IPSecVPN中隧道模式和传输模式区别.pdfVIP

非淡泊无以明志，非宁静无以致远。——诸葛亮

.--.

IPSecVPN根本原理

IPSecVPN是目前VPN技术中点击率非常高的一种技术，同时提供VPN和信息加密两项技

术，这一期专栏就来介绍一下IPSecVPN的原理。

IPSecVPN应用场景

IPSecVPN的应用场景分为3种：

1.Site-to-Site〔站点到站点或者网关到网关〕：如弯曲评论的3个机构分布在互联网的3

个不同的地方，各使用一个商务领航网关相互建立VPN隧道，企业内网〔假设干PC〕之间

的数据通过这些网关建立的IPSec隧道实现平安互联。

2.End-to-End〔端到端或者PC到PC〕：两个PC之间的通信由两个PC之间的IPSec

会话保护，而不是网关。

3.End-to-Site〔端到站点或者PC到网关〕：两个PC之间的通信由网关和异地PC之间

的IPSec进展保护。

VPN只是IPSec的一种应用方式，IPSec其实是IPSecurity的简称，它的目的是为IP提供高

平安性特性，VPN那么是在实现这种平安特性的方式下产生的解决方案。IPSec是一个框架

性架构，具体由两类协议组成：

1.AH协议〔AuthenticationHeader，使用较少〕：可以同时提供数据完整性确认、数据

来源确认、防重放等平安特性；AH常用摘要算法〔单向Hash函数〕MD5和SHA1实现该特

性。

2.ESP协议〔EncapsulatedSecurityPayload，使用较广〕：可以同时提供数据完整性确认、

数据加密、防重放等平安特性；ESP通常使用DES、3DES、AES等加密算法实现数据加密，

使用MD5或SHA1来实现数据完整性。

为何AH使用较少呢？因为AH无法提供数据加密，所有数据在传输时以明文传输，而ESP

-.wordzl.

非淡泊无以明志，非宁静无以致远。——诸葛亮

.--.

提供数据加密；其次AH因为提供数据来源确认〔源IP地址一旦改变，AH校验失败〕，所

以无法穿越NAT。当然，IPSec在极端的情况下可以同时使用AH和ESP实现最完整的平安

特性，但是此种方案极其少见。

IPSec封装模式

介绍完IPSecVPN的场景和IPSec协议组成，再来看一下IPSec提供的两种封装模式〔传输

Transport模式和隧道Tunnel模式〕

上图是传输模式的封装构造，再来比照一下隧道模式：

-.wordzl.

非淡泊无以明志，非宁静无以致远。——诸葛亮

.--.

可以发现传输模式和隧道模式的区别：

1.传输模式在AH、ESP处理前后IP头部保持不变，主要用于End-to-End的应用场景。

2.隧道模式那么在AH、ESP处理之后再封装了一个外网IP头，主要用于Site-to-Site

的应用场景。