.第二部分详细分析.PDFVIP

下载 第二部分 详 细 分 析 第4章 IPSec体系 4.1 导引 本章详细讨论了I P S e c体系。其中包括各种不同的 I P S e c组件、各组件之间的交互是如何进 行的、I P S e c套件中的各个协议以及各协议运行的模式。 I E T F 的I P S e c工作组已经定义了 1 2个RFC [ 1 ] （注释请求）。这些R F C对I P S e c 的方方面面都 进行了定义—体系、密钥管理、基本协议以及为了实现基本协议进行的强制转码。本章主 要着重于体系的介绍。基本协议和密钥管理协议将在其它章节详细介绍。 4.2 IPSec发展规划 I P S e c 协议包括： A H （验证头）、E S P （封装安全载荷）、I K E （I n t e r n e t 密钥交换）、 I S A K M P / O a k l e y 以及转码。为使大家更易于理解、实施和使用 I P S e c ，有必要先了解这些组件 之间的关系。I P S e c发展规划定义了I P S e c各组件之间的交互方式，如图 4 - 1所示。 体 系 封装安全载荷 验 证 头 加密算法 验证算法 解 释 域 密钥管理 策 略 图4-1 IPSec发展规划（本图根据草案整理而成，已获作者同意） I P S e c是一种协议套件，我们有必要理解为了实现由 I P S e c体系描述的各种能力，这些协议 相互间是如何打交道的，以及它们是如何紧密地结合到一起的。 正如前一章描述的那样，I P S e c体系定义了主机和网关应该提供的各种能力。比如， I P S e c 体系要求主机使用E S P保障安全通信，使用A H / E S P 和抗重播保护来保障数据的完整性。但是， 该体系的草案文档没有为这些协议指定头格式。这个体系讨论了 I P S e c协议的语义，以及牵涉 [1] RFC.即I E T F标准文档。 40计计第二部分分详 细 分 析 下载 到I P S e c协议同T C P / I P协议套件剩余部分如何进行沟通的问题。 E S P和A H文档定义了协议、载荷头的格式以及它们提供的服务。另外，它们还定义了包 的处理规则。但是，它们没有指定用来实现这些能力的具体转码方式。其原因是：只有证明 了旧转码方式采用的算法不安全时，才能定义新的转码方式。但尽管如此，却没有要求必须 对基本协议作出任何修改。 转码方式定义了如何对数据进行转换，以确保它的安全。其中包括算法、密钥大小（以 及它们如何演变）、转码程序以及算法专用的任何信息。对必要的信息来说，确保它们的唯一 性显得尤其重要，只有这样才能使不同的实施方案相互间能够操作。让我们用为 E S P 定义的 D E S - D B C 转码方式为例。如果没有指定“初始化矢量（ Initialization Ve c t o r ）”的派生方式， 两种实施方案最终就会以不同的方式派生出初始化矢量，而且它们将永远不能相互操作。 I K E （I n t e r n e t密钥交换）可为 I P S e c协议生成密钥。针对需要密钥的其它协议，亦可用 I K E来协商密钥。 I n t e r n e t上有许许多多要求安全服务（比如保障数据的完整性）的协议，以 便保护它们的数据。其中一个例子是 O S P F （先开放最短路径）路由协议。I K E 的载荷格式非 常一般。它可为任何一种协议商拟密钥，并不仅仅限于 I P S e c 的密钥协商。这是通过将 I K E协 商的参数同协议本身分隔开来实现的。协商的参数被归于一个单独的文档内，名为