网络层安全协议 IPSec 学习笔记
说明：本文为信息安全技术学习笔记，依据 RFC 4301、RFC 4302、RFC 4303、RFC 7296 及课程考纲整理，仅用于协议原理学习，不包含任何网络接入、配置或工具使用教程。
1. IPSec 的定位
- 工作层次：网络层。
- 主要目标：保护 IP 包的机密性、完整性、数据源认证和抗重放。
- 核心组成：AH、ESP、SA、IKE、DH。
- 典型场景：主机到主机、网关到网关、远程接入安全。
2. AH 与 ESP
| 协议 | 是否加密 | 主要安全能力 |
|---|---|---|
| AH | 否 | 完整性、数据源认证、抗重放 |
| ESP | 是 | 机密性；启用认证时可提供完整性、数据源认证、抗重放 |
一句话记忆：
- AH：只认证，不加密。
- ESP：可加密，也可启用认证。
3. 两种工作模式
传输模式
- 只保护 IP 载荷，原 IP 头不变。
- 常用于主机到主机通信。
隧道模式
- 整个原 IP 包被封装进新的 IP 包。
- 常用于网关到网关通信和远程接入安全。
4. 关键辅助机制
SA
- 表示一条单向的安全参数约定。
- 每个通信方向各需要一条 SA。
- AH 和 ESP 分别需要对应的 SA；两者可组合成 SA 束。
- 常见参数包括 SPI、序列号、密钥、算法和生存期。
IKE
- 负责自动协商 SA 和密钥。
- 通常分阶段建立管理 SA 和 IPSec SA。
- 对端认证可使用预共享密钥或数字证书。
DH
- 用于密钥交换。
- 本身不负责数据加密，主要负责安全地生成共享密钥。
5. 与 SSL/TLS 的区别
| 对比项 | IPSec | SSL/TLS |
|---|---|---|
| 工作层次 | 网络层 | 传输层或应用层附近 |
| 对应用透明性 | 较高，应用通常无感 | 需要应用或运行环境支持 |
| 典型场景 | 站点互联 | 网页加密、远程接入 |
考试中常见对应关系：
- 网络层安全实现：IPSec。
- 传输加密和远程接入安全：SSL/TLS。
6. IP 地址基础
传统分类中的可用单播范围
- A 类：1.0.0.0 ～ 126.255.255.255
- B 类：128.0.0.0 ～ 191.255.255.255
- C 类：192.0.0.0 ～ 223.255.255.255
注意：0、127、224 及以上地址有特殊用途，不属于普通可用单播地址。
私有地址范围
- 10.0.0.0/8
- 172.16.0.0/12
- 192.168.0.0/16
7. 隧道协议所在层次
- 链路层：PPTP、L2TP
- 网络层：IPSec
- 传输层或应用层：SSL/TLS
8. 身份认证协议
Kerberos
- 属于对称密码体系。
- 三个主要角色：客户端、应用服务器、KDC。
- 流程：向 KDC 申请，获得票据，再凭票据访问服务器。
- 特点：票据有时效性，口令通常不直接以明文形式在网络中传输。
PKI
- 基于非对称密码和数字证书。
- CA 使用自己的私钥对证书签名，验证方使用 CA 的公钥验签。
- 如果要实现双向认证，还需要通信双方分别证明自己持有对应的私钥。
9. 专网类型
- 远程访问型。
- 内联网型。
- 外联网型。
10. 一句话速记
IPSec = 网络层 + AH 认证 + ESP 加密或可选认证 + 隧道模式 + IKE 协商密钥。
补充记忆：
- AH 不加密，ESP 可加密。
- 传输模式不改原 IP 头。
- 隧道模式封装整个原 IP 包。
- SA 是单向的，双向通信通常需要两条。
- IKE 负责协商 SA 和密钥。
参考标准：RFC 4301、RFC 4302、RFC 4303、RFC 7296。