| 枫林在线论坛>>信息安全 [普通模式] [上一主题] [下一主题] |
| [82647] 主题： ipsec（安全IP）3 |
| 作者： qmzh. |
标题：  ipsec（安全IP）3[转载] |
|
| 昵称： qmzh. |
来自： 202.112.*.* 
|
|
| 经验值： 0 | 发贴时间： 2003年08月07日 00:08:34 | |
| 等级： 新手上路 | 长度： 1995字 | |
|
发信人：qmzh@smth.org (一个人的战争)，信区：cn.bbs.comp.security 标 题：ipsec（安全IP）3 发信站：BBS 水木清华站 转信站：LeafOK!news.zixia.net!maily.cic.tsinghua.edu.cn!SMTH IPSEC结构 IPSEC 的结构文档（或基本架构文档），RFC2401 ，定义了IPSEC 的基本结构，所 有具 体的 实施方案均建立在它的基础之上。它定义了IPSEC 提供的安全服务；它们如何使用以及 在哪 里使用；数据包如何构建及处理；以及IPSEC 处理同策略之间如何协调等等。 IPSEC 协议（包括AH 和ESP ）既可用来保护一个完整的IP 载荷，亦可用来保护某 个IP 载 荷的上层协议。这两方面的保护分别是由IPSEC 两种不同的“模式”来提供的。 传送模式用来保护上层协议；而通道模式用来保护整个IP 数据报。在传送模式中，IP头 与 上 层协议头之间需插入一个特殊的IPSEC 头；而在通道模式中，要保护的整个IP 包都需封 装 到 另一个IP 数据报里，同时在外部与内部IP 头之间插入一个IPSEC 头。两种IPSEC 协议 （AH 和ESP ）均能同时以传送模式或通道模式工作。 由构建方法所决定，对传送模式所保护的数据包而言，其通信终点必须是一个加密的终 点。 有时可用通道模式来取代传送模式，而且也许能由安全网关使用，来保护与其它连网实 体（ 比如一个虚拟专用网络）有关的安全服务。在后一种情况下，通信终点便是由受保护的 内部 头指定的地点，而加密终点则是那些由外部IP 头指定的地点。在IPSEC 处理结束的时候 ， 安 全网关会剥离出内部IP 包，再将那个包转发到它最终的目的地。 分别处于传送模式和通道模式下的、受IPSec 保护的IP 包的图略 前面已经说过，IPSEC 既可在终端系统上实现，亦可在某种安全网关上实现（如路由 器及 防火墙）。典型情况下，这是通过直接修改IP 堆栈来实现的，以便从最基本的层次支持 IPS EC 。但倘若根本无法访问一部机器的IP 堆栈，便需将IPSEC 实现成为一个“堆栈内的 块（ Bump inthe Stack, BITS ）”或者“线缆内的块（Bump in the Wire, BITW ）”。前 者通 常以一个额外的“填充物”的形式出现，负责从IP 堆栈提取数据包，处理后再将其插入 ； 而 后者通常是一个外置的专用加密设备，可单独设定 |
||
|
========== * * * * * ==========
|
 Top
|
||