宽带上网应用之IPsec专用网络

广州电信数据分局 黄峥嵘

　　随着许多企业业务的扩展，企业分支也在不断扩展，从同一个城市到遍布全国各地，甚至向全球发展。广泛的分支，也为企业的部门领导带来了新问题，如何将各分支与中心实现数据、话音、视频业务互通呢？一种方便、经济、灵活、安全的方式随着Ｉｎｔｅｒｎｅｔ的发展应运而生，这就是企业的ＩＰＳｅｃ ＶＰＮ。

　　ＩＰＳｅｃＶＰＮ就是在ＩＰ传输上通过加密隧道的方式，用公网传送内部专网的内容，传输时保证内部数据的安全性。

　　ＩＰＳｅｃ 是ＩＥＴＦ（因特网工程任务组）于１９９８年１１月公布的ＩＰ安全标准，目标是为ＩＰｖ４和ＩＰｖ６提供具有较强的互操作能力、高质量和基于密码的安全。ＩＰＳｅｃ对于ＩＰｖ４是可选的，对于ＩＰｖ６是强制性的。

　　ＩＰＳｅｃ在ＩＰ层上对数据包进行高强度的安全处理，提供数据源地验证、无连接数据完整性、数据机密性、抗重播和有限业务流机密性等安全服务。各种应用程序可以享用ＩＰ层提供的安全服务和密钥管理，而不必设计和实现自己的安全机制，因此减少密钥协商的开销，也降低了产生安全漏洞的可能性。ＩＰＳｅｃ可连续或递归应用，在路由器、防火墙、主机和通信链路上配置，实现端到端安全、虚拟专用网络（ＶＰＮ）和安全隧道技术。

　　当ＩＰｓｅｃ用于路由器时，就可以建立虚拟专用网。在路由器的连内部网的一端，如图所示，是一个受保护的网络，另一端则是不安全的公共网络。两个这样的路由器建立起一个安全通道，通信就可以通过这个通道从一个本地的保护子网发送到一个远程的保护子网，这就形成了一个ＶＰＮ。

　　在这个ＶＰＮ中，每一个具有ＩＰｓｅｃ的路由器都是一个网络聚合点，试图对ＶＰＮ进行通信分析将会失败。目的地是ＶＰＮ的所有通信都经过路由器上的ＳＡ来定义加密或认证的算法和密钥等参数，即从ＶＰＮ的一个路由器出来的数据包只要符合安全策略，就会用相应的ＳＡ来加密或认证