软件水平考试网络工程师复习指导：VPN技术概述(2)

 2. ipsec（internet protocol security）  

　　ipsec是ietf（internet engineer task force）正在完善的安全标准，它把几种安全技术结合在一起形成一个较为完整的体系，受到了众多厂商的关注和支持。通过对数据加密、认证、完整性检查来保证数据传输的可靠性、私有性和保密性。ipsec由ip认证头ah（authentication header）、ip安全载荷封载esp（encapsulated security payload）和密钥管理协议组成。  

　　ipsec协议是一个范围广泛、开放的虚拟专用网安全协议。ipsec适应向ip v6迁移，它提供所有在网络层上的数据保护，提供透明的安全通信。ipsec用密码技术从三个方面来保证数据的安全。即：  

　　·认证。用于对主机和端点进行身份鉴别。  
·加密。加密ip地址和数据以保证私有性。  

　　ipsec协议可以设置成在两种模式下运行：一种是隧道模式，一种是传输模式。在隧道模式下，ipsec把ip v4数据包封装在安全的ip 帧中，这样保护从一个防火墙到另一个防火墙时的安全性。在隧道模式下，信息封装是为了保护端到端的安全性，即在这种模式下不会隐藏路由信息。隧道模式是最安全的，但会带来较大的系统开销。ipsec现在还不完全成熟，但它得到了一些路由器厂商和硬件厂商的大力支持。预计它今后将成为虚拟专用网的主要标准。 ipsec有扩展能力以适应未来商业的需要。在1997年底，ietf安全工作组完成了ipsec的扩展，在ipsec协议中加上isakmp （internet security association and key management protocol）协议，其中还包括一个密钥分配协议oakley。isakmp/oakley支持自动建立加密信道，密钥的自动安全分发和更新。ipsec也可用于连接其他层已存在的通信协议，如支持安全电子交易（set：secure electronic transaction）协议和ssl（secure socket layer）协议。即使不用set或ssl，ipsec都能提供认证和加密手段以保证信息的传输。  

　　●优点：它定义了一套用于认证、保护私有性和完整性的标准协议。 ipsec支持一系列加密算法如des、三重des、idea。它检查传输的数据包的完整性，以确保数据没有被修改。ipsec用来在多个防火墙和服务器之间提供安全性。ipsec可确保运行在tcp/ip协议上的vpns之间的互操作性。  

　　●缺点：ipsec在客户机/服务器模式下实现有一些问题，在实际应用中，需要公钥来完成。ipsec需要已知范围的ip地址或固定范围的ip地址，因此在动态分配ip地址时不太适合于 ipsec。除了tcp/ip协议外，ipsec不支持其他协议。除了包过滤之外，它没有指定其他访问控制方法。可能它的最大缺点是微软公司对ipsec 的支持不够。  

　　ipsec最适合可信的lan到lan之间的虚拟专用网，即内部网虚拟专用网。