第八章 网络安全应用- IPSEC协议（2013）.pdf

第八章网络安全应用－IPSEC 1  目前互联网采用的最基本协议是IP协议，它向其他运行在 网络层或网络层之上的协议提供了数据传送服务。任何类 型的数据都能通过这个基本而有效的传送机制得到传输服 务，但是IP不能提供安全特性。在路由过程中，IP数据包 可以被伪造、篡改或窥视。  现在在互联网应用领域已有许多与特定场合应用相关的安 全服务，它们考虑的是特定应用系统的安全，如安全电子 邮件（PGP，S/MIME ）、网络中的认证（包括Kerberos, X.509)等。但是有时用户的某些需求会跨越协议层，如不 允许对不可信站点的连接，可以对从自己网络发出的数据 包加密，能对进入自己网络的数据报进行认证等，这些安 全策略的实施都需要在IP层上进行。  IP层上的安全应该并且能够包含了以下安全服务：鉴别、 保密性、密钥管理（防重放攻击） 2  鉴于对IP层上的安全性需求，因特网工程任务组（IETF）委托因 特网协议安全协议工作组（IPSec）对IP安全协议和对应的因特 网密钥管理协议进行标准化工作。主要目的是使有安全需求的用 户能够使用相应的加密安全体制。IPSec工作组制定了目前的IP 层的安全协议IPSec,它可以“无缝”地为IP引入安全特性。  IPSec是一组协议套件，套件内的各种协议通常称为“IPSec”， 如鉴别首部AH （authentication header)、封装安全载荷ESP （encapsulating security payload)及Internet密钥交换IKE （Internet key exchange)  AH协议为IP包提供信息源鉴别和数据完整性服务  ESP协议可以实现通信内容的保密性并可选地提供鉴别服务  IKE解决密钥的安全交换。  1985年，IETF的IPSec工作组发表了5个与安全相关的标准文件 RFC1825-1829，这些文件主要对网络层的安全能力及应包含的 特征进行定义。随后出台关于IPv6的RFC中定义IPv6必须支持 这些安全特性，而在IPv4中这些安全特性是可选的。  1998年又陆续发布了一批RFC文档。这些文档可以分为7类。 3 IPSec的用途  保证因特网上各分支办公点的安全连接。公司可以借助因特 网或公用的广域网搭建安全的虚拟专用网络。  保证因特网上远程访问的安全。在计算机上装有IPSec的终 端用户可以通过拨入所在地的ISP的方式获得对公司网络的安 全访问权。  通过外部网或内部网建立与合作伙伴的联系。IPSec通过认 证和密钥交换机制确保企业与其他组织的信息往来的安全性 和机密性。  提高了电子商务的安全性。尽管在电子商务的许多应用中已 嵌入了一些安全协议， IPSec的使用仍然可以使其安全级别 在原有的基础上更进一步，因为所有由网络管理员指定的通 信都是认证和加密的。 4 传统的异地网络通讯结构 异地分部门 Leased Lines 总部 T1, Frame Relay ISDN, ATM 客户和供应商 Remote User Modem Pool 5 应用VPN 的网络结构 Vir