IPSEC VPN技术规范（最终对外发布版）.docVIP

IPSec VPN技术规范IPSec VPN Technology Specification（报批 IPSec VPN技术规范 IPSec VPN Technology Specification （报批稿） 国家密码管理局 2008年1月 PAGE III 目 次 TOC \o 1-3 \h \z \u 目 次 I 前 言 II 引 言 III 1 范围 1 2 规范性引用文件 1 3 术语与缩略语 1 3.1 术语 1 3.2 缩略语 2 4 密码算法和密钥种类 3 4.1 密码算法 3 4.2 密钥种类 3 5 协议 3 5.1 密钥交换协议 3 5.2 安全报文协议 29 6 IPSec VPN产品要求 37 6.1 产品功能要求 37 6.2 产品性能要求 38 6.3 安全管理要求 38 7 IPSec VPN产品检测 39 7.1 产品功能检测 39 7.2 产品性能检测 40 7.3 安全管理检测 41 8 合格判定 41 附　录　A IPSec VPN概述 42 A.1 安全联盟及安全联盟数据库 42 A.1.1 定义和范围 42 A.1.2 安全联盟的功能 42 A.1.3 安全联盟的组合 43 A.2 安全联盟数据库 43 A.2.1 安全策略数据库 43 A.2.2 选择符 44 A.2.3 安全联盟数据库 44 前 言 本规范由国家密码管理局提出。 本规范由国家密码管理局归口。 本规范中的附录A为资料性附录。 本规范主要起草单位：华为技术有限公司、深圳市奥联科技有限公司、深圳市深信服电子科技有限公司、网御神州科技（北京）有限公司、无锡江南信息安全工程技术中心。 本规范主要起草人：刘平、朱志强、董浩、雷建、刘建锋、李小京、邱钢、向明。 引 言 本规范对IPSec VPN的技术协议、产品的功能、性能和管理以及检测进行了规定，可用于指导IPSec VPN产品的研制、检测、使用和管理。 本规范的协议部分主要依据RFC4301、RFC4302、RFC4303、RFC4308、RFC4309等标准制定。按照我国相关密码政策和法规，结合我国实际应用需求及产品生产厂商的实践经验，对密钥协商、密码算法及使用、某些功能项的实施方法提出了一些特定的要求。 基于本规范研制的IPSec VPN产品所用的密码算法和密码部件须经国家密码管理局审批。 本规范内容同国家已发布的标准保持一致性。 本规范中未明确指明为可选要素的部分均为必备要素。 PAGE 7 范围 本规范对IPSec VPN的技术协议、产品管理和检测进行了规定，可用于指导IPSec VPN产品的研制、检测、使用和管理。 规范性引用文件 下列文件中的条款通过本规范的引用而成为本规范的条款。凡是注明日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本规范，然而，鼓励根据本规范达成协议的各方研究是否可使用这些文件的最新版本。凡是不注明日期的引用文件，其最新版本适用于本规范。 GB/T 20518-2006 《信息安全技术 公钥基础设施 数字证书格式》 《随机数检测规范》 RFC4301 《因特网安全协议体系》 RFC4302 《IP认证头协议》 RFC4303 《IP封装安全载荷协议》 RFC3947 《在IKE中协商NAT穿越》 RFC3948 《UDP封装IPsec ESP报文》 术语与缩略语 术语 本规范使用下列术语： 密码算法 crypto algorithm 描述密码处理过程的一组运算规则或规程。 密码杂凑算法 cryptographic hash algorithm 又称为密码散列算法或密码哈希算法。它是将一任意长的比特串映射到一个固定长的比特串的运算。满足下列两个特性： （1）为一个给定的输出找出能映射到该输出的一个输入是计算上不可行的； （2）为一个给定的输入找出能映射到同一个输出的另一个输入是计算上不可行的。 非对称密码算法/公钥密码算法 asymmetric cryptographic algorithm/public key cryptographic algorithm 加密和解密使用不同密钥的密码算法。其中一个密钥（公钥）可以公开，另一个密钥（私钥）必须保密。由公钥求解私钥在计算上是不可行的。 对称密码算法 symmetric cryptographic algorithm 加解密使用相同密钥的密码算法。密钥必须保密。 分组密码算法 block cipher algorithm 又称块密码算法，一种对称密码算