五分鐘看懂互聯(lián)網(wǎng)安全協(xié)議IPSec
網(wǎng)絡(luò)千萬(wàn)條，安全第一條。隨著網(wǎng)絡(luò)規(guī)模和復(fù)雜度的提升，底層網(wǎng)絡(luò)的傳輸安全顯得非常重要。通信雙方需要一個(gè)真正在IP層提供安全性的方法，保證發(fā)送和接收的數(shù)據(jù)是安全的，IPSec(Internet Protocol Security，互聯(lián)網(wǎng)安全協(xié)議)做到了。
IPSec是一系列為IP網(wǎng)絡(luò)提供完整安全性的協(xié)議和服務(wù)的集合，能為上層協(xié)議和應(yīng)用提供透明的安全服務(wù)。所謂透明，就是在整個(gè)IPSec的工作過(guò)程中，用戶是感知不到的。這就很nice了，既保證了用戶的數(shù)據(jù)安全，又不給用戶添麻煩。
說(shuō)了這么多，IPSec都包含哪些協(xié)議和服務(wù)?它們又有什么作用呢?
IPSec是一組IP安全協(xié)議的集合，是一個(gè)體系結(jié)構(gòu)，由AH和ESP協(xié)議、加密和認(rèn)證算法、密鑰管理和安全協(xié)商組成。
IPSec為通信兩端設(shè)備提供安全通道，設(shè)備可以是主機(jī)、路由器或防火墻等。
AH協(xié)議
AH(Authentication Header，鑒別首部)指一段報(bào)文認(rèn)證代碼，在發(fā)送IP包之前，它已經(jīng)被事先計(jì)算好。發(fā)送方用一個(gè)加密密鑰算出AH，接收方用同一或另一密鑰對(duì)之進(jìn)行驗(yàn)證。
AH有兩種工作模式：傳輸模式和隧道模式。
- 在傳輸模式中，AH位于IP包頭后，上層協(xié)議包頭(如TCP)前。
- 在隧道模式中，需要生成一個(gè)新的IP頭，把AH和原來(lái)的整個(gè)IP包放到新IP包的載荷中。
ESP協(xié)議
ESP提供保密功能和可選擇的鑒別服務(wù)，將需要保密的用戶數(shù)據(jù)進(jìn)行加密后再封裝到一個(gè)新的IP包中。
ESP有兩種模式：傳輸模式和隧道模式。
- 在傳輸模式中，ESP位于IP包頭后，上層協(xié)議包頭前。
- 在隧道模式中，相對(duì)于外層IP包頭，也就是新IP包頭，ESP的位置與在傳輸模式中相同。
加密和驗(yàn)證算法
數(shù)據(jù)機(jī)密是任何虛擬專(zhuān)用網(wǎng)絡(luò)的主要需求。當(dāng)前加密和驗(yàn)證算法分為兩類(lèi)：對(duì)稱算法和非對(duì)稱算法。
對(duì)稱算法基于數(shù)據(jù)的發(fā)送方和接收方擁有相同的密鑰。發(fā)送方使用密鑰加密數(shù)據(jù)，接收方使用相同的密鑰解密數(shù)據(jù)。
非對(duì)稱算法又稱為公共密鑰算法，加密和解密使用不同的密鑰。加密的密鑰稱為公共密鑰，可以公開(kāi)。加密后的數(shù)據(jù)，只有用私有密鑰才可以解密，私有密鑰是保密的。任何人擁有接收方的公共密鑰都可以加密數(shù)據(jù)，但該數(shù)據(jù)只能由接收方持有的私有密鑰才能解密。
安全協(xié)商和密鑰管理
在使用AH或ESP前，先要在主機(jī)間建立一條網(wǎng)絡(luò)層的邏輯連接。此邏輯連接就叫做安全協(xié)商—英文是SA( SECURITY ASSOCIATION )。安全協(xié)商SA可以手工建立，也可以使用IKE協(xié)議建立。SA是一個(gè)單向連接，如需進(jìn)行雙向的安全通信則需要建立兩個(gè)SA。
SA共有兩種類(lèi)型：IKE(Internet Key Exchange，自動(dòng)密鑰管理協(xié)議)/ISAKMP SA和IPSec SA。
- IKE或ISAKMP SA為控制流量服務(wù)，例如為IKE協(xié)議的交互信息，協(xié)商加密和認(rèn)證的算法。
- IPSec SA為需要保護(hù)的實(shí)際數(shù)據(jù)流量協(xié)商加密算法。具體哪些數(shù)據(jù)需要保護(hù)，則由相關(guān)策略決定。
IPSec默認(rèn)的自動(dòng)密鑰管理協(xié)議是IKE。建立和維護(hù)ISAKMP SA和IPSec SA是IKE協(xié)議的主要任務(wù)。
IKE協(xié)議用了兩個(gè)階段分別建立ISAKMP SA和IPSec SA。
- 第一階段：通信雙方彼此間建立了一個(gè)已通過(guò)身份認(rèn)證和安全保護(hù)的通道，即建立一個(gè)ISAKMP SA。
- 第二階段：用在第一階段建立的安全隧道上，為IPSec 協(xié)商安全服務(wù)，即為IPSec協(xié)商具體的SA，建立用于最終的IP 數(shù)據(jù)安全傳輸?shù)腎PSec SA。
這下大家應(yīng)該掌握得差不多了吧!
