使用 AH 和 ESP 的详细内容，可参见相关文件。通常，当用与 IPv6 时， AH 出现在 IPv6 逐跳路由头之后 IPv6 目的选项之前。 而用于 IPv4 时， AH 跟随主 IPv4 头。协议结构 8 16 32 bit Next Header Payload Length Reserved Security parameters index （SPI） Sequence Number Field Authentication Data （Variable）