IPsec vpn

IPsec Vpn

概述：IPsec vpn是一种综合的密码协议，实际为一套协议集合，IPsec 工作在网络层，它为网络层上的数据提供一整套的安全体系结构，包括IKE协议、认证头（AH）协议、封装安全载荷（ESP）协议和用于网络身份鉴别及加密的一些算法。支持采用多种密码技术为通信交互中的数据提供全面安全保护，包括数据保密性、完整性校验、数据源身份鉴别和抗重放攻击等。

应用场景

企业分支可以通过IPsec VPN接入到企业总部网络

加密的实现层次

IPsec 工作在网络层，SSL工作在传输层

IPsec架构

IPsec 不是一个单独的协议，它通过AH和ESP这两个安全协议来实现IP数据报文的安全传送

IPsec  体系结构模型图

AH

AH的功能：数据源认证和数据完整性保护和防报文重放功能，它能保护通信免受篡改，但不能防止窃听，适合用于传输非机密数据。

AH的工作原理：是在每一个数据包上添加一个身份验证报文头，此报文头插在标准IP包头后面，对数据提供完整性保护。可选择的认证算法有MD5（Message Digest）、SHA-1（Secure Hash Algorithm）、SM3等。

ESP

ESP的功能：提供加密、数据源认证、数据完整性校验和防报文重放功能

ESP的工作原理：是在每一个数据包的标准IP包头后面添加一个ESP报文头，并在数据包后面追加一个ESP尾。与AH协议不同的是，ESP将需要保护的用户数据进行加密后再封装到IP包中，以保证数据的机密性。常见的加密算法有DES、3DES、AES、SM1、SM4等。同时，作为可选项，用户可以选择SM3、MD5、SHA-1算法保证报文的完整性和真实性。

IKE：IKE为IPsec提供了自动协商交换密钥、建立SA的服务，能够简化IPsec的使用和管理，大大简化IPsec的配置和维护工作。

工作流程

SA（security association）：是两个通信实体经协商建立起来地一种协议，它们决定了用来保护数据包安全地IPsec协议，转码方式，密钥，以及密钥地有效存在时间等等

IKE（isakmp）SA：协商对IKE数据流进行加密以及对对等体进行验证地算法（对密钥地加密和peer地认证）对等体之间只能存在一个

整个IPSec VPN地实现基本简化为两个SA协商完成

第一阶段：建立ISAKMP  SA协商的是以下信息

1、对等体之间采用何种方式做认证，是预共享密钥还是数字证书。

2、双方使用哪种加密算法（DES、3DES）

3、双方使用哪种HMAC方式，是MD5还是SHA

4、双方使用哪种Diffie-Hellman密钥组

5、使用哪种协商模式（主模式或主动模式）

6、协商SA的生存期

第二阶段：建立IPsec  SA协商的是以下信息

1、双方使用哪种封装技术，AH还是ESP

2、双方使用哪种加密算法

4、使用哪种传输模式，是隧道模式还是传输模式

5、协商SA的生存期

工作模式

传输模式（Transport Mode）

在传输模式下，AH或ESP报头和传输层报头之间。上图表示AH和ESP协议的作用部位，以及实际应用中两者结合使用。

隧道模式（Tunnel Mode）

隧道模式实现站点到站点保护适宜于建立安全VPN隧道

在隧道模式下，IPsec 会另外生成一个新的IP头，并封装在AH或ESP之前

安全性基本要求

机密性：防止数据被未获得授权的查看者理解 ，通过加密算法实现

完整性：防止数据在存储和传输的过程中受到非法的篡改 ，使用单向散列函数

身份验证：判断一份数据是否源于正确的创建者 ，单向散列函数、数字签名和公开密钥加密