IPsec

位くらい于网络层中ちゅう的てきIPsec

網あみ際ぎわ網もう路ろ安全あんぜん協定きょうてい（英語えいご：Internet Protocol Security，縮寫しゅくしゃ：IPsec）是ぜ一いち個こ协议套件，透とおる过对IP协议的てき分ぶん组进行加か密みつ和わ认证来らい保ほ护IP协议的てき网络传输协议族ぞく（一些相互关联的协议的集合）。

IPsec主要しゅよう由よし以下いか协议组成：

1. 认证头（AH），为IP数かず据すえ报提供ていきょう无连接せっ数かず据すえ完かん整せい性せい、消息しょうそく认证以及防ぼう重じゅう放ひ攻おさむ击保ほ护；
2. 封ふう装そう安全あんぜん载荷（ESP），提供ていきょう机つくえ密みつ性せい、数かず据すえ源げん认证、无连接せっ完かん整せい性せい、防ぼう重おも放ひ和わ有限ゆうげん的てき传输流りゅう（traffic-flow）机つくえ密みつ性せい；
3. 網あみ際ぎわ網もう路ろ金きん鑰交換こうかん（英語えいご： Internet Key Exchange ，簡稱IKE或あるIKEv2），为AH、ESP操作そうさ所しょ需的安全あんぜん關聯かんれん（SA）提供ていきょう算法さんぽう、数かず据すえ包つつみ和金わきん鑰参数すう。

标准现状

IPsec的てき源みなもと始はじめ编码是ぜ在ざいIPv4的てき环境中ちゅう于1994年ねん开发，第だい一いち版はんIPsec协议在ざいRFC 2401-2409中ちゅう定てい义。在ざい2005年ねん第だい二版标准文档发布，新しん的てき文ぶん档定义在RFC 4301和わRFC 4309中なか。在ざいIPv4中ちゅうIPsec的てき使用しよう是ぜ一いち个可选项，在ざいIPv6 RFC 6434中ちゅう为必选的内容ないよう ，这样做的目的もくてき，是ぜ为了随ずい着ぎ IPv6的てき进一いち步ほ流行りゅうこう，IPsec可か以得到いた更さら为广泛的使用しよう。

历史概要がいよう

从1920-70年代ねんだい初はつ开始，美国びくに高だか级研究けんきゅう项目局きょく赞助了りょう一いち系列けいれつ实验性せい的てきARPANET加か密みつ设备，起おこり初はつ用よう于本地ちARPANET数すう据すえ包つつみ加か密みつ，随ずい后きさき又また用もちい于TCP/IP数かず据すえ包つつみ加か密みつ。

从1986年ねん到いた1991年ねん，美国びくに国家こっか安全あんぜん局きょく在ざい其安全数ぜんすう据すえ网络系けい统（SDN）计划下か赞助了りょう互联网安全ぜん协议的てき开发，包括ほうかつ摩ま托たく罗拉在ざい内的ないてき各かく种供应商聚集在ざい一起かずき，于1988年生ねんせい产了一种网络加密设备，这项工作こうさく于1988年ねん由ゆかりNIST公おおやけ开发表ひょう，其中第だい3层的安全あんぜん协议（SP3）演えんじ变为ISO标准的てき网络层安全ぜん协议（NLSP）。

从1992年ねん到いた1995年ねん，有ゆう三个研究小组对IP层加密みつ分ぶん别进行ぎょう了りょう独立どくりつ研究けんきゅう：

• 1. 1992年ねん，美國びくに海軍かいぐん研究けんきゅう實驗じっけん室しつ（NRL）开始了りょうSimple Internet Protocol Plus（SIPP）项目来らい进行IP加か密みつ协议的てき研究けんきゅう。
• 2. 1993年ねん，哥伦比ひ亚大学がくSunOS和わAT&T贝尔实验室しつ，开始由よし JohnIoanndis等とう人じん研けん发实验性软件IP加か密みつ协议 (swIPe)。
• 3. 1993年ねん，在ざい白しろ宫信息いき高速こうそく公おおやけ路ろ项目的もくてき支持しじ下か，Trusted Information Systems（TIS）科学かがく家か徐じょ崇たかし伟（Wei Xu） 研究けんきゅう和わ开发了りょう第だい一いち代だい软件 IPSEC 协议，它的编码是ぜ在ざいBSD 4.1内ない核かく中ちゅう完成かんせい的てき，支持しじx86和わSUNOS CPU架か构，同どう时开发了硬かた件けん安全あんぜん3DES的てき加か密みつ技わざ术，并为数すう据すえ加か密みつ标准开发了りょう设备驱动程ほど序じょ。到いた1994年ねん12月，TIS发布了りょう由ゆかりDARPA赞助的てき开放源げん代だい码的“手て铐防火ひ墙”产品，其VPN速度そくど超ちょう过T1，首しゅ次じ用よう IPSec VPN 实现了りょう美国びくに东西海岸かいがん安全あんぜん链接，也是历史上じょう第だい一いち个 IPSec 商用しょうよう产品。
• 4. 在ざい美国びくに国防こくぼう部ぶ高だか级研究けんきゅう计划局きょく（DARPA）资助的てき研究けんきゅう工作こうさく下か，1996年ねん，NRL为IPsec开发了りょうIETF标准跟踪规范（rfc1825到いたrfc1827），它的编码是ぜ在ざいBSD 4.4内ない核かく中ちゅう，同どう时支持しじx86和わSPARC CPU架か构 。

互联网工程ほど任にん务组（IETF）于1992年ねん成立せいりつ了りょうIP安全あんぜん工作こうさく组，以规范对 IPsec 的てき公おおやけ开协议，1995年ねん工作こうさく组成员有 TIS、Cisco、FTP、Checkpoint 等とう五个企业组成，首しゅ次じ合作がっさく协商改あらため进了 NRL 起草きそう的てき IPsec 协议标准，以及规范了りょう Cisco 和かず TIS 提供ていきょう的てき IPsec 开放源げん代だい码，此后，发布了りょうRFC-1825和わRFC-1827，NRL在ざい1996年ねん USENIX 会かい议论文集ぶんしゅう中ちゅう进行了りょう描述了りょう，由ゆかり麻あさ省しょう理工りこう学院がくいん在ざい线提供ていきょう，并成为大多数たすう初はつ始はじめ商しょう业实现的基もと础。

设计意い图

IPsec被ひ设计用よう来らい提供ていきょう（1）入口いりくち对入口こう通信つうしん安全あんぜん，在ざい此机制せい下か，分ふん组通信つうしん的てき安全あんぜん性せい由よし单个节点提供ていきょう给多台だい机つくえ器き（甚至可か以是整せい个局きょく域いき网）；（2）端はし到いた端はし分ぶん组通信つうしん安全あんぜん，由よし作さく为端点てん的てき计算机つくえ完成かんせい安全あんぜん操作そうさ。上述じょうじゅつ的てき任意にんい一种模式都可以用来构建虚きょ拟专用よう网（VPN），而这也是IPsec最さい主要しゅよう的てき用途ようと之の一いち。应该注意ちゅうい的てき是ぜ，上述じょうじゅつ两种操作そうさ模も式しき在ざい安全あんぜん的てき实现方面ほうめん有ゆう着ぎ很大差さ别。

因いん特とく网范围内端はし到いた端はし通信つうしん安全あんぜん的てき发展比ひ预料的てき要よう缓慢，其中部分ぶぶん原因げんいん，是ぜ因いん为其不ふ够普遍あまね或ある者もの说不被ひ普遍ふへん信任しんにん。公おおやけ钥基础设施ほどこせ能のう够得以形成けいせい（DNSSEC最初さいしょ就是为此产生的てき），一部分いちぶぶん是ぜ因いん为许多用たよう户不能ふのう充分じゅうぶん地ち认清他た们的需求及可用よう的てき选项，导致其作为内含ないがん物ぶつ强きょう加か到いた卖主的てき产品中ちゅう（这也必将得え到いた广泛采さい用よう）；另一部分可能归因于网络响应的てき退化たいか（或ある说预期き退化たいか），就像兜かぶと售信息いき的てき充たかし斥而带来的てき带宽损失一いち样。

IPsec与あずか其它互联网安全ぜん协议的てき对比

IPsec协议工作こうさく在ざいOSI模型もけい的てき第だい三さん层，使つかい其在单独使用しよう时适于保护基于TCP或あるUDP的てき协议（如安全あんぜん套接子こ层（SSL）就不能ふのう保ほ护UDP层的通信つうしん流りゅう）。这就意味いみ着ぎ，与あずか传输层或更さら高だか层的协议相しょう比ひ，IPsec协议必须处理可か靠もたれ性せい和わ分ぶん片へん的てき问题，这同时也增加ぞうか了りょう它的复杂性せい和わ处理开销。相あい对而言ごと，SSL/TLS依よ靠もたれ更さら高だか层的TCP（OSI的てき第だい四よん层）来らい管理かんり可か靠もたれ性せい和わ分ぶん片へん。

技わざ术细节

认证头（AH）

认证头（Authentication Header，AH）被ひ用もちい来らい保ほ证被传输分ぶん组的完かん整せい性せい和わ可か靠もたれ性せい。此外，它还保ほ护不受重じゅう放ひ攻おさむ击。认证头试图保护IP数すう据すえ报的所有しょゆう字じ段だん，那な些在传输IP分ぶん组的过程中ちゅう要よう发生变化的てき字じ段だん就只能のう被ひ排除はいじょ在外ざいがい。当とう认证头使用しよう非ひ对称数字すうじ签名算法さんぽう（如RSA）时，可か以提供ていきょう不可ふか否いや认性（RFC 1826）。

认证头分组图示しめせ：

位くらい偏へん移うつり	字じ节	0	1	2	3
	位くらい	0 1 2 3 4 5 6 7	0 1 2 3 4 5 6 7	0 1 2 3 4 5 6 7	0 1 2 3 4 5 6 7
0		下した一いち个头	载荷长度	保留ほりゅう
32		安全あんぜん参さん数すう索引さくいん（SPI）
64		序列じょれつ号ごう
96+		认证数すう据すえ（可か变长度ど）

字じ段だん含义：

下した一いち个头：标识被ひ传送数すう据すえ所属しょぞく的てき协议。

载荷长度：认证头包的てき大小だいしょう。

保留ほりゅう：为将来しょうらい的てき应用保留ほりゅう（目前もくぜん都と置おけ为0）。

安全あんぜん参さん数すう索引さくいん：与あずかIP地ち址し一同用来标识安全参数。

序列じょれつ号ごう：单调递增的てき数すう值，用よう来らい防止ぼうし重おも放ひ攻おさむ击。

认证数すう据すえ：包含ほうがん了りょう认证当とう前ぜん包つつみ所しょ必须的てき数すう据すえ。

封ふう装そう安全あんぜん载荷（ESP）

封ふう装そう安全あんぜん载荷（Encapsulating Security Payload，ESP）协议对分组提供ていきょう了りょう源げん可か靠もたれ性せい、完かん整せい性せい和わ保ほ密みつ性せい的てき支持しじ。与あずかAH头不同ふどう的てき是ぜ，IP分ぶん组头部ぶ不ふ被ひ包括ほうかつ在ざい内ない。

ESP分ぶん组图示しめせ：

位くらい偏へん移うつり	字じ节	0								1								2								3
	位くらい	0	1	2	3	4	5	6	7	0	1	2	3	4	5	6	7	0	1	2	3	4	5	6	7	0	1	2	3	4	5	6	7
0		安全あんぜん参さん数すう序列じょれつ（SPI）
32		序列じょれつ号ごう
64+		载荷*（可か变长度ど）
										填はま充たかし（0-255字じ节）
																		填はま充たかし长度								下した一いち个头
		认证数すう据すえ（可か变长度ど）

字じ段だん含义：

安全あんぜん参さん数すう索引さくいん：与あずかIP地ち址し一同用来标识安全参数

序列じょれつ号ごう：单调递增的てき数すう值，用よう来らい防止ぼうし重おも放ひ攻おさむ击。

载荷数すう据すえ：如果没ぼつ使用しようESP的てき加か密みつ功こう能のう，则载荷に数すう据すえ域いき的てき内容ないよう是ぜ“下した一いち个头”所しょ指示しじ的てき数すう据すえ；如果使用しよう了りょうESP的てき加か密みつ功こう能のう，则使用しよう加か密みつ载荷数すう据すえ和わESP尾お部数ぶすう据すえ所得しょとく的てき密みつ文ぶん作さく为payload data.

填はま充たかし：某ぼう些块加か密みつ算法さんぽう用よう此将数すう据すえ填はま充たかし至いたり块的长度。

填はま充たかし长度：以位为单位い的てき填はま充たかし数すう据すえ的てき长度。

下した一いち个头：标识载荷中ちゅう封ふう装そう的てき数すう据すえ所属しょぞく的てき协议。

认证数すう据すえ：又また叫さけべ做完整せい性せい校こう验值（ICV）。包含ほうがん了りょう认证当とう前ぜん包つつみ所しょ必须的てき数すう据すえ。

安全あんぜん關聯かんれん（SA）

主しゅ条目じょうもく：安全あんぜん關聯かんれん

实现

FreeS/WAN项目已やめ经开发了一いち个开源的てきGNU/Linux作業さぎょう系統けいとう下か的てきIPsec实现。Free S/WAN项目的もくてき开发在ざい2004年ねん时被中止ちゅうし。Openswan、strongSwan和わlibreswan是ぜFree S/WAN延のべ续。

至いたり今いま已やめ有ゆう许多IPsec协议和わISAKMP／IKE协议的てき实现。它们包括ほうかつ：

• NRL IPsec，属ぞく于原型がた的てき一いち种
• OpenBSD，代だい码源于NRL IPsec
• Mac OS X，包含ほうがん了りょうKame IPsec的まと代だい码
• Cisco IOS
• Microsoft Windows
• SSH Sentinel（现作为SafeNet的てき一いち部分ぶぶん）提供ていきょう了りょう工具こうぐ包つつみ
• Solaris
• FreeBSD
• NetBSD
• Android
• iOS

參まいり見み

• 信しん息いき安全あんぜん

外部がいぶ链接

• 计算机つくえ系けい统安全あんぜん
• IPsec簡介
• IETF的てきIPsec工作こうさく组。
• Free S/WAN项目主ぬし页（页面存そん档备份，存そん于互联网档案あん馆）。
• Openswan项目主ぬし页（页面存そん档备份，存そん于互联网档案あん馆）。
• strongSwan项目主ぬし页（页面存そん档备份，存そん于互联网档案あん馆）。
• VPN社しゃ团（页面存そん档备份，存そん于互联网档案あん馆）。
• A long thread on the ipsec@lists.tislabs.com关于是ぜ否いや要よう将しょう字母じぼS大だい写うつし，RFC文ぶん档写的てき很清楚すわえ，应该是ぜIPsec。

IPsec相しょう关RFC文ぶん档

RFC 2401

IP协议的てき安全あんぜん架か构

RFC 2402

认证头

RFC 2406

封ふう装そう安全あんぜん载荷

RFC 2407

ISAKMP的てきIPsec解かい释域（IPsec DoI）

RFC 2408

網あみ路ろ安全あんぜん關聯かんれん與あずか金きむ鑰管理かんり協定きょうてい（ISAKMP）

RFC 2409

因いん特とく网密钥交换（IKE）