2 三層隧道協(xié)議

　　用于傳輸三層網(wǎng)絡(luò)協(xié)議的隧道協(xié)議稱為三層隧道協(xié)議。目前，三層隧道協(xié)議主要包括GRE（Generic Routing Encapsulation）協(xié)議和IETF的IP層加密標(biāo)準(zhǔn)協(xié)議IPSec。下面以IPSecy為例進(jìn)行介紹。

　　IPSec是IETF（Internet Engineering Task Force，互聯(lián)網(wǎng)工程任務(wù)組）提出的IP安全標(biāo)準(zhǔn)。它在IP層對(duì)數(shù)據(jù)包進(jìn)行高強(qiáng)度的加密和驗(yàn)證，使安全服務(wù)獨(dú)立于各種應(yīng)用程序，較好地保證了數(shù)據(jù)包在公共網(wǎng)絡(luò)上傳輸時(shí)的私有性、完整性和真實(shí)性。因此，IPSec提供的安全服務(wù)共享程度高，利用IPSec構(gòu)筑VPN代價(jià)低廉，可擴(kuò)展性強(qiáng)。

　　IPSec協(xié)議不是一個(gè)單獨(dú)的協(xié)議，它給出了應(yīng)用于IP層上網(wǎng)絡(luò)數(shù)據(jù)安全的整套用于認(rèn)證、保護(hù)私有性和完整性的標(biāo)準(zhǔn)協(xié)議，包括網(wǎng)絡(luò)安全協(xié)議Authentication Header（AH）和Encapsulating Security Payload（ESP）協(xié)議、密鑰管理協(xié)議Internet Key Exchange（IKE）和用于網(wǎng)絡(luò)驗(yàn)證及加密的一些算法如DES、三重DES、IDEA等。IPSec規(guī)定了如何在對(duì)等層之間選擇安全協(xié)議、確定安全算法和密鑰交換，向上提供了訪問(wèn)控制、數(shù)據(jù)源驗(yàn)證、數(shù)據(jù)加密等網(wǎng)絡(luò)安全服務(wù)。

　?。?）IPSec的優(yōu)點(diǎn)

　　傳統(tǒng)的安全體系一般都建立在應(yīng)用層上。這些完全體系雖然具有一定的可行性，但也存在著巨大的安全隱患。其原因是，IP包本身不繼承任何安全特性，很容易被修改、偽造、查看和重播。IPSec在IP層上對(duì)數(shù)據(jù)包進(jìn)行安全處理，提供數(shù)據(jù)源地驗(yàn)證、無(wú)連接數(shù)據(jù)完整性、數(shù)據(jù)機(jī)密性、抗重播和有限業(yè)務(wù)流機(jī)密性等安全服務(wù)。各種應(yīng)用程序可以享用IP層提供的安全服務(wù)和密鑰管理，而不必設(shè)計(jì)和實(shí)現(xiàn)自己的安全機(jī)制，因此減少密鑰協(xié)商的開(kāi)銷，也降低了產(chǎn)生安全漏洞的可能性。

　　具體地說(shuō)，IPSec具有如下優(yōu)點(diǎn)。

　　 IPSec檢查傳輸?shù)臄?shù)據(jù)包的完整性，以確保數(shù)據(jù)沒(méi)有被修改。

　　 IPSec可用來(lái)在多個(gè)防火墻和服務(wù)器之間提供安全性，以確保運(yùn)行在TCP/IP上的多個(gè)VPN網(wǎng)絡(luò)之間的互操作性。

　　 IPSec在傳輸層之下，對(duì)于應(yīng)用程序來(lái)說(shuō)是透明的。當(dāng)在路由器或防火墻上安裝IPSec時(shí)，無(wú)需更改用戶或服務(wù)器系統(tǒng)中的軟件設(shè)置。即使在終端系統(tǒng)中執(zhí)行IPSec，應(yīng)用程序一類的上層軟件也不會(huì)受到影響。

　　 IPSec對(duì)終端用戶來(lái)說(shuō)是透明的，因此不必對(duì)用戶進(jìn)行安全機(jī)制的培訓(xùn)。

　　 如果需要，IPSec可以為個(gè)別用戶提供安全保障，這樣做就可以保護(hù)企業(yè)內(nèi)部的重要信息。

　?。?）IPSec的實(shí)現(xiàn)方式

　　IPSec安全協(xié)議，是一組開(kāi)放協(xié)議的總稱，它可以在特定的通信方之間提供數(shù)據(jù)的私有性、完整性保護(hù)，并能對(duì)數(shù)據(jù)源進(jìn)行驗(yàn)證。IPSec使用密鑰管理協(xié)議IKE進(jìn)行協(xié)議及算法的協(xié)商，并采用由IKE生成的密碼來(lái)加密和驗(yàn)證，以便保證數(shù)據(jù)包在公共網(wǎng)絡(luò)上傳輸時(shí)的私有性、完整性和真實(shí)性。IPSec通過(guò)兩個(gè)安全協(xié)議AH和ESP，并配合一定的加密算法在IP層提供這些安全服務(wù)，對(duì)IP及所承載的數(shù)據(jù)提供保護(hù)。這些機(jī)制的實(shí)現(xiàn)不會(huì)對(duì)用戶、主機(jī)或其他Internet組件造成影響；用戶可以選擇不同的加密算法，而不會(huì)對(duì)實(shí)現(xiàn)的其他部分造成影響。IPSec提供以下幾種網(wǎng)絡(luò)安全服務(wù)。

　　 私有性：IPSec在數(shù)據(jù)包傳輸之前將其加密，以保證數(shù)據(jù)的私有性。

　　 完整性：IPSec在目的地要驗(yàn)證數(shù)據(jù)包，以保證該數(shù)據(jù)包在傳輸過(guò)程中沒(méi)有任何不可檢測(cè)的數(shù)據(jù)丟失與改變。

　　 真實(shí)性：IPSec端要驗(yàn)證所有受IPSec保護(hù)的數(shù)據(jù)包，以保證該數(shù)據(jù)包在傳輸過(guò)程中沒(méi)有被替換或修改。

　　 反重復(fù)：IPSec防止了數(shù)據(jù)包被捕捉并重新投放到網(wǎng)上，即目的地會(huì)拒絕老的或重復(fù)的數(shù)據(jù)包；這個(gè)功能可以通過(guò)與AH或ESP一起工作的序列號(hào)實(shí)現(xiàn)。

　　IPSec協(xié)議由3個(gè)基本要素來(lái)提供以上幾種安全保護(hù)服務(wù)：認(rèn)證協(xié)議頭（AH）、安全加載封裝（ESP）和互聯(lián)網(wǎng)密匙管理協(xié)議（IKMP）。認(rèn)證協(xié)議頭和安全加載封裝可以通過(guò)分開(kāi)或組合使用來(lái)達(dá)到所希望的保護(hù)等級(jí)。

　　IPSec本身定義了如何在IP數(shù)據(jù)包中增加字段來(lái)保證IP包的完整性、私有性和真實(shí)性，這些協(xié)議還規(guī)定了如何對(duì)數(shù)據(jù)包加密。因此，使用IPSec協(xié)議，數(shù)據(jù)就可以在公共網(wǎng)絡(luò)上傳輸，而不必?fù)?dān)心數(shù)據(jù)被監(jiān)視、修改或偽造了。IPSec提供了兩個(gè)主機(jī)之間、兩個(gè)安全網(wǎng)關(guān)之間或主機(jī)和安全網(wǎng)關(guān)主機(jī)的保護(hù)。

　　IPSec定義了兩個(gè)新的數(shù)據(jù)包頭并將它們?cè)黾拥絀P包中，這些數(shù)據(jù)包頭用于保護(hù)IP數(shù)據(jù)包的安全性。這兩個(gè)數(shù)據(jù)包頭由AH（Authentication Header）和ESP（Encapsulating Security）和真實(shí)性，防止黑客截?cái)鄶?shù)據(jù)包或向網(wǎng)絡(luò)中插入偽造的數(shù)據(jù)包。AH采用了安全哈希算法來(lái)對(duì)數(shù)據(jù)包進(jìn)行保護(hù)。ESP將需要保護(hù)的用戶數(shù)據(jù)進(jìn)行加密后再封裝到IP包中，ESP可以保證數(shù)據(jù)的完整性、真實(shí)性和私有性。

　　IPSec有隧道和傳送兩種工作方式。在隧道方式中，用戶的整個(gè)IP數(shù)據(jù)包被用來(lái)計(jì)算ESP頭，且被加密，ESP頭和保密用戶數(shù)據(jù)被封裝在一個(gè)新的IP數(shù)據(jù)包中；在傳送方式中，只是傳輸層（如TCP、IDP、ICMP）數(shù)據(jù)被用來(lái)計(jì)算ESP頭，ESP頭和被加密的傳輸層數(shù)據(jù)被放置在原IP包頭后面。當(dāng)IPSec通信的一端為安全網(wǎng)關(guān)時(shí)，必須采用隧道方式。

　　Internet密鑰管理協(xié)議（IKE）用于在兩個(gè)通信實(shí)體協(xié)商和建立安全相關(guān)，如交換密鑰。安全相關(guān)（Security Association）是IPSec中的一個(gè)重要概念。一個(gè)安全相關(guān)表示兩個(gè)或多個(gè)通信實(shí)體之間經(jīng)過(guò)了身份認(rèn)證，且這些通信實(shí)體都能支持相同的加密算法，成功地交換了會(huì)話密鑰，可以開(kāi)始利用IPSec進(jìn)行安全通信。IPSec協(xié)議本身沒(méi)有提供在通信實(shí)體間建立安全相關(guān)的方法，利用IKE建立安全相關(guān)。IKE定義了通信實(shí)體間進(jìn)行身份認(rèn)證、協(xié)商加密算法以及生成共享的會(huì)話密鑰的方法。IKE中身份認(rèn)證采用共享密鑰和數(shù)字簽名兩種方式，密鑰交換采用DiffieHellman協(xié)議。

　　另外，安全相關(guān)也可以通過(guò)人工手動(dòng)的方式來(lái)建立，人工手動(dòng)管理方式是指管理員使用自己的密鑰及其他系統(tǒng)的密鑰手工設(shè)備每個(gè)系統(tǒng)。這種方法在小型網(wǎng)絡(luò)環(huán)境中使用比較實(shí)際。當(dāng)虛擬專用網(wǎng)中節(jié)點(diǎn)增多時(shí)，手工配置將變得非常困難。手工管理系統(tǒng)在有限的安全需要系統(tǒng)中可以工作得很好。使用手工管理系統(tǒng)，密匙由管理站點(diǎn)確定然后分發(fā)到所有的遠(yuǎn)程用戶。真實(shí)的密匙可以用隨機(jī)數(shù)字生成器或簡(jiǎn)單的拼湊計(jì)算出來(lái)，每一個(gè)密匙可以根據(jù)集團(tuán)的安全策略進(jìn)行修改。