注册
登录
| 关键词： 协商 加密 IPsec 发起方 密钥 数据 兴趣 就是 二阶 算法 |
我们知道VPN相当于是基于Internet上建立了一个虚拟的专用通道，和物理专线还是不一样，数据其实还是通过Internet在传输的，那这样还是不能够保证这些私有的数据传输安全，所以VPN是需要有一个保护机制的，最常用的就是IPsec，IPsec是IP security的缩写，即IP安全协议。它不是一个单独的协议，而是一系列为IP网络提供安全性的协议和服务的集合。  IPSec是一个框架性架构，具体由两类协议组成：
这些部分都可以采用多种算法来实现。我们来看一下IPsec主要涉及到的一些协议和密码算法是怎么来满足信息安全性的。关于这些算法的原理内容这里就细说了，有兴趣可以去看一看密码学。 1. 通过加密把数据从明文变成无法读懂的密文，从而确保数据的私密性。  如果加密密钥与解密密钥是相同的称为对称加密，由于对称加密的运算速度比较快，所以IPsec使用对称加密算法来加密数据。 主要有：
2、通过对数据进行hash运算，产生类似于指纹的数据摘要，以保证数据的完整性。  主要是两种hash算法：
对称加密和hash都是要求通信双方具有相同的密钥，那怎么在双方之间安全地传递密钥呢？
3、通过身份认证保证数据的真实性，确定数据确实是由特定的对端发出的。  常用的身份认证方式：
IPSec除了一些协议原理外，我们更关注的是协议中涉及到方案制定的内容：
具体执行协商任务的协议叫做互联网密钥交换协议IKE（Internet Key Exchange）。我们以最常见的IPSec隧道模式为例，解释一下IPSec的协商过程： 
我们对这一过程做一个简单的比喻：IKE协商过程就像两个公司做生意过程。两个公司在具体合作之前需要相互了解，最简单的方法可能就是核查对方公司的工商牌照、公司营业和信誉状况。目的就是相互进行认证，建立基本的信任关系。这个过程其实就是IKE第一个阶段需要完成的任务。一个阶段完成后，信任关系建立了，相应的IKE SA也就建立了。紧接着的主要任务就是基于具体的项目来签订合同。对于IPSec VPN而言，具体的项目就是安全保护通信点之间的流量，具体处理这些流量的策略（IPSec SA）就是合同。IKE第二阶段的任务就是基于需要被加密的流量协商相应的IPSec SA。一旦双方在第一阶段建立起了信任关系，他们就没有必要重复进行认证了。接下来，双方的议题就是根据第一阶段建立的IKE SA，给两个站点之间的很多需要被加密的流量协商不同的第二阶段策略（IPSec SA）。 可以说IPsec VPN内容还是比较多的，而且还比较难理解，后面会有具体的配置案列说明，IPsec在两种VPN模式站点到站点和远程访问下的应用，欢迎大家关注哈~ |
| 本文出处： https://www.toutiao.com/a6748679531969643011/ |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
