何利娟

摘 要：IPSec是基于IP协议的安全标准，为数据包在公共网络上传输提供保密性、无连接完整性、数据源身份认证，本文首先介绍了IPSec安全服务的基础SA，然后讨论IPSec安全协议数据库，最后是IPSec在网络安全中的具体应用。

关键词：IPSec协议；SA；协议数据库；网络安全

IPSec提供访问控制、无连接完整性、数据源的认证、有限通信量的机密性等安全服务，它是由IETF开发的一套Internet安全协议标准，可以“无缝”地为IP（IPv4和IPv6）提供可操作的、高质量的、基于数据加密的网络安全服务。利用IPSec提供的安全服务可以实现不同的网络安全配置。

1 IPSec协议基础

IPSec的安全服务是由通讯双方建立的安全关联（SA）来提供的。SA为通讯提供了安全协议、模式、算法和应用于单向IP流的密钥等安全信息。它通过安全关联库（SAD）来进行管理，每一个IPSec节点包含有一个局部的安全策略库（SPD）。IPSec系統在处理输入/输出IP流时必须考虑该策略库，并从SPD中提取策略对IP流进行不同的处理。如果该策略决定IP流需要经过IPSec处理，则根据SPD与SAD的对应关系，找到相应的SA，对IP数据包进行相应的处理。

SA由一个三元组惟一地标识，该三元组包含安全参数索引（SPI）、输出处理SA的目的IP地址或者输入处理SA的源IP地址以及一个特定的协议，SPI是为了唯一标识SA而生成的一个32位整数。

IPSec主要使用两种协议AH和ESP，这两种协议均使用SA。如果希望同时用AH和ESP来保护两个对等实体之间的数据流，则需要两个SA：一个用于AH，另一个用于ESP。当一个SA协商完成时，通信的两个对等实体会在它们的安全关联数据库（SAD）中存储该SA参数。……