晚上好，我的网工朋友。

今天点开的人都是学习的真爱粉哈哈哈，玩得开心了，晚上回来抽空学习学习，稳赚不赔啊。

在网工这行久了，应该都听过 IPSec 吧，算是比较复杂的协议之一了。

你可能知道，IPSec可以实现某些需求，保护数据的安全，但不知道IPSec具体是怎么工作的。

今天就给你系统梳理一下，从概念到封装模式，再到实验案例，学起来啊。

今日文章阅读福利：《 IPSec：新一代因特网安全标准.pdf 》

IPSec相关的经典好书，给你找来了完整的pdf书籍，可以转存下。私信我，备注“IPSec”，即可限时领取该资源。

01 IPSec概念

IPSec（Internet Protocol Security）是IETF定义的一个协议组。

通信双方在IP层通过加密、完整性校验、数据源认证等方式，保证了IP数据报文在网络上传输的机密性、完整性和防重放。

• 机密性：对数据进行加密保护，用密文的形式传送数据
• 完整性：指对接收的数据进行认证，以判定报文是否被篡改
• 防重放：防止恶意用户通过重复发送捕获到的数据包所进行的攻击，即接收方会拒绝旧的或重复的数据包。
• 应用场景：企业分支通过IPSec隧道接入企业总部

02 IPSec VPN应用场景及协议

01 IPSec VPN的应用场景分为3种

1. Site-to-Site（站点到站点或者网关到网关）：

如弯曲评论的3个机构分布在互联网的3个不同的地方，各使用一个商务领航网关相互建立VPN隧道，企业内网（若干PC）之间的数据通过这些网关建立的IPSec隧道实现安全互联。

2. End-to-End（端到端或者PC到PC）：

两个PC之间的通信由两个PC之间的IPSec会话保护，而不是网关。

3. End-to-Site（端到站点或者PC到网关）：

两个PC之间的通信由网关和异地PC之间的IPSec进行保护。

02 IPSec 协议

VPN只是IPSec的一种应用方式，IPSec其实是IP Security的简称，它的目的是为IP提供高安全性特性，VPN则是在实现这种安全特性的方式下产生的解决方案。

IPSec是一个框架性架构，具体由下面协议组成：

IPSec VPN体系结构主要由下面这些协议套件组成：

AH（Authentication Header）

ESP（Encapsulating Security Payload）

IKE（Internet Key Exchange）

• AH协议（使用较少）：提供的功能有数据源验证、数据完整性校验和防报文重放功能。
• ESP协议（使用较广）：提供AH协议的所有功能外（ESP的数据完整性校验不包括IP头），还提供对IP报文的加密功能
• IKE协议：自动协商AH和ESP所使用的密码算法

为何AH使用较少呢？

因为AH无法提供数据加密，所有数据在传输时以明文传输，而ESP提供数据加密；

其次AH因为提供数据来源确认（源IP地址一旦改变，AH校验失败），所以无法穿越NAT。

当然，IPSec在极端的情况下可以同时使用AH和ESP实现最完整的安全特性，但是此种方案极其少见。

03 安全联盟SA

SA（Security Association）安全联盟定义了IPSec通信对等体间将使用的数据封装模式、认证和加密算法、秘钥等参数。

说说建立SA的两种方式：手工和IKE动态协商。

1. 手工方式

安全联盟所需的全部信息都必须手工配置。优点不依赖IKE而单独实现IPSec功能。

在小型静态环境中，可手工配置SA。

2. IKE动态协商方式

通信对等体间配置好IKE协商参数，由IKE自动协商来创建和维护SA。

中、大型的动态网络环境中，推荐使用IKE协商建立SA。

04 IPSec协议的封装模式

介绍完IPSec VPN的场景和IPSec协议组成，再来看一下IPSec提供的两种封装模式（传输Transport模式和隧道Tunnel模式）。

01 IPsec传输模式

在IP报文头和高层协议之间插入AH或ESP头。

传输模式中的AH或ESP主要对上层协议数据提供保护。

1.传输模式中的AH：

在IP头部之后插入AH头，对整个IP数据包进行完整性校验

2. 传输模式中的ESP：

在IP头部之后插入ESP头，在数据字段后插入尾部以及认证字段。

对高层数据和ESP尾部进行加密，对IP数据包中的ESP报文头，高层数据和ESP尾部进行完整性校验

3. 传输模式中的AH+ESP：

在IP头部之后插入AH和ESP头，在数据字段后插入尾部以及认证字段

02 IPSec隧道模式

AH或ESP头封装在原始IP报文头之前，并另外生成一个新的IP头封装到AH或ESP之前。

隧道模式可以完全地对原始IP数据报进行认证和加密，而且可以使用IPSec对等体的IP地址来隐藏客户机的IP地址。

1. 隧道模式中的AH：

对整个原始IP报文提供完整性检查和认证，认证功能优于ESP

2. 隧道模式中的ESP：

对整个原始IP报文和ESP尾部进行加密，对ESP报文头、原始IP报文和ESP尾部进行完整性校验

3. 隧道模式中的AH+ESP：

对整个原始IP报文和ESP尾部进行加密，AH、ESP分别会对不同部分进行完整性校验

05 IPSec VPN配置步骤及实验

01 IPSec VPN配置步骤

（1） 配置网络可达

（2） 配置ACL感兴趣流

（3） 创建安全提议

（4） 创建安全策略

（5） 应用安全策略

02 IPSec VPN实验案例

（1） 配置网络可达

[AR1]int g0/0/1
[AR1-GigabitEthernet0/0/1]ip add 10.1.1.254 24
[AR1]int g0/0/0
[AR1-GigabitEthernet0/0/0]ip add 12.1.1.1 24
[AR2]int g0/0/0
[AR2-GigabitEthernet0/0/0]ip add 12.1.1.2 24
[AR2]int g0/0/1
[AR2-GigabitEthernet0/0/1]ip add 23.1.1.2 24
[AR3]int g0/0/0
[AR3-GigabitEthernet0/0/0]ip add 23.1.1.3 24
[AR3]int g0/0/1
[AR3-GigabitEthernet0/0/1]ip add 10.2.1.254 24
[AR1]ospf 1
[AR1-ospf-1]area 0
[AR1-ospf-1-area-0.0.0.0]network 12.1.1.1 0.0.0.0
[AR2]ospf 1
[AR2-ospf-1]area 0
[AR2-ospf-1-area-0.0.0.0]network 23.1.1.2 0.0.0.0
[AR2-ospf-1-area-0.0.0.0]network 12.1.1.2 0.0.0.0
[AR3]ospf 1

[AR3-ospf-1]area 0
[AR3-ospf-1-area-0.0.0.0]network 23.1.1.3 0.0.0.0
[AR3]ip route-static 10.1.1.0 255.255.255.0 12.1.1.1

（2） 配置ACL感兴趣流

[AR1]acl number 3000
[AR1-acl-adv-3000]rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.2.1.0 0.0.0.255
[AR3]acl number 3000
[AR3-acl-adv-3000]rule 5 permit ip source 10.2.1.0 0.0.0.255 destination 10.1.1.0 0.0.0.255

（3） 创建安全提议

[AR1]ipsec proposal 1
[AR3]ipsec proposal 1

（4） 创建安全策略

[AR1]ipsec policy shida 1 manual
[AR1-ipsec-policy-manual-shida-1]security acl 3000
[AR1-ipsec-policy-manual-shida-1]proposal 1
[AR1-ipsec-policy-manual-shida-1]tunnel local 12.1.1.1
[AR1-ipsec-policy-manual-shida-1]tunnel remote 23.1.1.3
[AR1-ipsec-policy-manual-shida-1]sa spi inbound esp 12345
[AR1-ipsec-policy-manual-shida-1]sa string-key inbound esp simple 123
[AR1-ipsec-policy-manual-shida-1]sa spi outbound esp 54321
[AR1-ipsec-policy-manual-shida-1]sa string-key outbound esp simple 123

[AR3]ipsec policy shida 1 manual
[AR3-ipsec-policy-manual-shida-1]security acl 3000
[AR3-ipsec-policy-manual-shida-1]proposal 1
[AR3-ipsec-policy-manual-shida-1]tunnel local 23.1.1.3
[AR3-ipsec-policy-manual-shida-1]tunnel remote 12.1.1.1
[AR3-ipsec-policy-manual-shida-1]sa spi inbound esp 54321
[AR3-ipsec-policy-manual-shida-1]sa string-key inbound esp simple 123
[AR3-ipsec-policy-manual-shida-1]sa spi outbound esp 12345
[AR3-ipsec-policy-manual-shida-1]sa string-key outbound esp simple 123

（5） 应用安全策略

[AR1]int g0/0/0

[AR1-GigabitEthernet0/0/0]ipsec policy shida

[AR3]int g0/0/0

[AR3-GigabitEthernet0/0/0]ipsec policy shida

整理：老杨丨10年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部