基于IPSec协议的IPv6安全机制（三）：IPSEC的四种功能.docVIP

　　基于IPSec协议的IPv6安全机制（三）： IPSEC的四种功能～教育资源库 　　三、IPSEC的四种功能 　　与IPv4相比，IPv6具有许多优势。首先，IPv6解决了IP地址数量短缺的问题；其次，IPv6对IPv4协议中诸多不完善之处进行了较大的改进。其中最为显著的就是将IP Sec集成到协议内部，从此IP Sec将不再单独存在，而是作为IPv6协议固有的一部分贯穿于IPv6的各个领域。IPSEC提供四种不同的形式来保护通过公有或私有IP网络来传送的私有数据： 　　安全关联（Security Associations，简称SA) 　　报头认证（Authentication only(Authentication Header ，简称AH) ) 　　IP封装安全载荷（Encryption and authentication knoanagement） 　　1、 安全关联Security Association(SA) 　　IP Sec中的一个基本概念是安全关联(SA)，安全关联包含验证或者加密的密钥和算法。它是单向连接，为保护两个主机或者两个安全网关之间的双向通信需要建立两个安全关联。安全关联提供的安全服务是通过AH和ESP两个安全协议中的一个来实现的。如果要在同一个通信流中使用AH和ESP两个安全协议，那么需要创建两个（或者更多）的安全关联来保护该通信流。一个安全关联需要通三个参数进行识别，它由安全参数索引（AH/ESP报头的一个字段）、目的IP地址和安全协议（AH或者ESP）三者的组合唯一标识。表6列出AH和ESP报头在传送模式和隧道模式下的区别。 　　表6　 AH和ESP报头在传送模式和隧道模式下的区别 传送模式隧道模式AH基本IP报头和扩展报头原始的IP数据包外面封装新IPv6报头和AHESP压缩数据包和IP v6扩展ESP报头ESP报头带AH的ESPESP报头和HA扩展报头 　　传送模式 隧道模式 　　AH 基本IP报头和扩展报头 原始的IP数据包外面封装新IPv6报头和AH 　　ESP 压缩数据包和IP v6扩展ESP报头 ESP报头 　　带AH的ESP　　ESP报头和HA扩展报头 　　2、报头验证Authentication Header(AH) 　　认证协议头（AH）是在所有数据包头加入一个密码。AH通过一个只有密匙持有人才知道的数字签名来对用户进行认证。这个签名是数据包通过特别的算法得出的独特结果；AH还能维持数据的完整性，因为在传输过程中无论多小的变化被加载，数据包头的数字签名都能把它检测出来。IPv6的验证主要由验证报头（AH）来完成。验证报头是IPv6的一个安全扩展报头，它为IP数据包提供完整性和数据验证，防止反重放攻击，避免IP欺骗攻击。 　　⑴ 验证报头的格式，如图2所示。 　　图2　 验证报头的格式（IP Security Authentication Header ） 　　验证报头的格式包括以下内容： 　　下一报头字段（Next Header）: 确定跟在验证报头后面的有效载荷的类型（如TCP） 　　有效载荷长度（Payload length）：验证报头的长度。 　　安全参数索引（Security Parameter Index）：用来确定安全关联的安全参数索引。 　　验证数据字段（Sequence Number）：一个变长字段，它包含完整性检查值（ICV， Integrity Check Value），用来提供验证和数据完整性。 　　保留字段（Reserved）：(16 位)供以后使用 　　⑵验证数据（Authentication Data） 　　验证数据，它包含完整性检查值（ICV），用来提供验证和数据完整性。用来计算ICV的算法由安全关联指定。ICV是在这种情况下计算的，即IP报头字段在传递过程中保持未变，验证报头带有的验证数据置0，IP数据包为有效载荷。有些字段在传递的过程中可能改变，包括最大跳数、业务类别和流标签等。IP数据包的接收者使用验证算法和安全关联中确定的密钥对验证报头重新计算ICV。如果ICV一样，接收者知道数据通过验证并且没有被更改过。验证数据包工作过程，如图3所示。 　　图3　 验证数据包工作过程 　　⑶防止重放攻击（Prevent Reply Attack） 　　重放攻击是一种获得加密数据包，然后发送设定的目的地。收到复制加密数据包后，可能而而面临破解及其它一引起意想不到的后果。序列号计数器可阻止此类攻击，当发送者和接收者之间的通信状态建立的时候，序列号被置0。当发送者或者接收者传送数据的时候，它随后被加1。如果接收者发觉一个IP数据包具有复制的序列号字段，它将被丢弃，这是为了提供反重放的保护。该字段是强制使用的，即使接收者没有选择反重放服