WordPress 中文文档

IPsec

From WordPress Chinese

Jump to: navigation, search


IPsec(Security Architecture for IP network) 在 IP 层提供安全服务，它使系统能按需选择安全协议，决定服务所使用的算法及放置需求服务所需密钥到相应位置。IPsec 用来保护一条或多条主机与主机间、安全网关与安全网关间、安全网关与主机间的路径。

目录

[编辑]

IPsec的作用

  • IPsec 能提供的安全服务集包括访问控制、无连接的完整性、数据源认证、拒绝重发包（部分序列完整性形式）、保密性和有限传输流保密性。因为这些服务均在 IP 层提供，所以任何高层协议均能使用它们，例如 TCP、UDP、ICMP、BGP 等等。
  • 这些目标是通过使用两大传输安全协议，头部认证（AH） 和封装安全负载 （ESP），以及密钥管理程序和协议的使用来完成的。所需的 IPsec 协议集内容及其使用的方式是由用户、应用程序、和/或站点、组织对安全和系统的需求来决定。
  • 当正确的实现、使用这些机制时，它们不应该对不使用这些安全机制保护传输的用户、主机和其他英特网部分产生负面的影响。这些机制也被设计成算法独立的。这种模块性允许选择不同的算法集而不影响其他部分的实现。例如：如果需要，不同的用户通讯可以采用不同的算法集。
  • 定义一个标准的默认算法集可以使得全球因英特网更容易协同工作。这些算法辅以 IPsec 传输保护和密钥管理协议的使用为系统和应用开发者部署高质量的因特网层的加密的安全技术提供了途径。


[编辑]

IPSec的优点

如果在路由器或防火墙上执行了IPSec，它就会为周边的通信提供强有力的安全保障。一个公司或工作组内部的通信将不涉及与安全相关的费用。下文叙述了IPSec的一些优点：

IPSec在传输层之下，对于应用程序来说是透明的。当在路由器或防火墙上安装IPSec时，无需更改用户或服务器系统中的软件设置。即使在终端系统中执行IPSec，应用程序一类的上层软件也不会被影响。

  • IPSec对终端用户来说是透明的，因此不必对用户进行安全机制的培训。
如果需要的话，IPSec可以为个体用户提供安全保障，这样做就可以保护企业内部的敏感信息。
IPSec正向Internet靠拢。已经有一些机构部分或全部执行了IPSec。IAB的前任总裁Christian Huitema认为，关于如何保证Internet安全的讨论是他所见过的最激烈的讨论之一。讨论的话题之一就是安全是否在恰当的协议层上被使用。想要提供IP级的安全，IPSec必须成为配置在所有相关平台（包括Windows NT，Unix和Macintosh系统）的网络代码中的一部分。

实际上，现在发行的许多Internet应用软件中已包含了安全特征。例如，Netscape Navigator和Microsoft Internet Explorer支持保护互联网通信的安全套层协议（SSL），还有一部分产品支持保护Internet上信用卡交易的安全电子交易协议（SET）。然而，VPN需要的是网络级的功能，这也正是IPSec所提供的。

[编辑]

VPN工作原理

IPSEC提供三种不同的形式来保护通过公有或私有IP网络来传送的私有数据：
  • 认证:可以确定所接受的数据与所发送的数据是一致的，同时可以确定申请发送者在实际上是真实发送者，而不是伪装的。
  • 数据完整:保证数据从原发地到目的地的传送过程中没有任何不可检测的数据丢失与改变。
  • 机密性:使相应的接收者能获取发送的真正内容，而无意获取数据的接收者无法获知数据的真正内容。
在IPSEC由三个基本要素来提供以上三种保护形式：
  1. 认证协议头（AH）.
  2. 安全加载封装（ESP）.
  3. 互联网密匙管理协议（IKMP）。
  • 认证协议头和安全加载封装可以通过分开或组合使用来达到所希望的保护等级。
对于VPN来说，认证和加密都是必需的，因为只有双重安全措施才能确保未经授权的用户不能进入VPN，同时，Internet上的窃听者无法读取VPN上传输的信息。大部分的应用实例中都采用了ESP而不是AH。钥匙交换功能允许手工或自动交换密钥。
  • 当前的IPSec支持数据加密标准（DES），但也可以使用其它多种加密算法。因为人们对DES的安全性有所怀疑，所以用户会选择使用Triple-DES（即三次DES加密）。至于认证技术，将会推出一个叫作HMAC（MAC 即信息认证代码Message Authentication Code）的新概念。
  • 认证协议头（AH）是在所有数据包头加入一个密码。
正如整个名称所示，AH通过一个只有密匙持有人才知道的"数字签名"来对用户进行认证。这个签名是数据包通过特别的算法得出的独特结果；
AH还能维持数据的完整性，因为在传输过程中无论多小的变化被加载，数据包头的数字签名都能把它检测出来。不过由于AH不能加密数据包所加载的内容，因而它不保证任何的机密性。两个最普遍的AH标准是MD5和SHA-1，MD5使用最高到128位的密匙，而SHA-1通过最高到160位密匙提供更强的保护。
  • 安全加载封装（ESP）通过对数据包的全部数据和加载内容进行全加密来严格保证传输信息的机密性，这样可以避免其他用户通过监听来打开信息交换的内容，因为只有受信任的用户拥有密匙打开内容。
ESP也能提供认证和维持数据的完整性。最主要的ESP标准是数据加密标准（DES），DES最高支持56位的密匙，而Triple-DES使用三套密匙加密，那就相当于使用最高到168位的密匙。由于ESP实际上加密所有的数据，因而它比AH需要更多的处理时间，从而导致性能下降。


  • 密匙管理包括密匙确定和密匙分发两个方面，最多需要四个密匙：
  • AH和ESP各两个发送和接收密匙。密匙本身是一个二进制字符串，通常用十六进制表示.
例如，一个56位的密匙可以表示为5F39DA752E0C25B4。注意全部长度总共是64位，包括了8位的奇偶校验。56位的密匙（DES）足够满足大多数商业应用了。
密匙管理包括手工和自动两种方式。
  • 人工手动管理方式是指管理员使用自己的密钥及其它系统的密钥手工设置每个系统。
这种方法在小型网络环境中使用比较实际。手工管理系统在有限的安全需要可以工作得很好。使用手工管理系统，密匙由管理站点确定然后分发到所有的远程用户。真实的密匙可以用随机数字生成器或简单的任意拼凑计算出来，每一个密匙可以根据集团的安全政策进行修改。
  • 自动管理系统能满足其他所有的应用要求。使用自动管理系统，可以动态地确定和分发密匙，显然和名称一样，是自动的。
自动管理系统具有一个中央控制点，集中的密匙管理者可以令自己更加安全，最大限度的发挥IPSEC的效用。 另一方面，自动管理系统可以随时建立新的SA密钥，并可以对较大的分布式系统上使用密钥进行定期的更新。自动管理模式是很有弹性的，但需要花费更多的时间及精力去设置，同时，还需要使用更多的软件。
  • IPSec的自动管理密钥协议的默认名字是ISAKMP/Oakley。互联网安全组织及密钥管理协议（Internet Security Association and Key Management Protocol ISAKMP）对互联网密钥管理的架构以及特定的协议提供支持。Oakley 密钥使用的协议基于Diffle-Hellman 算法，但它也提供额外的安全功能。特别是Oakley包括认证用户的机制。
协议结构

ipsec.gif

[编辑]

IPSEC的实现方式

IPSEC的一个最基本的优点是它可以在共享网络访问设备，甚至是所有的主机和服务器上完全实现，这很大程度避免了升级任何网络相关资源的需要。在客户端，IPSEC架构允许使用在远程访问介入路由器或基于纯软件方式使用普通MODEM的PC机和工作站。通过两种模式在应用上提供更多的弹性：传送模式和隧道模式。

IPSEC Packet 可以在压缩原始IP地址和数据的隧道模式使用
  • 传送模式通常当ESP在一台主机（客户机或服务勤）上实现时使用，传送模式使用原始明文IP头，并且只加密数据，包括它的TCP和UDP头。
  • 隧道模式通常当ESP在关联到多台主机的网络访问介入装置实现时使用，隧道模式处理整个IP数据包--包括全部TCP/IP或UDP/IP头和数据，它用自己的地址做为源地址加入到新的IP头。当隧道模式用在用户终端设置时，它可以提供更多的便利来隐藏内部服务器主机和客户机的地址。
  • ESP 支持传输模式，这种方式保护了高层协议。传输模式也保护了IP包的内容，特别是用于两个主机之间的端对端通讯（例如，客户与服务器，或是两台工作站）。传输模式中的ESP加密及有时候会认证IP 包内容，但不认证IP的包头。这种配置对于装有IPSec的小型网络特别有用。

Template:1-tishi但是，要全面实施VPN，使用隧道模式会更有效。ESP也支持隧道模式，保护了整个IP包。为此，IP包在添加了ESP字段后，整个包以及包的安全字段被认为是新的IP包外层内容，附有新的IP外层包头。原来的（及内层）包通过“隧道”从一个IP网络起点传输到另一个IP网点，中途的路由器可以检查IP的内层包头。因为原来的包已被打包，新的包可能有不同的源地址及目的地址，以达到安全的目的。

Template:1-zhishi隧道模式被用在两端或是一端是安全网关的架构中，例如装有IPSec的路由器或防火墙。使用了隧道模式，防火墙内很多主机不需要安装IPSec 也能安全地通信。这些主机所生成的未加保护的网包，经过外网，使用隧道模式的安全组织规定（即SA，发送者与接收者之间的单向关系，定义装在本地网络边缘的安全路由器或防火墙中的IPSec软件IP交换所规定的参数）传输。


一个隧道模式的IPSec运作的例子

：某网络的主机甲生成一个IP包，目的地址是另一个网中的主机乙。这个包从起始主机被发送到主机甲的网络边缘的安全路由器或防火墙。防火墙把所有出去的包过滤，看看有哪些包需要进行IPSec的处理。如果这个从甲到乙的包需要使用IPSec，防火墙就进行IPSec的处理，并把网包打包，添加外层IP包头。 这个外层包头的源地址是防火墙，而目的地址可能是主机乙的网络边缘的防火墙。现在这个包被传送到主机乙的防火墙，中途的路由器只检查外层的IP包头。主机乙网络的防火墙会把外层IP包头除掉，把IP内层发送到主机乙去。

[编辑]

IPSec 及VPN

  • 由于企业及政府用户需要把它们的专用WAN/LAN 架构与互联网连接，以便访问互联网的服务，所以他们非常热衷于部署安全的IP。用户需要把它们的网络与互联网分隔，但同时要在网上发送及接受网包。安全的IP就可以提供网上的认证及隐私机制。


  • 因为IP安全机制是独立定义，其用途与现在的IP或IPv6不同，IP安全机制不需要依靠IPv6部署。我们可以看到安全IP的功能会首先被广泛使用，它会比IPv6先流行起来，因为对IP层的安全需求远比增加IPv6功能的需求多许多。
  • 有了IPSec，管理人员就有了实施VPN的安全标准。此外，所有在IPSec中使用的加密及认证算法已经过仔细的研究和几年的验证，所以用户大可放心地将安全问题交付给IPSec。


Template:?

[编辑]

本文有待完善之处

  • 资料不够精简。
  • 文章相关了解知识介绍的不到位。

请您在这里留下修改建议：

[编辑]

相关知识

[编辑]

参见条目

常用的虚拟专用网路协议有：

[编辑]

相关外链

：Security Architecture for the Internet Protocol

取自"http://codex.wordpress.org.cn/IPsec"
用户