ipsec概述
认识IPSec
认识IPSecIPSec（互联网协议安全）是一个安全网络协议套件，用于保护互联网或公共网络传输的数据。
IETF在1990 年代中期开发了IPSec 协议，它通过IP网络数据包的身份验证和加密来提供IP 层的安全性。
IPSec简介IPSec 可为通信两端设备提供安全通道，比如用于两个路由器之间以创建点到点VPN，以及在防火墙和Windows 主机之间用于远程访问VPN等。
IPSec 可以实现以下4项功能：•数据机密性：IPSec发送方将包加密后再通过网络发送，可以保证在传输过程中，即使数据包遭截取，信息也无法被读取。
•数据完整性：IPSec可以验证IPSec发送方发送过来的数据包，以确保数据传输时没有被改变。
若数据包遭篡改导致检查不相符，将会被丢弃。
•数据认证：IPSec接受方能够鉴别IPSec包的发送起源，此服务依赖数据的完整性。
•防重放：确保每个IP包的唯一性，保证信息万一被截取复制后不能再被重新利用，不能重新传输回目的地址。
该特性可以防止攻击者截取破译信息后，再用相同的信息包获取非法访问权。
IPSec 不是一个协议，而是一套协议，以下构成了IPSec 套件：AH协议AH(Authentication Header)指一段报文认证代码，确保数据包来自受信任的发送方，且数据没有被篡改，就像日常生活中的外卖封条一样。
在发送前，发送方会用一个加密密钥算出AH，接收方用同一或另一密钥对之进行验证。
然而，AH并不加密所保护的数据报，无法向攻击者隐藏数据。
ESP协议ESP（Encapsulating Security Payload）向需要保密的数据包添加自己的标头和尾部，在加密完成后再封装到一个新的IP包中。
ESP还向数据报头添加一个序列号，以便接收主机可以确定它没有收到重复的数据包。
SA协议安全关联（SA）是指用于协商加密密钥和算法的一些协议，提供AH、ESP操作所需的参数。
最常见的SA 协议之一是互联网密钥交换(IKE)，协商将在会话过程中使用的加密密钥和算法。
IPSec协议
IPSec协议一、背景和目的IPSec（Internet Protocol Security）是一种网络协议，用于保护IP网络中的数据传输安全。
它提供了对IP层进行加密和认证的机制，确保数据在传输过程中的机密性、完整性和身份验证。
本协议的目的是明确IPSec协议的标准格式，以便确保在各种网络环境中的一致性和互操作性。
二、定义和术语1. IPSec：Internet Protocol Security的缩写，指的是一种网络协议，用于保护IP 网络中的数据传输安全。
2. AH（Authentication Header）：认证头，用于对IP数据报进行身份验证和完整性保护。
3. ESP（Encapsulating Security Payload）：封装安全载荷，用于对IP数据报进行加密和身份验证。
4. SA（Security Association）：安全关联，定义了通信双方之间的安全参数。
5. IKE（Internet Key Exchange）：互联网密钥交换协议，用于在通信双方建立安全关联之前商议密钥材料。
三、协议规范1. IPSec协议支持两种模式：传输模式和隧道模式。
a) 传输模式：仅对IP数据报有效载荷进行加密和身份验证。
适合于主机到主机的通信。
b) 隧道模式：对整个IP数据报进行加密和身份验证。
适合于网关到网关的通信。
2. IPSec协议使用SA来定义通信双方之间的安全参数，包括：a) 安全协议：AH或者ESP。
b) 加密算法：用于对数据进行加密的算法。
c) 认证算法：用于对数据进行身份验证和完整性保护的算法。
d) 密钥长度：用于确定加密算法和认证算法中使用的密钥长度。
e) 密钥材料：用于加密和认证的密钥。
3. IPSec协议使用IKE来商议SA的参数和密钥材料。
IKE协议包括两个阶段：a) 第一阶段：建立安全关联所需的参数和密钥材料。
b) 第二阶段：商议SA的具体参数和密钥材料。
4. IPSec协议支持以下安全服务：a) 机密性：通过加密算法对数据进行保护，防止未经授权的访问。
IPSec与SSLVPN比较
IPSec与SSLVPN比较随着互联网的快速发展，网络安全成为一个越来越重要的问题。
为了保护数据的安全性和隐私性，许多组织和企业都采用了虚拟专用网络（VPN）技术。
IPSec和SSLVPN是两种常见的VPN技术，本文将对它们进行比较。
一、IPSec概述IPSec（Internet Protocol Security）是一种广泛应用于网络的VPN安全协议。
它通过在网络层对数据进行加密和认证，确保数据的机密性和完整性。
1. 安全性：IPSec提供了强大的安全性。
它使用加密算法对数据进行加密，同时使用认证算法对数据进行验证，确保数据在传输过程中不被窃听和篡改。
2. 配置复杂性：IPSec的配置相对较为复杂。
它需要在每个连接点上进行单独配置，包括密钥管理、加密算法和认证算法等。
3. 性能损耗：由于IPSec对数据进行加密和解密的过程，会增加数据传输的开销，可能导致一定的性能损耗。
二、SSLVPN概述SSLVPN（Secure Socket Layer Virtual Private Network）是基于SSL 协议的VPN技术。
它使用了一套完整的加密和身份验证机制，确保数据在互联网上传输时的安全性。
1. 安全性：SSLVPN提供了可靠的安全性。
它使用SSL协议对数据进行加密，同时采用X.509证书对用户进行身份验证，确保数据传输过程中的安全性。
2. 配置简单性：相对于IPSec，SSLVPN的配置较为简单。
它使用基于浏览器的接入方式，用户只需在浏览器中输入统一资源定位器（URL），就可以访问企业网络。
3. 性能效率：由于SSLVPN使用的是基于应用层的加密方式，相对于IPSec来说性能开销较小，传输效率较高。
三、IPSec与SSLVPN的比较1. 配置复杂性与用户体验IPSec的配置相对复杂，需要专业知识和一定的技术支持。
而SSLVPN的配置相对简单，用户只需在浏览器中输入URL即可访问企业网络。
从用户体验角度来看，SSLVPN更加友好。
IPsec协议的加密机制
IPsec协议的加密机制IPsec（Internet Protocol Security）是一种用于确保网络通信安全的协议套件。
它提供了认证和加密功能，可以保护数据在网络中传输的机密性和完整性。
在本文中，将对IPsec协议的加密机制进行详细讨论。
一、IPsec协议概述IPsec是一种网络层协议，可在网络层对数据进行加密和认证处理。
它提供了两种模式：传输模式和隧道模式。
传输模式仅加密数据报的有效负载部分，而隧道模式则将整个IP数据报进行加密。
IPsec协议使用了一系列加密算法和协议来实现网络层的安全传输。
二、加密算法1. 对称加密算法IPsec协议使用对称加密算法对数据进行加密和解密。
对称加密算法使用相同的密钥进行加密和解密操作，速度较快，但密钥的分发和管理可能存在一定的安全隐患。
常见的对称加密算法有DES（Data Encryption Standard）、3DES（Triple DES）和AES（Advanced Encryption Standard）等。
2. 非对称加密算法除了对称加密算法，IPsec协议还使用了非对称加密算法来确保数据的安全性。
非对称加密算法使用一对密钥，包括公钥和私钥。
公钥可用于加密数据，私钥则用于解密数据。
常见的非对称加密算法有RSA和DSA（Digital Signature Algorithm）等。
三、安全协议1. 认证头（AH）协议IPsec协议中的认证头（Authentication Header，简称AH）协议用于提供数据报的完整性和源认证。
AH协议使用散列函数对整个IP数据报进行哈希运算，形成一个认证字段。
接收方可以通过对接收到的数据报进行哈希运算，然后比较认证字段，来验证数据的完整性和真实性。
2. 封装安全载荷（ESP）协议封装安全载荷（Encapsulating Security Payload，简称ESP）协议用于提供数据报的机密性和访问控制。
ESP协议在IP数据报的上层添加了一个新的封装头，将原始数据进行加密、认证和封装，然后在传输过程中解封装，还原成原始数据。
IPSecVPN详解(深入浅出简单易懂)讲解
IPSecVPN详解(深入浅出简单易懂)讲解IPSec VPN详解1.IPSec概述IPSec(ip security)是一种开放标准的框架结构，特定的通信方之间在IP层通过加密和数据摘要(hash)等手段，来保证数据包在Internet网上传输时的私密性(confidentiality)、完整性(data integrity)和真实性(XXX)。
IPSec只能工作在IP层，要求乘客协议和承载协议都是IP协议1.1.通过加密保证数据的私密性★私密性：防止信息泄漏给未经授权的个人★通过加密把数据从明文变成无法读懂的密文，从而确保数据的私密性1.2.对数据进行hash运算来保证完整性★完整性：数据没有被非法篡改★通过对数据进行hash运算，产生类似于指纹的数据摘要，以保证数据的完整性对数据和密钥一起进行hash运算★攻击者篡改数据后，可以根据修改后的数据生成新的摘要，以此袒护自己的攻击行为。
★经由进程把数据和密钥一同进行hash运算，可以有效抵御上述攻击。
DH算法的基本原理1.3.经由进程身份认证保证数据的真实性★真实性：数据确实是由特定的对端发出★通过身份认证可以保证数据的真实性。
常用的身份认证方式包括：Pre-shared key，预同享密钥RSA Signature，数字签名1.3.1.预同享密钥预共享密钥，是指通信双方在配置时手工输入相同的密钥。
1.3.2.数字证书★RSA密钥对，一个是可以向大家公开的公钥，另一个是只有自己知道的私钥。
★用公钥加密过的数据只有对应的私钥才能解开，反之亦然。
★数字证书中存储了公钥，以及用户名等身份信息。
2.IPSec框架结构2.1.IPSec安全协议IPSec平安协议描述了如何利用加密和hash来保护数据平安★AH (XXX)网络认证协议,只能进行数据摘要(hash)，不能实现数据加密ah-md5-hmac、ah-sha-hmac★ESP (Encapsulating Security Payload)封装平安载荷协议,能够进行数据加密和数据摘要(hash)esp-des、esp-3des、esp-md5-hmac、esp-sha-hmac2.2.IPSec封装模式IPSec支持两种封装模式：传输模式和隧道模式◆传输模式：不改变原本的IP包头，通常用于主机与主机之间。
IPSec与防火墙配合：实现多层次的网络安全(四)
IPSec与防火墙配合：实现多层次的网络安全随着互联网的普及和发展，网络安全问题日益凸显。
为保护网络系统免受攻击和入侵，许多组织和个人已经采取了多种安全措施。
其中，IPSec与防火墙的配合应用，为实现多层次的网络安全提供了有效的解决方案。
一、IPSec的概述IPSec（Internet Protocol Security）是一种网络安全协议，用于保护网络通信的数据传输。
它通过加密和认证技术，确保数据在传输过程中的机密性、完整性和可用性。
IPSec采用了一系列的协议和算法，包括加密算法、认证协议和密钥管理协议等，以提供安全的IP层通信。
二、防火墙的作用防火墙是网络安全的第一道防线，主要用于监控和控制网络流量。
它可以过滤传入和传出的数据包，根据设定的规则阻止恶意流量，从而保护网络免受未经授权的访问、病毒、攻击和其他安全威胁。
防火墙通过访问控制列表（ACL）和网络地址转换（NAT）等技术，对进出的数据包进行筛选和修改。
三、IPSec与防火墙的协同作用1. 加密数据传输IPSec可以通过加密算法对数据进行加密，保护数据在传输过程中的机密性。
防火墙则负责监控数据包的流量，在数据进出防火墙时进行解密和加密的处理。
通过IPSec与防火墙的协同作用，可以确保数据在公共网络中的传输是安全的。
2. 认证通信双方IPSec可以使用认证协议对通信双方进行认证，防止恶意用户伪装成合法用户进行网络攻击。
防火墙可以配合IPSec的认证功能，对通信发起者的身份进行验证。
只有通过验证的用户才能通过防火墙进行访问，提高了网络系统的安全性。
3. 密钥管理与策略控制IPSec中的密钥管理协议可以确保通信双方之间的密钥安全。
防火墙通过与IPSec连接，可以实现对密钥的分发和更新。
同时，防火墙还可以根据策略进行流量控制，根据网络环境的需求和安全策略的配置，对数据包的进出进行管理和筛选。
四、多层次的网络安全保障IPSec与防火墙的配合应用，实现了多层次的网络安全保障。
IPSec使用方法：配置和启用IPSec的步骤详解(三)
IPSec使用方法：配置和启用IPSec的步骤详解IPSec（Internet Protocol Security）是一种常用的网络安全协议，用于保护网络通信的安全性和完整性。
通过对数据进行加密和认证，IPSec确保了数据在网络传输过程中的保密性和防篡改能力。
本文将详细介绍IPSec的配置和启用步骤，帮助读者了解如何使用IPSec 来保护网络通信的安全。
一、IPSec的概述IPSec协议是在网络层实现的安全协议，它通过对IP数据包进行加密和认证，确保数据在传输过程中的安全性。
IPSec使用了多种加密和认证算法，如DES、3DES、AES等，同时还支持两种模式：传输模式和隧道模式。
传输模式适用于通信双方在同一网络中，而隧道模式则适用于需要跨越不同网络的通信。
二、IPSec的配置步骤以下是IPSec的配置步骤：1. 确定加密和认证算法：首先，需要确定使用哪种加密和认证算法来保护通信。
常用的算法有DES、3DES和AES，认证算法可以选择MD5或SHA。
2. 配置密钥管理：IPSec需要使用密钥来进行加密和认证，因此需要配置密钥管理。
可以选择手动配置密钥，也可以使用自动密钥交换协议（IKE）来自动分发密钥。
3. 配置安全策略：安全策略定义了哪些流量需要被保护，以及如何进行保护。
可以根据需要定义多个安全策略，每个策略可以有不同的加密和认证算法。
4. 配置IPSec隧道：如果需要跨越不同网络的通信，需要配置IPSec隧道。
隧道配置包括隧道模式、本地和远程网关地址，以及相应的加密和认证算法。
5. 启用IPSec：完成配置后，需要启用IPSec来保护通信。
启用IPSec的方式可以是在路由器或网络防火墙上配置相应的规则，也可以在主机上使用IPSec客户端软件。
三、IPSec的启用步骤以下是IPSec的启用步骤：1. 检查设备支持：首先，需要检查网络设备是否支持IPSec。
大多数现代路由器、防火墙和操作系统都已经支持IPSec，但仍需确保设备支持。
IPSec简介
1IPSec的定义IPSec（Internet Protocol Security）即Intenet安全协议，是IETF提供Internet 安全通信的一系列规范，它提供私有信息通过公用网的安全保障。
IPSec适用于目前的版本IPv4和下一代IPv6。
IPSec规范相当复杂，规范中包含大量的文档。
由于IPSec在TCP/IP协议的核心层——IP层实现，因此可以有效地保护各种上层协议，并为各种安全服务提供一个统一的平台。
IPSec 也是被下一代Internet 所采用的网络安全协议。
IPSec 协议是现在VPN开发中使用的最广泛的一种协议，它有可能在将来成为IPVPN的标准。
IPSec的基本目的是把密码学的安全机制引入IP协议，通过使用现代密码学方法支持保密和认证服务，使用户能有选择地使用，并得到所期望的安全服务。
IPSec是随着IPv6的制定而产生的，鉴于IPv4的应用仍然很广泛，所以后来在IPSec的制定中也增加了对IPv4的支持。
IPSec在IPv6中是必须支持的。
2IPSec协议体系结构IPSec将几种安全技术结合形成一个完整的安全体系，它包括安全协议部分和密钥协商部分。
（1）安全关联和安全策略：安全关联（Security Association，SA）是构成IPSec 的基础，是两个通信实体经协商建立起来的一种协定，它们决定了用来保护数据包安全的安全协议（AH协议或者ESP协议）、转码方式、密钥及密钥的有效存在时间等。
（2）IPSec 协议的运行模式：IPSec协议的运行模式有两种，IPSec隧道模式及IPSec 传输模式。
隧道模式的特点是数据包最终目的地不是安全终点。
通常情况下，只要IPSec 双方有一方是安全网关或路由器，就必须使用隧道模式。
传输模式下，IPSec 主要对上层协议即IP包的载荷进行封装保护，通常情况下，传输模式只用于两台主机之间的安全通信。
（3）AH（Authentication Header，认证头）协议：设计AH认证协议的目的是用来增加IP数据报的安全性。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
IPSec概述本章将详细介绍secpath防火墙ipsec功能的配置，此时的secpath完全可以等同为路由器来看待，在文中我们将沿用路由器方面的术语和标识来描述secpath，即本章所提及的路由器均可使用secpath来取代。
1.1 ipsec协议简介ipsec（ip security）协议族是ietf制定的一系列协议，它为ip数据报提供了高质量的、可互操作的、基于密码学的安全性。
特定的通信方之间在ip层通过加密与数据源验证等方式，来保证数据报在网络上传输时的私有性、完整性、真实性和防重放。
私有性（confidentiality）指对用户数据进行加密保护，用密文的形式传送。
完整性（data integrity）指对接收的数据进行验证，以判定报文是否被篡改。
真实性（data authentication）指验证数据源，以保证数据来自真实的发送者。
防重放（anti-replay）指防止恶意用户通过重复发送捕获到的数据包所进行的攻击，即接收方会拒绝旧的或重复的数据包。
ipsec通过ah（authentication header，认证头）和esp（encapsulating security payload，封装安全载荷）两个安全协议实现了上述目标。
为简化ipsec的使用和管理，ipsec还可以通过ike（internet key exchange，因特网密钥交换协议）进行自动协商交换密钥、建立和维护安全联盟的服务，以简化ipsec的使用和管理。
(1)ah协议ah是报文头验证协议，主要提供的功能有数据源验证、数据完整性校验和防报文重放功能；然而，ah并不加密所保护的数据报。
(2)esp协议esp是封装安全载荷协议。
它除提供ah协议的所有功能外（但其数据完整性校验不包括ip头），还可提供对ip报文的加密功能。
ah和esp可以单独使用，也可以同时使用。
对于ah和esp，都有两种操作模式：传输模式和隧道模式。
工作模式将在后文介绍。
(3)ike协议ike协议用于自动协商ah和esp所使用的密码算法，并将算法所需的必备密钥放到恰当位置。
ike协商并不是必须的，ipsec所使用的策略和算法等也可以手工协商。
关于两种协商方式的比较，将在后文介绍。
1.2 ike协议简介1. ike协议ipsec的安全联盟可以通过手工配置的方式建立，但是当网络中节点增多时，手工配置将非常困难，而且难以保证安全性。
这时就要使用ike（internet key exchange，因特网密钥交换）自动地进行安全联盟建立与密钥交换的过程。
ike协议是建立在由internet安全联盟和密钥管理协议isakmp（internet security association and key management protocol）定义的框架上。
它能够为ipsec提供了自动协商交换密钥、建立安全联盟的服务，以简化ipsec的使用和管理。
ike具有一套自保护机制，可以在不安全的网络上安全地分发密钥、验证身份、建立ipsec 安全联盟。
2. ike的安全机制dh（diffie-hellman）交换及密钥分发。
diffie-hellman算法是一种公共密钥算法。
通信双方在不传送密钥的情况下通过交换一些数据，计算出共享的密钥。
加密的前提是交换加密数据的双方必须要有共享的密钥。
ike的精髓在于它永远不在不安全的网络上直接传送密钥，而是通过一系列数据的交换，最终计算出双方共享的密钥。
即使第三者（如黑客）截获了双方用于计算密钥的所有交换数据，也不足以计算出真正的密钥。
完善的前向安全性（perfect forward secrecy，pfs）。
pfs是一种安全特性，指一个密钥被破解，并不影响其他密钥的安全性，因为这些密钥间没有派生关系。
pfs是由dh算法保障的。
身份验证。
身份验证确认通信双方的身份。
对于pre-shared key验证方法，验证字用来作为一个输入产生密钥，验证字不同是不可能在双方产生相同的密钥的。
验证字是验证双方身份的关键。
身份保护。
身份数据在密钥产生之后加密传送，实现了对身份数据的保护。
3. ike的交换阶段ike使用了两个阶段为ipsec进行密钥协商并建立安全联盟：第一阶段，通信各方彼此间建立了一个已通过身份验证和安全保护的通道，此阶段的交换建立了一个isakmp安全联盟，即isakmp sa（也可称ike sa）；第二阶段，用在第一阶段建立的安全通道为ipsec协商安全服务，即为ipsec协商具体的安全联盟，建立ipsec sa，ipsec sa用于最终的ip数据安全传送。
(1)当一个报文从某接口外出时，如果此接口应用了ipsec，会进行安全策略的匹配。
(2)如果找到匹配的安全策略，会查找相应的安全联盟。
如果安全联盟还没有建立，则触发ike进行协商。
ike首先建立阶段1的安全联盟，即ike sa。
(3)在阶段1安全联盟的保护下协商阶段2的安全联盟，即ipsec sa。
(4)使用ipsec sa保护通讯数据。
4. ike的协商模式在rfc2409（the internet key exchange）中规定，ike第一阶段的协商可以采用两种模式：主模式（main mode）和野蛮模式（aggressive mode）。
主模式被设计成将密钥交换信息与身份、认证信息相分离。
这种分离保护了身份信息；交换的身份信息受已生成的diffie-hellman共享密钥的保护。
但这增加了3条消息的开销。
野蛮模式则允许同时传送与sa、密钥交换和认证相关的载荷。
将这些载荷组合到一条消息中减少了消息的往返次数，但是就无法提供身份保护了。
虽然野蛮模式存在一些功能限制，但可以满足某些特定的网络环境需求。
例如：远程访问时，如果响应者（服务器端）无法预先知道发起者（终端用户）的地址、或者发起者的地址总在变化，而双方都希望采用预共享密钥验证方法来创建ike sa，那么，不进行身份保护的野蛮模式就是唯一可行的交换方法；另外，如果发起者已知响应者的策略，或者对响应者的策略有全面的了解，采用野蛮模式能够更快地创建ike sa。
1.3 ipsec基本概念1. 安全联盟ipsec在两个端点之间提供安全通信，端点被称为ipsec对等体。
ipsec能够允许系统、网络的用户或管理员控制对等体间安全服务的粒度。
例如，某个组织的安全策略可能规定来自特定子网的数据流应同时使用ah和esp 进行保护，并使用3des （triple data encryption standard，三重数据加密标准）进行加密；另一方面，策略可能规定来自另一个站点的数据流只使用esp保护，并仅使用des加密。
通过sa （security association，安全联盟），ipsec能够对不同的数据流提供不同级别的安全保护。
安全联盟是ipsec的基础，也是ipsec的本质。
sa是通信对等体间对某些要素的约定，例如，使用哪种协议（ah、esp还是两者结合使用）、协议的操作模式（传输模式和隧道模式）、加密算法（des和3des）、特定流中保护数据的共享密钥以及密钥的生存周期等。
安全联盟是单向的，在两个对等体之间的双向通信，最少需要两个安全联盟来分别对两个方向的数据流进行安全保护。
同时，如果希望同时使用ah和esp来保护对等体间的数据流，则分别需要两个sa，一个用于ah，另一个用于esp。
安全联盟由一个三元组来唯一标识，这个三元组包括spi（security parameter index，安全参数索引）、目的ip地址、安全协议号（ah或esp）。
spi是为唯一标识sa而生成的一个32比特的数值，它在ah和esp头中传输。
安全联盟具有生存周期。
生存周期的计算包括两种方式：以时间为限制，每隔指定长度的时间就进行更新；以流量为限制，每传输指定的数据量（字节）就进行更新。
2. 安全联盟的协商方式可以有两种协商方式建立安全联盟，一种是手工方式（manual），一种是ike自动协商（isakmp）方式。
前者配置比较复杂，创建安全联盟所需的全部信息都必须手工配置，而且ipsec的一些高级特性（例如定时更新密钥）不被支持，但优点是可以不依赖ike而单独实现ipsec功能。
而后者则相对比较简单，只需要配置好ike协商安全策略的信息，由ike 自动协商来创建和维护安全联盟。
当与之进行通信的对等体设备数量较少时，或是在小型静态环境中，手工配置安全联盟是可行的。
对于中、大型的动态网络环境中，推荐使用ike协商建立安全联盟3. ipsec协议的操作模式ipsec协议有两种操作模式：传输模式和隧道模式。
sa中指定了协议的操作模式。
在传输模式下，ah或esp被插入到ip头之后但在所有传输层协议之前，或所有其他ipsec 协议之前。
在隧道模式下，ah或esp插在原始ip头之前，另外生成一个新头放到ah或esp之前。
不同安全协议在传输模式和隧道模式下的数据封装形式（传输协议以tcp为例）如下图所示：传输模式隧道模式从安全性来讲，隧道模式优于传输模式。
它可以完全地对原始ip数据报进行验证和加密；此外，可以使用ipsec对等体的ip地址来隐藏客户机的ip地址。
从性能来讲，隧道模式比传输模式占用更多带宽，因为它有一个额外的ip头。
因此，到底使用哪种模式需要在安全性和性能间进行权衡。
4. 验证算法与加密算法(1)验证算法ah和esp都能够对ip报文的完整性进行验证，以判别报文在传输过程中是否被篡改。
验证算法的实现主要是通过杂凑函数，杂凑函数是一种能够接受任意长的消息输入，并产生固定长度输出的算法，该输出称为消息摘要。
ipsec对等体计算摘要，如果两个摘要是相同的，则表示报文是完整未经篡改的。
一般来说ipsec使用两种验证算法：md5：md5通过输入任意长度的消息，产生128bit的消息摘要。
sha-1：sha-1通过输入长度小于2的64次方比特的消息，产生160bit的消息摘要。
sha-1的摘要长于md5，因而是更安全的。
(2)加密算法esp能够对ip报文内容进行加密保护，防止报文内容在传输过程中被窥探。
加密算法实现主要通过对称密钥系统，它使用相同的密钥对数据进行加密和解密。
一般来说ipsec使用两种加密算法：des：使用56bit的密钥对一个64bit的明文块进行加密。
3des：使用三个56bit的des密钥（共168bit密钥）对明文进行加密。
无疑，3des具有更高的安全性，但其加密数据的速度要比des慢得多。
3.1.4 ipsec的nat穿越1. nat穿越（nat traversal）ipsec的一个主要应用是建立vpn，但在实际组网应用中，有一种情况会对部署ipsec vpn 网络造成障碍：如果发起者位于一个私网内部，而它希望在自己与远端响应者之间直接建立一条ipsec隧道；这就涉及到ipsec与nat的配合，主要问题在于，ike在协商过程中如何发现两个端点之间存在nat网关，以及如何使esp报文正常穿越nat网关。