寬帶上網應用之IPsec專用網絡

2019-11-03 09:00:19

字體：大中小

來源：轉載

供稿：網友

廣州電信數據分局黃崢嶸

　　隨著許多企業業務的擴展，企業分支也在不斷擴展，從同一個城市到遍布全國各地，甚至向全球發展。廣泛的分支，也為企業的部門領導帶來了新問題，如何將各分支與中心實現數據、話音、視頻業務互通呢？一種方便、經濟、靈活、安全的方式隨著Ｉｎｔｅｒｎｅｔ的發展應運而生，這就是企業的ＩＰＳｅｃＶＰＮ。

　?。桑校樱澹悖郑校尉褪窃冢桑袀鬏斏贤ㄟ^加密隧道的方式，用公網傳送內部專網的內容，傳輸時保證內部數據的安全性。

　?。桑校樱澹?是ＩＥＴＦ（因特網工程任務組）于１９９８年１１月公布的ＩＰ安全標準，目標是為ＩＰｖ４和ＩＰｖ６提供具有較強的互操作能力、高質量和基于密碼的安全。ＩＰＳｅｃ對于ＩＰｖ４是可選的，對于ＩＰｖ６是強制性的。

　?。桑校樱澹阍冢桑袑由蠈祿M行高強度的安全處理，提供數據源地驗證、無連接數據完整性、數據機密性、抗重播和有限業務流機密性等安全服務。各種應用程序可以享用ＩＰ層提供的安全服務和密鑰管理，而不必設計和實現自己的安全機制，因此減少密鑰協商的開銷，也降低了產生安全漏洞的可能性。ＩＰＳｅｃ可連續或遞歸應用，在路由器、防火墻、主機和通信鏈路上配置，實現端到端安全、虛擬專用網絡（ＶＰＮ）和安全隧道技術。

　　當ＩＰｓｅｃ用于路由器時，就可以建立虛擬專用網。在路由器的連內部網的一端，如圖所示，是一個受保護的網絡，另一端則是不安全的公共網絡。兩個這樣的路由器建立起一個安全通道，通信就可以通過這個通道從一個本地的保護子網發送到一個遠程的保護子網，這就形成了一個ＶＰＮ。

　　在這個ＶＰＮ中，每一個具有ＩＰｓｅｃ的路由器都是一個網絡聚合點，試圖對ＶＰＮ進行通信分析將會失敗。目的地是ＶＰＮ的所有通信都經過路由器上的ＳＡ來定義加密或認證的算法和密鑰等參數，即從ＶＰＮ的一個路由器出來的數據包只要符合安全策略，就會用相應的ＳＡ來加密或認證加上ＡＨ或ＥＳＰ報頭。整個安全傳輸過程由ＩＫＥ控制，密鑰自動生成，保護子網內的用戶根本不需要考慮安全，所有的加密和解密由兩端的路由器全權代理。

　　基于ＩＰｓｅｃ的ＶＰＮ實現有以下優點：

　?。保?、在ＩＰ層增加ＡＨ或ＥＳＰ頭實現網絡安全使得通信安全可靠。

　?。玻?、ＩＫＥ協議可以自動產生需要的ＳＡ，并且ＳＡ的生存期非常短，使得破譯更加困難。

　?。常?、定義安全策略方便靈活，只需要在配置文件里進行編輯，就可以實現安全策略。例如如果一種算法被破解，立刻換另一種算法。目前ＡＨ支持ＨＡＭＣ－ＭＤ５、ＨＡＭＣ－ＳＨＡ１，ＥＳＰ支持ＤＥＳ－ＣＢＣ、ＴＲＩ－ＤＥＳ－ＣＢＣ、ＢＬＯＷＦＩＳＨ－ＣＢＣ、ＣＡＳＴ１２８－ＣＢＣ。

　?。桑校螅澹愕奶岢鍪沟茫郑校斡辛烁玫慕鉀Q方案，這是因為在網絡層就進行安全服務，使得密鑰協商的開銷被大大削減了，這是由于多種傳送協議和應用程序可共享由網絡層提供的密鑰管理結構ＩＫＥ。其次，假如網絡安全服務在較低層實現，那么需要改動的應用程序就要少得多。ＩＰｓｅｃ是目前惟一一種能為任何形式的Ｉｎｔｅｒｎｅｔ通信提供安全保護的協議，因此，可以預見，未來的ＶＰＮ實現方案將會更多地利用ＩＰｓｅｃ。

----《通信信息報》