浅析IPSec VPN的原理与应用.docVIP

浅析IPSec VPN的原理与应用 　　摘要：随着Internet的大规模使用，其安全（Security）问题越来越突出。IPSec是IETF以RFC形式公布的一组安全IP协议集，为IP业务提供保护的安全协议标准。本文主要从IPSec的协议、模式、结构、工作原理以及提供的安全服务等方面系统阐述了其基本原理。最后，结合中国电信正在向现代综合信息服务提供商的战略转型的时代需要，从技术、需求、产业链和网络等四个层面分析了向市场提供IPSec VPN增值业务的必要性。 　　关键词：IPSec；VPN；AH；ESP；IKE 　　中图分类号：TP393.1 文献标识码：A文章编号：1007-9599 (2011) 15-0000-01 　　Analysis of the Theory and Application of IPSec VPN 　　Chen Yezhao 　　(China Telecom Co.,Ltd.Shantou Branch,Shantou515041,China) 　　Abstract:With the massive use of the Internet,its security(Security)and more problems.IPSec is an IETF RFC to be published in a set of secure IP protocol suite,IP services to provide protection for the security protocol standards.This article from the IPSec protocol,pattern,structure,working principle and provide security services in the system described its basic principles.Finally,with China Telecom is a modern integrated information service provider to a strategic transformation of the needs of the times,from a technical,demand,industry chain and network analysis of four levels to provide IPSec VPN to a market need for value-added services. 　　Keywords:IPSec;VPN;AH;ESP;IKE 　　一、IPSec概述 　　随着Internet的大规模使用，其安全（Security）问题越来越突出。如IP包在路由过程中能够被伪造（forged）、被修改（modified）和被检查（inspected）。人们正在从不同的角度来试图解决Internet的安全问题。 　　二、安全协议 　　（一）封装安全载荷（Encapsulating Security Payload，ESP）。封装安全载荷（ESP）是插入IP数据报内的一个协议头，以便为IP提供机密性、数据源验证、防重播以及数据完整性等安全服务。ESP用一个加密器对IP数据包进行加密以便为IP提供机密性，数据完整性则由身份验证器提供。 　　（二）验证头（Authentication Header，AH）。验证头（AH）又是一种IPSec协议，用于为IP提供数据完整性、数据原始身份验证和一些可选的、有限的防重播服务。 　　三、IPSec模式（TransportTunnel Mode） 　　IPSec协议既可用来保护一个完整的IP载荷，亦可用来保护某个IP载荷的上层协议。这两方面的保护分别是由IPSec两种不同的“模式”（这里的模式指的是数据在网络中是如何发送和加密的）来提供的，分别为传输模式（Transport Mode）和隧道模式（Tunnel mode）。 　　四、安全联盟和策略 　　（一）安全联盟（Security Association，SA）。IPSec在对等体（peer）关系而非客户/服务器（C/S）关系下运行。为使两个设备交换受保护的数据，它们要使用何种加密方法要达成共识。对等体间的协议称为安全联盟（SA）。IPSec SA是单向的，用于设备间的实际通信。 　　（二）安全策略（Security Policy）。安全策略由用户手工配置，规定对什么样的数据流采用什么样的安全措施。对数据流的定义通过配置一个访问控制列表（ACL）中的多条规则来实现，在安全策略中引用这个访问控制列表来确定需要进行保护的数据流。