应用IPSec提高网络通讯安全(1)

　　在基于TCP/IP的网络通讯中，由于TCP/IP协议本身固有的缺陷，如在IP标头中来源(Source)、目的(Destination)地址、封包数据均是公开的，随便使用一款Sniffing网络监听工具，即可一目了然地看到这些信息，某种程度上可以说根本没有安全性可言，这给网络尤其是企业局域网带来很大的隐患。而应用IPSec技术，在网络层实现加密传输，则是提高网络通讯安全的有效手段。

什么是IPSec

　　为了保证在IP网络上拥有私密通信的安全， IETF制订了一套开放标准网络安全协议IPSec (IP Security)，其核心是将密码技术应用在网络层，以提供传送、接收端做数据的认证(Authentication)、完整性(Integrity)、存取控制(Access Control)、以及机密性(Confidentiality)等安全服务。高层的应用协也可以直接或间接地使用这些安全服务。换言之，IPSec是一个基于IP协议的安全标准，用于保证IP数据包传输时的安全性。IPSec协议由安全协议（包括AH协议和ESP协议）、密钥管理协议（如IKE）以及认证和加密算法组成。

　　IPSec是设计来实现网络层端对端安全通讯的第三层协议，它主要的架构是IP认证标头(Authentication Header; AH)以及IP封装安全装载(Encapsulating Security Payload; ESP)。IP AH提供数据的完整性和认证，但不包括机密性，而IP ESP原则上只提供机密性，但也可在ESPHeader中订定适当的算法及模式来确保数据的完整性并认证，IP AH和IP ESP可以分开使用或一起使用。完整的IPSec还应包括IP AH和ESP中所使用金钥的交换和管理，也就是安全群组(Security Assocication; SA)和密钥管理IKE(Internet Key Exchange)， IPSec架构图，其中DOI(Domain of　interpretation)是为了让其它协议可以使用ISAKMP而订定的Framework，让我们很清楚知道IPSec和IKE所扮演的角色。

　　IPSec支持传输模式和隧道模式。传输模式主要为上层协议提供保护，即对IP包的载荷进行保护，通常用于两个主机之间的端对端通信。隧道模式提供对所有IP包的保护，即将整个IP包（含包头和载荷）封装，作为新的IP包的载荷进行传送。其中，封装安全载荷是插入IP数据包内的一个协议头，以便为IP提供机密性、数据源验证、抗重播以及数据完整性等安全服务。验证头（AH）则用于为IP提供数据完整性、数据原始身份验证和一些可选的、有限的抗重播服务。IKE 是IPSec的自动密钥管理协议，它建立在 Internet安全关联和密钥管理协议（ISAKMP）定义的框架上，定义出自己独一无二的验证加密材料生成技术，以及协商共享策略。