您好,欢迎访问山东渔翁信息技术股份有限公司官方网站
渔翁信息

专注密码硬件研发生产定制

咨询热线: 400-6686-188

产品中心

热门产品

联系我们

咨询热线:400-6686-188

市场合作:孙经理:13806311977

售后服务:房经理:0631-5651692

邮箱:support@fisherman-it.com

地址:济南市高新区齐鲁软件园F座

新闻中心 您的位置:首页 > 新闻中心 >

IPSec体系结构

文章出处:渔翁信息作者:渔翁信息人气:发表时间:2019-03-21 16:18

IPSec的体系结构如下图所示:


(1)ESP(封装安全载荷)协议:定义了有关包加密及包格式和提供的服务。

(2)AH(身份验证报头)协议:含用AH报身份验证、包格式及给出的服务。

(3)加密算法:讲述怎样在ESP中用不同的加密算法。如DES、3DES等。

(4)认证算法:讲述怎样在AH和ESP中用不同的身份验证算法,如MAC2MD5、HMAC2SHLA21等。

(5)密钥管理协议:在通信实体间,生成、分发、更新密钥等,如密钥交换,构建加密、认证的安全信道,密钥的安全分发和更新。

(6)DOI(解释域):用来存放密钥管理协议协商的参数,如加密及认证算法的标识符、运作参数等。

(7)安全策略:用来决定两个通信实体间如何通信。其核心由安全关联、安全关联及安全策略数据库三部分组成。

其中的重要概念进一步的解释如下:

①SA:即安全关联,是给安全目标建个单向的逻辑连接。全部经过同一SA的数据流会得到一样的安全服务:AH或ESP。对一样的数据流,同一时间用AH和ESP服务时要两个嵌套的SA。两个方向的数据流要通信实体间保护一对出/入对应的SA。其中借助在AH或ESP报头中的一个32bit数值在接收端识出数据流至SA的绑定关系,即安全参数索引。

②SAD:即安全关联数据库,用于存放与SA关联的所有状态数据的存储结构。

③安全参数索引:一个被携带在AH或ESP报头中的32bit数值,在接收端来识出数据流到SA的绑定关系。

④SPD:即安全策略数据库,指明所有P数据报文应使用何种安全服务以及如何获得这些服务的数据结构。SPD一般是个有序的结构,通过访问控制列表描述据流特点。定义数据流和安全服务方式的接口与具体实现相关。SA创建的先决条件是策略,它决定密钥交换协商协议。

⑤安全处理协议:IP认证协议(AH)、IP封装安全载荷协议(ESP)。这两个协议可独立使用,也可同时使用。前者保护数据的完整性,后者保护数据的私密性和完整性。两个协议都是将一个变长度的报文结构插入到P头于上层协议之间。ABH协议用实现协商好的算法和密钥计算整个报文不变部分的摘要值,然后作为报文完整性的证据,并保存在AH头结构中。ESP协议则能加密原始报文后当做负载带在报文中。此外,ESP也可验证数据完整性,但是与AH包含的字段不一样。AH和ESP头部都有的信息是SP和序列号。SPI用在标识特定的一对通信实体间的安全关联。在通信中序列号持续单向递增,实体间有数据抗重放服务。两个安全处理协议都支撑传输模式和隧道模式。前者在原始IP报文头和上层协议间放进AH或ESP协议头,后者增加新IP头部,而把原始IP数据包括头部都当做负载。前者在主机到主机方式报文的处理适用,后者在转发设备上封装处理的场景中适用。

  1. 一键分享到

返回顶部