ipsec的三个主要协议（描述IPSec安全协议——AH，说明AH的运行模式，并描述为什么在传输模式下AH与NAT冲突）

本文目录

• 描述IPSec安全协议——AH，说明AH的运行模式，并描述为什么在传输模式下AH与NAT冲突
• 简述iPsec实现方式
• VPN网络的vpn网络协议
• IPSec中AH协议和ESP协议的联系与区别
• IPSec和SSL
• IPsec是什么IPsec的实现方法和作用有哪些
• 常见IPsec VPN所使用的通讯协议和端口号是多少
• VPN使用的隧道协议可以有那几类分别有哪些协议
• 因特网的网络层安全协议族ipsec包括哪些主要协议
• 安全路由的关于IPSec协议

描述IPSec安全协议——AH，说明AH的运行模式，并描述为什么在传输模式下AH与NAT冲突

IPSec是一个开放式标准的框架。基于IETF开发的标准，IPSec可以在一个公共IP网络上确保数据通讯的可靠性和完整性。IPSec对于实现通用的安全策略所需要的基于标准的灵活的解决方案提供了一个必备的要素。
IPSec主要包括两个安全协议AH（Authentication Header）和ESP（Encapsulating Security Payload）及密钥管理协议IKE（Internet Key Exchange）。AH提供无连接的完整性、数据发起验证和重放保护。ESP 还可另外提供加密。密钥管理协议IKE 提供安全可靠的算法和密钥协商。这些机制均独立于算法，这种模块化的设计允许只改变不同的算法而不影响实现的其它部分。协议的应用与具体加密算法的使用取决于用户和应用程序的安全性要求。
由于IPsec的AH Tunnel/Transport Mode会针对整个封包（包括IP Header及Data Payload）做资料完整性的检查，因此，当作完IPsec-AH、又再执行NAT的Source IP/Port的转换后，此封包在抵达远端的IPsec Device时，AH的检验必定失败，因此IPsec-AH + NAT的结合方式将无法运作。

简述iPsec实现方式

IPSec通过加密与验证等方式，从以下几个方面保障了用户业务数据在Internet中的安全传输：

数据来源验证：接收方验证发送方身份是否合法。

数据加密：发送方对数据进行加密，以密文的形式在Internet上传送，接收方对接收的加密数据进行解密后处理或直接转发。

数据完整性：接收方对接收的数据进行验证，以判定报文是否被篡改。

抗重放：接收方拒绝旧的或重复的数据包，防止恶意用户通过重复发送捕获到的数据包所进行的攻击。

扩展资料：

IPSec用来解决IP层安全性问题的技术。IPSec被设计为同时支持IPv4和IPv6网络。

IPSec主要包括安全协议AH（Authentication Header）和ESP（Encapsulating Security Payload），密钥管理交换协议IKE（Internet Key Exchange）以及用于网络认证及加密的一些算法等。

IPSec主要通过加密与验证等方式，为IP数据包提供安全服务。

VPN网络的vpn网络协议

IPSec : IPsec(缩写IP Security)是保护IP协议安全通信的标准，它主要对IP协议分组进行加密和认证。
IPsec作为一个协议族（即一系列相互关联的协议）由以下部分组成：(1)保护分组流的协议；(2)用来建立这些安全分组流的密钥交换协议。前者又分成两个部分：
加密分组流的封装安全载荷（ESP）及较少使用的认证头（AH），认证头提供了对分组流的认证并保证其消息完整性，但提供保密性。目前为止，IKE协议是唯一已经制定的密钥交换协议。
PPTP: Point to Point Tunneling Protocol --点到点隧道协议。
在因特网上建立IP虚拟专用网隧道的协议，主要内容是在因特网上建立多协议安全虚拟专用网的通信方式。
L2F: Layer 2 Forwarding -- 第二层转发协议
L2TP: Layer 2 Tunneling Protocol --第二层隧道协议
第二层隧道协议:
建立在点对点协议PPP的基础上
先把各种网络协议（IP、IPX等）封装到PPP帧中，再把整个数据帧装入隧道协议
适用于通过公共电话交换网或者ISDN线路连接
三层：
GRE : General Routing Encapsulation
IPSEC : IP Security Protocol
三层协议：
把各种网络协议直接装入隧道协议
在可扩充性、安全性、可靠性方面优于第二层隧道协议
IPSec 提供两个安全协议
AH (Authentication Header) 认证头协议
ESP (Encapsulation Security Payload)封装安全载荷协议
密钥管理协议
IKE（Internet Key Exchange）因特网密钥交换协议

IPSec中AH协议和ESP协议的联系与区别

由于网络安全专业课的一次小作业，做一个小文章分享吧

IPSec这里不做详细讲解，主要是简单分析一下里面的AH协议和ESP协议

引言：IPSec核心协议是AH和ESP；本文分三部分，分别是对于两个协议的简述和对二者区别以及联系的总结

IPSec体系结构：
正文：

AH协议

简述：

Authentication header，验证头部协议；AH协议提供无连接的完整性、数据源认证和抗重放保护服务（不提供保密性服务）

AH协议使用消息认证码（采用MAC算法）对IP数据进行认证；MAC算法与hash算法类似，实际上是hash算法的演进版本；它可以检测出对IP报文的任何修改，通过这个来保证IP包的完整性和可靠性；通信双方必须采用相同的MAC算法和密钥（保证统一）

AH报文头：
前文中提到的 防止重放攻击 是通过这个报文头中的 序列号 来实现的；（序列号是一个单向递增的计数器，可以类比CAS中解决ABA问题的加版本号的解决方式的思路【个人理解】）

数据完整性检查：

（1）AH的验证范围是整个IP包，简单来说，数据完整性检查就是，发送方的整个IP包和验证密钥【输入】，经过 HMAC算法 得到的数据放进 AH报文头的验证数据段 中；接收方把收到的IP包和 验证密钥 进行HMAC校验和AH中的字段进行 一致性比较 ；IP报文中允许被修改的字段（如TTL, DF...）在计算时会被用0占位；不允许修改的就是我们需要保护的内容

工作模式：

（1）传出模式
（2）隧道模式下认证
2. ESP协议

简述：

Encapsulating Security Payload，IPSec封装负载；ESP提供数据保密、无连接完整性、抗重播服务以及数据包/数据流加密服务

ESP使用消息认证码（MAC）提供认证服务；ESP大都采用 对称密码体制加密数据 ，这是因为公钥密码系统的运算量要比对称密钥系统大得多（更好的保证保密性）

ESP报文头：

工作模式：

和AH类似，需要注意的是

（1）如果使用加密，SPI和序号字段不能加密

（2）如果使用验证，验证数据也不会被加密

（3）隧道模式中，内部的IP头被加密验证，而外部的不能加密也不能验证

数据校验：

与AH不同，ESP验证不会对整个IP包进行验证
3. AH协议和ESP协议的区别和联系

根据上文对于两个协议的简述，可以看出二者的一些区别和联系

为了分析方便，以表格的形式展现：

IPSec和SSL

两种网络安全协议（包）都可以起到 VPN（虚拟专用网络的作用）。
实际上这两种安全协议要做到机密性保护就需要建立 连接 ，而 VPN的核心也是 连接 。

区别：

暂略。

互联网安全协议 （英语： I nternet P rotocol Sec urity，缩写： IPsec ）是一个协议包，透过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议族（一些相互关联的协议的集合）。
IPsec主要由以下协议组成：一、认证头（AH），为IP数据报提供无连接数据完整性、消息认证以及防重放攻击保护；二、封装安全载荷（ESP），提供机密性、数据源认证、无连接完整性、防重放和有限的传输流（traffic-flow）机密性；三、安全关联（SA），提供算法和数据包，提供AH、ESP操作所需的参数。
注 ：AH和ESP属于同一层的协议，目前AH用的很少，ESP比较常见。

rfc5406-Guidelines for Specifying the Use of IPsec Version 2
rfc6071- IP Security (IPsec) and Internet Key Exchange (IKE) Document Roadmap

IKE是一个混合协议，由三个协议组成。

知乎： vowfi中IPSEC port 500、4500端口解释

***隐藏网址***

IPSec VPN的NAT穿越(NAT-T)原理

todo

IPsec是什么IPsec的实现方法和作用有哪些

首先我们来了解一下IPsec是什么？

IPsec ---（英语：Internet Protocol Security，缩写为IPsec），是一个协议包，通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议族（一些相互关联的协议的集合）。

实际上IPsec是一整套协议包而不只是一个单独的协议， 这一点对于我们认识IPSec是很重要的。IPsec协议把多种安全技术集合到一起，从而建立起一个安全、可靠的隧道。在IPsec安全体系结构中包括了3个最基本的协议：AH（Authentication Header）协议为IP包提供信息源验证和完整性保证；ESP（Encapsulating Security Payload）协议提供加密保证；密钥管理协议（ISAKMP）提供双方交流时的共享安全信息。ESP和AH协议都有相关的一系列支持文件，规定了加密和认证的算法。

IPsec的定义我们说完了，那么接下来我们就来了解一下IPsec的实现方法和作用有哪些吧。

VPN的定义非常广泛，因此，目前市场上出现了很多的VPN产品，实现VPN的方法也有很多种。但就计算机网络来说，其实现VPN所选用的层次，可以有网络层VPN、数据链路层VPN等。网络层VPN多采用IP协议，而数据链路层VPN则由ATM或帧中继虚电路来实现。随着技术的发展，通过IP层实现VPN已成为目前业界主流。

IP层VPN的实现方法包括: 控制路由选择、隧道和网络层封装等。所谓控制路由选择也就是路由过滤，通过控制路由的传递，来限制对内部信息的访问。这种方法实际上属于访问控制一类，并由此实现公共网络上的专有服务。隧道技术在VPN的实现上得到了比较广泛的应用。首先，一个IP隧道可以调整为多种形式的有效负载。远程用户能够透明地拨号上网来访问企业的IP、IPX或AppleTalk网络。第二，隧道能够同时调整多个用户或多个不同形式的有效负载。这可以利用封装技术来实现。第三，使用隧道技术访问企业内联网时，企业内联网不会向Internet报告它的IP网络地址。

目前，伴随技术的发展，网络层封装正在成为VPN实现技术的主流。其事实标准IPsec已由IETF在1998年正式制定发布，并成为了开放性IP安全标准，是当前实现VPN的基础，已经相当成熟可靠。

常见IPsec VPN所使用的通讯协议和端口号是多少

常见IPsec VPN所使用的通讯协议是UDP协议，和端口号是UDP500和UDP4500。

IPsec VPN使用UDP通讯协议，通过内部的vpn节点发起一个udp连接，再封装一次ipsec，送到对方，因为udp可以通过防火墙进行记忆，通过udp再封装的ipsec 包，可以通过防火墙来回传递。在没有nat设备的环境中使用UDP500作为端口号，在有nat设备的环境中使用UDP4500作为端口号。

扩展资料：

IPsec VPN作为一项成熟的技术，广泛应用于组织总部和分支机构之间的组网互联，其利用组织已有的互联网出口，虚拟出一条“专线”，将组织的分支机构和总部连接起来，组成一个大的局域网。

IPsec VPN通过包封装技术，能够利用Internet可路由的地址，封装内部网络的IP地址，实现异地网络的互通。

IPsec VPN用户访问内网资源还需为拔入到UTM25的用户分配一个虚拟的私有IP，使SSL VPN客户端的用户可以像局域网用户一样能正常访问局域网内的资源。

VPN使用的隧道协议可以有那几类分别有哪些协议

vpn中的隧道是由隧道协议形成的，vpn使用的隧道协议主要有三种：点到点隧道协议（pptp）、第二层隧道协议（l2tp）以及ipsec。
pptp封装了ppp数据包中包含的
用户信息，支持隧道交换。隧道交换可以根据用户权限，开启并分配新的隧道，将ppp数据包在网络中传输。另外，隧道交换还可以将用户导向指定的企业内部服
务器。pptp便于企业在防火墙和内部服务器上实施访问控制。位于企业防火墙的隧道终端器接受包含用户信息的ppp数据包，然后对不同来源的数据包实施访
问控制。
l2tp协议综合了pptp协议和l2f（layer 2 forwarding）协议的优点,并且支持多路隧道，这样可以使用户同时访问internet和企业网。
ipsec是用来增强vpn安全性的
标准协议。ipsec包含了用户身份认证、查验和数据完整性等内容。该协议标准由ietf组织制订，其中规定了用以在两个ip工作站之间进行加密、数字签
名等而使用的一系列ip级协议。ipsec实现来自不同厂商的设备在进行隧道开通和终止时的互操作。另外，由于ipsec的安全性功能与密钥管理系统松散
耦合，所以当密钥管理系统发生变化时，ipsec的安全机制不需要进行修改。
基于mpls的vpn是一种基于网络的新型vpn解决方案，它要求广域网络支持
mpls，利用mpls的标记交换在广域网络上为vpn用户提供虚拟连接。mpls vpn的优点是全网统一管理的能力很强，由于mpls
vpn是基于网络的，全部的vpn网络配置和vpn策略配置都在网络端完成，可以大大降低管理维护的开销。
itu－t形成的基于网络ip vpn草案中提出了关于基于mpls的ip vpn技术要求，在业务提供商的网络中采用ip技术，且骨干网用mpls，对于ip vpn业务只能在边缘设备上提供，而对于骨干设备，ip vpn业务是透明的，这样才有利于可扩展性

因特网的网络层安全协议族ipsec包括哪些主要协议

ipsecipsec：ip层协议安全结构 （ipsec：security architecture for ip network） ipsec 在 ip 层提供安全服务，它使系统能按需选择安全协议，决定服务所使用的算法及放置需求服务所需密钥到相应位置。 ipsec 用来保护一条或多条主机与主机间、安全网关与安全网关间、安全网关与主机间的路径。ipsec 能提供的安全服务集包括访问控制、无连接的完整性、数据源认证、拒绝重发包（部分序列完整性形式）、保密性和有限传输流保密性。因为这些服务均在 ip 层提供，所以任何高层协议均能使用它们，例如 tcp 、 udp 、icmp 、 bgp 等等。这些目标是通过使用两大传输安全协议，头部认证（ah） 和封装安全负载 （esp），以及密钥管理程序和协议的使用来完成的。所需的 ipsec 协议集内容及其使用的方式是由用户、应用程序、和/或站点、组织对安全和系统的需求来决定。当正确的实现、使用这些机制时，它们不应该对不使用这些安全机制保护传输的用户、主机和其他英特网部分产生负面的影响。这些机制也被设计成算法独立的。这种模块性允许选择不同的算法集而不影响其他部分的实现。例如：如果需要，不同的用户通讯可以采用不同的算法集。定义一个标准的默认算法集可以使得全球因英特网更容易协同工作。这些算法辅以 ipsec 传输保护和密钥管理协议的使用为系统和应用开发者部署高质量的因特网层的加密的安全技术提供了途径。ipsec 不是特殊的加密算法或认证算法,也没有在它的数据结构中指定一种特殊的加密算法或认证算法,它只是一个开放的结构,定义在ip数据包格式中,为各种的数据加密或认证的实现提供了数据结构,为这些算法的实现提供了统一的体系结构,因此,不同的加密算法都可以利用ipsec定义的体系结构在网络数据传输过程中实施 vista系统常用英文专业词语互联网协议安全(internet protocol security),一个标准机制，用于在网络层面上为穿越ip网络的数据包提供认证，完整性，以及机密性。

安全路由的关于IPSec协议

IPSec协议包括ESP（Encapsulating Security Payload）封装安全负载、AH（Authentication Header）报头验证协议及IKE（Internet Key Exchange）密钥管理协议等，其中AH协议能够提供无连接的完整性、数据发起验证及重放保护，ESP主要用于提供额外的加密保护，而IKE则主要提供安全加密算法与密钥协商。这些机制均独立于算法，协议的应用与具体加密算法的使用均可取决于用户及应用程序的安全性要求。因此，IPSec是一个开放性的安全标准框架，可以在一个公共IP网络上确保数据通信的可靠性和完整性，能够保障数据安全穿越公网而没有被侦听或窃改之虞，为实现通用安全策略所需的基于标准的解决方案提供了理想的应用框架。而且IPSec的部署极为简便，只需安全通道两端的路由器或主机支持IPSec协议即可，几乎无需对网络现有基础设施进行任何更动。IPSec的优势主要表现为可以对所有IP级的通信进行加密和认证，可以为IP提供基于加密的互操作性强、高质量的通信安全，所支持的安全服务包括存取控制、无连接的完整性、数据发起方认证和加密。这正是IPSec协议能够确保包括远程登录、客户机、服务器、电子邮件、文件传输及Web访问在内多种应用程序安全的主要依托。