IPSec(IPSecurity)
该协议将密码学应用于网络层，提供源地址验证、数据传输完整性、访问控制、机密性等安全服务。信息的发送者和接收者，并保护通信免受窃听和网络攻击。而且更高层的应用层协议也可以直接或间接使用这些安全服务，为其上层协议如TCP、UDP等提供透明的安全保护服务，为在互联网这样不安全的网络中进行通信提供安全保障。
在IPv6中，IPSec协议是必不可少的一部分，并且是强制性的。它是IPv4中的可选扩展协议。
由于互联网和其他网络具有共同的特性，在通信过程中很难确认传输介质是否安全，因此为了安全通信，必须对通信数据进行加密。IPSec协议对数据包中的数据进行加密，而不是对整个数据流进行加密，这不仅非常灵活，而且有助于进一步提高IP数据包的安全性。
IPSec协议的基本工作原理是
发送方在发送之前对数据进行加密，然后将密文数据发送到网络开始传输。在整个传输过程中，数据以密文的形式传输。在数据到达目的节点之前，接收方解密密文并提取明文信息。
IPSec协议使用加密技术进行网络层通信。它加密数据包中的数据，而不是报头和报尾信息(如源地址、目的地址、端口号和CRC校验值)。由于加密过程发生在IP层，因此可以在不改变HTTP等上层应用协议的情况下，对网络协议进行安全加密，为通信提供透明安全的传输服务。
在IPSec协议中，采用端到端的工作模式，只有发送方和接收方掌握数据的加密和解密方法，分别负责相应的数据加密和解密处理，而网络中的其他节点只负责转发数据，不支持IPSec，这样就可以实现加密通信，而不考虑传输介质，保证了机密数据在公网环境中的适应性和安全性。因此，IPSec可以适用于非常广泛的环境，可以为局域网、拨号用户、远程站点和互联网上的通信提供强有力的保护，也可以用于过滤特定的数据流，还可以用于不同局域网之间通过互联网的安全互联。
IPSec协议不是一个单一的协议，它包括一组应用于IP层网络数据安全的协议，主要包括AH(AuthenticationHeader Protocol)、ESP(Encapsulation Security Payload Protocol)、IKE(internetkey exchange Protocol)以及一些用于网络认证和加密的算法。
AH提供数据完整性和认证，但不包括机密性；ESP原则上只提供机密性，但是在ESPHeader中也可以选择合适的算法和模式来实现数据完整性和认证。AH和ESP可以单独使用，也可以一起使用。IKE提供加密算法、密钥等的协商。
1.安全关联和安全策略
安全关联(SA)是指提供通信安全服务的发送方和接收方之间的单向关系。安全关联是IPSec的基础，IPSec是通信双方通过协商建立的协议。安全关联可以由32位SecurityParameterIndex (SPI)唯一标识。SPI值决定一个特定的s a，该SA通常位于AH或ESP报头中。安全关联是单向的。如果两台主机A和B想要实现双向安全，它们需要两个安全关联，每个方向一个：(A，B)和(B，A)。安全关联的内容包括IP包是否加密和认证，以及加密和认证使用的算法和密钥。所有SA记录都存储在安全关联数据库中，并通过哈希进行访问。
SecurityPolicy定义了两个IPSec系统之间安全通信的特征，并确定了在此通信中为数据包提供的安全服务。IPSec系统的所有安全策略都存储在安全策略数据库中，并根据选择器(包括源地址、目的地址、协议、端口等)进行检索。).安全策略通常与SA合作，共同处理通信数据包。
2.啊
AH协议首先对数据进行加密，然后封装成IP包，从而实现无连接通信中的数据完整性、数据源认证和防止重放攻击。AH可以完成ESP能提供的除数据加密以外的所有功能。在认证机制上，比ESP覆盖的范围更广，包括IP头中一些选项的认证。
为了应用IPSec协议，需要改变IP包的格式，即在IP头和受保护数据之间插入一个AH头；
AH报头的格式包括：下一个报头、有效载荷长度、保留比特、安全参数索引、序列号和认证数据。
AH使用的典型认证算法是迭代消息摘要算法。AH采用MD5算法，可以提供完整性服务。从上面我们可以知道，MD5可以哈希任意长度的信息，生成唯一的128位消息摘要。因为消息摘要是唯一的，所以对信息的任何修改都会导致不同的消息摘要，从而防止消息被篡改并确保数据的完整性。AH还可以使用SHA算法，提供更强的抗攻击能力。SHA基于MD5，这增加了数据包处理的迭代次数和复杂性，并产生160位的消息摘要。接收到数据后，接收方可以检查数据包中单向递增的序列号，以确定数据包的合法性，防止重放攻击。
3.电动选择型
ESP通过对数据包的数据进行加密来提供传输信息的机密性，从而实现数据完整性、数据源认证和数据机密性的安全服务。ESP是一种通用的、可扩展的安全机制，其加密和认证算法主要由s a对应的数据项决定。接收方还可以在接收到数据后检查数据包中的单向递增序列号，以确定数据包的合法性，防止重放攻击。
在应用中，需要在IP数据包报头和受保护数据之间插入一个ESP报头，并在受保护数据之后附加一个ESP尾部。
ESP头的格式如图所示，包括：安全参数索引(标识用于处理数据包的安全关联)、序列号(用于防止重放攻击)和净荷数据。ESP报头中的所有字段都是未加密的，因为需要在解密数据包之前读取报头字段。
ESP尾部的格式如图所示，包括：填充(有些加密算法要求加密数据的长度是密钥长度的整数倍，如果保护数据的长度不满足这个要求，后面需要追加一些填充)，填充长度(表示填充的长度)，下一个头，认证数据(数据完整性测试结果)。
ESP可以提供认证功能以及加密功能。对于发送的数据包，首先加密；对于接收到的数据包，首先进行认证。
ESP支持多种加密算法。DES是ESP中的默认加密算法。它使用64位密钥加密明文，并使用相同的密钥进行加密和解密。该算法简单高效。另外可以选择3DES，AES，RC5、 RC6、 blowfish等算法。
4.IP密钥交换
IKE是一种混合协议，它使用互联网安全协会和密钥管理协议(ISAKMP)、密钥确定协议Oakley和描述支持匿名和快速密钥更新的密钥交换的SKEME协议。IKE不仅实现了双方的密钥交换，还利用ISAKMP实现了IPSec的安全关联。
ISAKMP协议是IKE的核心组成部分，它定义了安全关联的协商、建立、修改和删除的过程和数据格式。ISAKMP的工作分为两个阶段：第一阶段，通信双方协商建立安全通道，并对通道进行验证，为第二阶段的进一步通信提供安全服务；第二阶段，为IPSec建立特定的IPSec安全关联，保护通信双方的数据传输安全。在IKE协商过程中，使用了Diffie-Hellman机制、Oakley密钥交换模式以及SKEME共享和密钥更新技术。
5.5的工作模式。IPSec
IPSec有两种工作模式：传输模式和隧道模式。
传输模式首先用IPSec加密封装要传输的数据，然后在IP头和被保护数据之间插入相关的IPSec头进行封装。由于IP头是不加密的，接收端在接收封装的数据包时直接处理IP头，然后从IPSec头中读取SPI值得到相对SA，再用SA设置的解密参数对加密数据进行解码。
传输模式下的IPSec报头直接添加在要传输的数据之前。由于加密部分少，不需要额外处理，节省了带宽和CPU负载，通信和处理效率高。
在传输模式下，解密器是目的地址的用户。
隧道模式首先用SA的相关信息对所有IP包进行加密，然后在它们前面加上ESPHeader，再给它们加上一个新的IP头作为数据。接收到ESP包后，接收方可以通过使用ESPHeader内容中SPI值提供的SA，然后求解ESPHeader后的加载数据，检索出原始的IP头和包。
隧道模式可以在两个终端之间建立一个安全的隧道，两个终端之间的通信都是在这个隧道中进行的，安全性高。
两种模式下的IP数据包格式如图所示。
责任编辑：抄送
