IPSec介绍

IPSec是为实现VPN功能而最普遍使用的协议。IPSec不是一个单独的协议，它给出了应用于IP层上网络数据安全的一整套体系结构。该体系结构包括认证头协议（Authentication Header，简称为AH）、封装安全负载协议（Encapsulating Security Payload，简称为ESP）、密钥管理协议（Internet Key Exchange，简称为IKE）和用于网络认证及加密的一些算法等。IPSec规定了如何在对等体之间选择安全协议、确定安全算法和密钥交换，向上提供了访问控制、数据源认证、数据加密等网络安全服务。

• 认证头协议（AH）：IPsec体系结构中的一种主要协议，它为IP数据包提供无连接完整性的保护与数据源认证，并提供保护以避免重播情况。AH尽可能为IP头和上层协议数据提供足够多的认证。
• IPsec封装安全负载（ESP）：IPsec体系结构中的一种主要协议。ESP加密需要保护的数据并且在IPsec ESP的数据部分进行数据的完整性校验，以此来保证机密性和完整性。ESP提供了与AH相同的安全服务并提供了一种保密性（加密）服务，ESP与AH各自提供的认证根本区别在于它们的覆盖范围。
• 密钥管理协议（IKE）：用于协商AH和ESP所使用的密码算法，并将算法所需的必备密钥放到恰当位置。

安全联盟（Security Association）

IPSec在两个端点之间提供安全通信，两个端点被称为IPSec ISAKMP网关。安全联盟（简称为SA）是IPSec的基础，也是IPSec的本质。SA是通信对等体间对某些要素的约定，例如使用哪种协议、协议的操作模式、加密算法（DES、3DES、AES-128、AES-192和AES-256）、特定流中保护数据的共享密钥以及SA的生存周期等。

安全联盟是单向的，在两个对等体之间的双向通信，最少需要两个安全联盟来分别对两个方向的数据流进行安全保护。

SA建立方式

建立安全联盟的方式有两种，一种是手工方式（Manual），一种是IKE自动协商（ISAKMP）方式。

手工方式配置比较复杂，创建安全联盟所需的全部信息都必须手工配置，而且IPSec的一些高级特性（例如定时更新密钥）不能被支持，但优点是可以不依赖IKE而单独实现IPSec功能。该方式适用于当与之进行通信的对等体设备数量较少的情况，或是IP地址相对固定的环境中。

IKE自动协商方式相对比较简单，只需要配置好IKE协商安全策略的信息，由IKE自动协商来创建和维护安全联盟。该方式适用于中、大型的动态网络环境中。该方式建立SA的过程分两个阶段。第一阶段，协商创建一个通信信道（ISAKMP SA），并对该信道进行认证，为双方进一步的IKE通信提供机密性、数据完整性以及数据源认证服务；第二阶段，使用已建立的ISAKMP SA建立IPsec SA。分两个阶段来完成这些服务有助于提高密钥交换的速度。

IPSec VPN的应用

安全网关通过“基于策略的VPN”和“基于路由的VPN”两种方式把配置好的VPN隧道应用到安全网关上，实现流量的加密解密安全传输。

• 基于策略的VPN：将配置成功的VPN隧道名称引用到策略规则中，使符合条件的流量通过指定的VPN隧道进行传输。
• 基于路由的VPN：将配置成功的VPN隧道与隧道接口绑定；配置静态路由时，将隧道接口指定为下一跳路由。

安全网关支持两种配置IPSec VPN的方法，分别是：

• 手工密钥VPN
• IKE VPN