ipsec信息安全概论 典型实例.pptVIP

IPSEC 功能 数据源验证 无连接数据的完整性验证 数据内容的机密性 抗重播保护 内容 协议部分 AH （Authentication Head） ESP （Encapsulating Security Payload） 密钥管理 网络安全关联和密钥管理协议ISAKMP（Internet Security Association and Key Management Protocol） IKE ( Internet Key Exchange） 安全体系结构 体系结构 鉴别算法 加密算法 ESP AH 解释域（DOI） 密钥管理 策略 工作模式 传输模式 保护对象是IP载荷 保持原IP头不变 隧道模式 保护对象是整个IP数据包 数据包封装后加入新的IP头 AH格式 下一个首部 载荷长度 保留 安全参数索引（SPI） 序列号 鉴别数据（可变长） 0 8 16 31 ESP IP头 IP载荷 IP头 ESP首部 IP载荷 ESP尾部 ESP鉴别 原始数据包 传输模式 隧道模式 新IP头 ESP首部 IP头 IP载荷 ESP尾部 ESP鉴别 鉴别 加密 鉴别 加密 安全关联（SA） 两个IPSec实体之间经过协商建立起来的一种协定，是发送者和接收者之间一个单向关系。 如果需要对等关系，即双向安全交互，需要建立两个SA 每个SA通过三个参数来标识 SPI，DST(SRC)，Protocol 安全关联数据库（SAD）和安全策略数据库（SPD） SAD ：用于定义于每个SA关联的参数值 SPD ：维护安全策略 － 要保护什么样的数据（被保护对象） － 由谁来实行保护（实施保护者） － 采用何种手段如何保护通信数据 （处理方法） SA 序号计数器：32位，用于生成AH或ESP头中的序号字段 序号溢出标记：标识序号计数器是否溢出，如果溢出， 则产生一个审计事件，并禁止用SA继续发送数据包 抗重播窗口：32位，用于确定AH或ESP包是否重发 AH信息：鉴别算法，密钥，密钥生存器以及相关参数 ESP信息：加密和鉴别算法，密钥，初始值，密钥生存器 以及相关参数 SA的有效期：一个时间计数或字节总数 IPSec协议模式：传输模式/隧道模式/通配符 路径MTU：不经分片可传输的最大长度