65VPN安全策略66VPN数据安全性（P115）认证：加密培训课件.pptVIP

6.9.3 IPsec的操作模式 (P121) 传输模式只对IP分组应用IPsec协议，对IP报头不进行任何修改，它只能应用于源和目的系统都可以理解IPsec协议，如主机对主机的IPsec虚拟专用网VPN中。 隧道模式中IPsec将原有的IP分组封装成带有新的IP报头的IPsec分组，这样原有的IP分组就被有效地隐藏起来了。不用修改任何程序就可实现IPSEC。 隧道主要应用于主机到网关的远程接入的情况。 6.9 IPSEC数据包信息格式 6.9.4 SA 组合 一个SA对IP数据报不能同时提供AH和ESP保护。有时，特定的安全策略要求对通信提供多种安全保护，这就需要使用多个SA。当把一系列SA应用于业务流时，称为SA束。 SA束的顺序由安全策略决定，SA束中各个SA的终点可能不同。例如，一个SA可能用于移动主机与安全网关之间，而另一个可能用于移动主机与安全网关内的主机。 多个SA可以用传输邻接和嵌套隧道两种方式联合起来。 6.9 IPSEC数据包信息格式 （1） 传输邻接（Transport Adjacency） 传输邻接是指将多个安全协议应用于一份IP数据报中，应用过程中不出现隧道。这种方式仅允许AH和ESP进行一层联合。如SA中的算法强度足够，则没有必要将多个SA嵌套。对一份数据报同时使用AH和ESP传输模式时，应先应用ESP，