IPSec协议及其在Windows平台的实现
Windows平台下Snort和IPSec联动实现
文章 编号 ：１０ — ６ ３ ２ １ ） ３ ０ ９ — ４ ０ ７ ２ ８ （０ ２ ０ — ０ ６ ０
Ｉ ｌ ｍｅ ｔ ｔ ｎ ｏ ｏ ｅ ａ ｉｎ ｏ ｏ ｔａ ｄ Ｉ Ｓｅ ｓ ｄ ｏ ｉｄ ｗｓ ｅ ｍｐ ｎａ ｉ ｆＣｏ ｐ ｒ ｔ ｆＳｎ ｒ ｎ Ｐ ｃ Ｂａ ｅ ｎ Ｗ ｎ ｏ ｏ ｏ
Ａｂ ｔ ａ ｔ Ｔ ｅ ｅ ｈ ｖ ｅ ｎ ａ ｆｗ ｔ ｉｓ ｈ ｇ ｌｇ ｔｎ ｔ ｒ ｎ ｒ ｓｏ ｅ ｅ ｔｏ ｙ ｔｍ ｎ Ｗ ｉ ｄ ｗｓ ｐ ａ— ｓ ｒ ｃ ： ｈ ｒ ａ ｅ ｂ ｅ ｅ ｓｕｄｅ ｉｈ ｉｈ ｉ ｇ Ｎｅｗｏ ｋ Ｉ ｔｕ ｉｎ Ｐｒ ｖ ｎ ｉｎ Ｓ ｓｅ ｏ ｎ ｏ ｌｔ ｆ ｒ ，ｗｈｌ ｓ ｍｐ ｅ ｎａ ｉｎ ｏ ｆ ｔｒ ｔ ｅ ｍａ ｉｉｕｓｄ ｔ ｎ ＴＣＰ Ｐ ｅ ｕｒｔ ｈ ｈ ｒ ａ ｔ ｉｅ ｌｓ ｏ ｉ — ｏｍ ｉ ｍｏ ｔｉ ｌ ｍｅ ｔｔｏ ｓ ｔ ｌｅ ｈ ｌ ｏ ａ ａ ｏ ｅ ｉ ｃ ／Ｉ ｒ ｃ ｏ ｔ ｅ ｔ ｉｄ ｐ ｒｙ ｆ ｗａ ｌ ｒ Ｗ ｎ ｒ ｄｏ ｅ ｎ １ ｗｓ ｋ ｒ ｅ ．Ｔｈ ｔ ｏ ｏ ｆｌｅ ｈ ｅ ｅ ａ ｔｎｅｗｏ ｋ ｔａ ｆ ｙ ｃ ｎ ｉｕ ａｉ ｇ Ｉ ｅ ｍｂ ｄ ｅ ｎ Ｗ ｉ ｄ ｗｓ ａ ｔ— ｅ ｍｅｈ ｄ ｔ ｔｒ ｔｅ ｒ ｌｖ ｎ ｔ ｒ ｒ ｆ ｃ ｂ ｏ ｆｇ ｒ ｔｎ ＰＳ ｃ ｅ ｅ ｄ ｄ ｉ ｎ ｏ ｕｏ ｉ ｉ ｍａｉａ ｌ ｅ ｎｄ ｎ ｎ ｅｏ ｓａ ｅｔｂ ｏ ｐ ｒ ｔｏ ｆＳ ｏ ｎ Ｐ ｅ ｓｐ ｅ ｅ ｔｄ ｉ ｈｉ ｐ ｒ ｔｃ ｌ ｗｈ ｎ ｆ ｉ ｇｄａ ｇ ｒ ｕ ｌｒ ｙ ｃ ｏ ｅ ａｉ ｎ ｏ ｎ ｒ ａ ｄ Ｉ Ｓ ｃ ｉ ｒ ｓ ｎ ｅ ｎ ｔ ｓｐａ ｅ ．Ｔｈ ｏ ｐ ｒ ｔｏ ｙ ｉ ｔ ｅ ｃ ｏ ｅ ａｉ ｎ ｐａｔｏ ｅ ｉ ｅ ｎ ｒ ｓ ｔｓｅ ｈ ｅ ｅ ｐ ｒｍｅ ｔｌｒ ｓ ｌ ｈ ｗ ｈａ ｔｃ ｎ ｂ ｏ ｋ ｉ ｖ ｓｖ ａ ｋｅｓｓ ｃ ｅ ｓｕｌ ｒ ｆｒ ｗｒｔ ｎ Ｓ ｏ ｗａ ｅ ｔｄ．Ｔ ｘ ｅ ｉ ｎ ａ ｅ ｕ ｔ ｓ ｏ ｔ ｔｉ ａ ｌｃ ｎ ａ ｉｅ ｐ ｃ ｔ ｕ ｃ ｓｆ ｌ ｔ ｔ ｓ ｙ． Ｋｅ ｒ ｓ： ｎ ｒ ；Ｉ ｅ ｙ ｗｏ ｄ Ｓ ０ ｔ ＰＳ ｃ；ｃ ｏ ｒ ｔ ｎ；Ｉ Ｆｉ ｅ ｏ ｐｅ ａｉ ｏ Ｐ ｌ ｒ ｔ
实验2_IPSec—IP安全协议
实验2 IPSec—IP安全协议伴随着密码学的发展，数字签名技术也得以实现，利用数字签名技术可以保证信息传输过程中的数据完整性以及提供对信息发送者身份的认证和不可抵赖性。
一、实验目的1.了解IPSec主要协议2.理解IPSec工作原理3.Windows环境下能够利用IPSec在两台主机间建立安全隧道二、实验环境Windows，交换网络结构，每组2人，密码工具，网络协议分析器三、实验原理IPSec工作原理IPSec包含4类组件：（1）IPSec进程本身：验证头协议(AH)或封装安全载荷协议(ESP)；（2）Internet密钥交换协议(IKE，Internet Key Exchange)：进行安全参数协商；（3）SADB(SA Database)：用于存储安全关联(SA，Security Association)等安全相关参数；（4）SPD(Security Policy Database，安全策略数据库)：用于存储安全策略。
IPSec的工作原理类似于包过滤防火墙。
IPSec是通过查询安全策略数据库SPD来决定接收到的IP包的处理，但不同于包过滤防火墙的是，IPSec对IP数据包的处理方法除了丢弃、直接转发(绕过IPSec)外，还有进行IPSec的处理。
进行IPSec处理意味着对IP数据包进行加密和认证，保证了在外部网络传输的数据包的机密性、真实性、完整性，使通过Internet进行安全的通信成为可能。
在IETF的标准化下，IPSec的处理流程受到了规范。
1． IPSec流出处理如图2-1，在流出处理过程中，传输层的数据包流进IP层，然后按如下步骤执行：图2-1 IPSec流出处理流程（1）查找合适的安全策略。
从IP包中提取出“选择符”来检索SPD，找到该IP包所对应的流出策略，之后用此策略决定对该IP包如何处理：绕过安全服务以普通方式传输此包或应用安全服务。
（2）查找合适的SA。
根据策略提供的信息，在安全关联数据库中查找为该IP包所应该应用的安全关联SA。
Windows创建和使用IP安全策略（IPSec）
Windows创建和使⽤IP安全策略（IPSec）IPSec 是⼀种开放标准的框架结构，它通过使⽤加密安全服务来确保 IP ⽹络上保密安全的通信。
Windows 的 IPSec 执⾏基于由 Internet ⼯程任务组 (IETF) IPSec ⼯作组开发的标准。
IPsec 可建⽴从源 IP 地址到⽬标 IP 地址的信任和安全。
只有那些必须了解通信是安全的计算机才是发送和接收的计算机。
每台计算机都假定进⾏通信的媒介不安全，因此在各⾃的终端上处理安全性。
IPSec 策略⽤于配置 IPSec 安全服务。
⽀持TCP、UDP、ICMP、EGP等⼤多数通信协议，可为现有⽹络中的通信提供各种级别的保护。
可以根据计算机、域、站点的安全需要来配置策略。
IPSec 策略由常规 IPSec 策略设置和规则组成。
下⾯以命令⾏的⾓度讲述 IPSec 策略的创建和使⽤，⽐较直观。
REM 1.创建策略netsh ipsec static add policy name="某IP策略"REM 2.创建筛选器操作netsh ipsec static add filteraction name="阻⽌" action=blockREM netsh ipsec static add filteraction name="允许" action=permitREM 3.创建筛选列表netsh ipsec static add filterlist name="某筛选列表"REM 4.创建筛选器netsh ipsec static add filter filterlist="某筛选列表" srcaddr=any dstaddr=me dstport=8080 description="8080端⼝访问控制" protocol=TCP mirrored=yesREM 5.创建策略规则netsh ipsec static add rule name="某筛选规则" policy="某IP策略" filterlist="某筛选列表" filteraction="阻⽌"REM 6.激活策略netsh ipsec static set policy name="某IP策略" assign=y如果想继续深⼊了解 IPSec 设置，可以参考微软技术⽂档。
什么是IPSec协议：详解互联网安全的基石(八)
IPSec协议是当今互联网安全的基石，它为数据通信提供了保密性、完整性和认证性等安全保障。
本文将从IPSec的基本概念、工作原理、应用场景以及发展趋势等方面详解IPSec协议，以帮助读者更好地理解和应用这一关键安全技术。
一、IPSec协议的基本概念IPSec，全称为Internet Protocol Security，即互联网协议安全。
它定义了一套用于网络层的安全协议，可以对IP数据包进行加密、认证和数据完整性校验等操作，保障数据在传输过程中的安全性。
二、IPSec协议的工作原理IPSec协议通过封装和加密网络层数据包来保证数据的安全传输。
首先，发送方使用IPSec对数据包进行加密，并在原始IP数据包的基础上增加IPSec头部信息；然后，接收方通过解密和校验IPSec头部信息，还原出原始的IP数据包。
这一过程能够有效地防止数据在传输过程中被窃听、篡改或伪造。
三、IPSec协议的应用场景1. 远程访问VPNIPSec协议被广泛应用于远程访问VPN（Virtual Private Network）场景中。
远程用户使用VPN客户端连接到公司内部网络时，通过IPSec实现对数据的加密和认证，确保用户与内部网络的通信安全可靠。
2. 网络对等连接IPSec可以用于保护网络对等连接，如分支机构之间的连接或者不同云服务提供商之间的连接。
通过在对等连接所经过的网络上应用IPSec协议，可以确保数据在不同网络之间的传输过程中不会受到外界的干扰。
3. 移动通信移动通信领域也是IPSec的重要应用场景。
在移动通信中，IPSec 协议可以应用于移动终端与基站之间的安全通信，如安全的语音通话、短信和数据传输。
四、IPSec协议的发展趋势随着互联网的快速发展和网络攻击手段的日益复杂，IPSec协议也在不断发展和演进。
一些新的技术和改进被引入以增强IPSec的安全性和性能，如IPSec over IPv6、IPSec over UDP、IPSec负载均衡等。
实验七Window7系统中IPSec协议配置及数据包分析
实验七Window7系统中IPSec协议配置及数据包分析实验七Window 7系统中IPSec协议配置及数据包分析一：实验目的本实验主要验证IP通信在建立IPSec传输模式和隧道模式前后的变化，为了简化实验过程，这里只对ICMP进行加密，但在配置的过程中即可发现，其他IP协议要进行同样的加密也是非常简单的。
二：实验环境实验中使用以下软件和硬件设备(1)VMware workstation 15 pro(官网最新版)(2)Windows 7专业版系统和Windows 7 旗舰版系统(3)都装好wireshark2.6.4版本(4)一个交换机(5)两台装有操作系统和sniffer嗅探机的vm虚拟机为了方便称呼win7专业版系统为PC1，win7旗舰版版系统为PC2，从这里开始都以PC1，PC2来称呼代替直到实验的结束，万望注意辨别。
三：实验内容1. 了解IPSec2. 在Windows XP的计算机上配置IPSec VPN原理简介：IPSec在IP层上对数据包进行高强度的安全处理，提供数据源地址验证、无连接数据完整性、数据机密性、抗重播和有限业务流机密性等安全服务。
各种应用程序可以享用IP层提供的安全服务和密钥管理，而不必设计和实现自己的安全机制，因此减少了密钥协商的开销，也降低了产生安全漏洞的可能性。
四：实验步骤一、传输模式的实现1.启动VMware 15，建立两个Windows7系列的虚拟机。
一个为win7专业版系统虚拟机，一个为win7旗舰版系统虚拟机。
图1图2第一次做实验：PC1：192.168.219.130 PC2：192.168.219.131 第二次做实验：PC1：192.168.252.128 PC2：192.168.252.129 注释：本次实验是分成两次所作的，在第一次做实验的时候，因IP策略上的设置错误，导致迟迟未抓到isakmp包，因此第二次做时设置正确后就抓到了，这是本人对该实验的理解不到位所导致的，已深刻检讨。
IPSec使用方法：配置和启用IPSec的步骤详解(九)
IPSec使用方法：配置和启用IPSec的步骤详解IPSec（Internet Protocol Security）是一种网络层协议，用于确保通信数据的安全性和完整性。
通过加密和身份验证机制，IPSec可以保护网络通信免受恶意攻击和数据泄露的影响。
在本文中，我们将详细介绍如何配置和启用IPSec。
第一步：了解IPSec的概念在我们开始配置和启用IPSec之前，有必要了解一些IPSec的基本概念。
IPSec使用两个核心协议：AH（Authentication Header）和ESP（Encapsulating Security Payload）。
AH负责对数据进行身份验证和完整性检查，而ESP则负责将数据进行加密和解密。
此外，IPSec还需要配置密钥管理机制，以确保安全的密钥分发和更新。
第二步：选择IPSec的实现方式IPSec可以在操作系统级别或网络设备级别进行配置和启用。
如果您正在使用Windows操作系统，您可以通过在操作系统设置中启用IPSec功能来配置IPSec。
另外，许多网络设备也提供了IPSec功能的支持，您可以通过设置设备的安全策略和规则来启用IPSec。
第三步：配置IPSec策略配置IPSec策略是启用IPSec的关键步骤之一。
在Windows操作系统中，您可以通过打开“本地安全策略”管理器来配置IPSec策略。
在“本地安全策略”管理器中，您可以定义多个安全规则，并指定何时和如何应用这些规则。
例如，您可以定义一个规则，要求所有从Internet到内部网络的数据包都必须经过IPSec保护。
在网络设备中，配置IPSec策略的方式可能会有所不同。
您可以通过登录设备的管理界面，并导航到相应的安全设置中来配置IPSec策略。
在这些设置中，您可以定义源地址、目标地址、安全协议和密钥等信息，以确保通信数据的安全性。
第四步：配置和管理密钥为了实现安全的通信，IPSec需要使用密钥对数据进行加密和解密。
windows_IPSec
windows IPSec安全1、范例：拒绝某个IP的访问，例如拒绝192.168.1.249这个IP访问，在windows上打开记事本，然后将下面内容复制进去，最后保存为.bat的脚本文件双击运行即可，rem 配置IP安全策略netsh ipsec static add policy name=denynetsh ipsec static add filterlist name=deny_ipnetsh ipsec static add filter filterlist=deny_ip srcaddr=medstaddr=192.168.1.249 protocol=any mirrored=nonetsh ipsec static add filteraction name=denyact action=blocknetsh ipsec static add rule name=kill policy=deny filterlist=deny_ipfilteraction=denyactnetsh ipsec static set policy name=deny assign=y2、范例：拒绝某个IP访问某个端口、拒绝所有UDP协议。
例如拒绝192.168.1.249这个IP访问3389远程端口，并且拒绝所有UDP协议。
在windows上打开记事本，然后将下面内容复制进去，最后保存为.bat的脚本文件双击运行即可，rem 配置IP安全策略netsh ipsec static add policy name=denynetsh ipsec static add filterlist name=deny_portnetsh ipsec static add filter filterlist=deny_port srcaddr=me srcport=3389 dstaddr=192.168.1.249 protocol=TCP mirrored=nonetsh ipsec static add filter filterlist=deny_port srcaddr=me dstaddr=any protocol=UDP mirrored=nonetsh ipsec static add filteraction name=denyact action=blocknetsh ipsec static add rule name=kill policy=deny filterlist=deny_portfilteraction=denyactnetsh ipsec static set policy name=deny assign=y3、删除策略：在dos下面输入“secpol.msc”——IP安全策略——进入相对应的策略表然后删除即可。
ipsecvpn配置方法forwin7
ipsecvpn配置方法forwin7
首先确保电脑连入互联网，然后点击右下角任务栏的网络连接
打开网络和共享中心
点击设置新的连接或网络
点击连接到工作区，下一步
点击创建新连接，下一步
点击使用我的internet连接（vpn）
输入internet地址：117.22.253.202
点击现在不连接；仅进行设置以便稍后连接，下一步。
点击创建
点击关闭。
打开网络和共享中心，
点击更改适配器设置
找到刚刚建立的连接，并右键选择属性
点击安全选项
设置vpn类型为使用IPSEC的第二层隧道协议（L2TP/ipsec）点击高级设置，选择使用预共享的秘钥作身份验证
输入密钥：12345678，点击确定。
设置数据加密为可选加密，并在下面选择允许使用这些协议勾选PAP,CHAP,CHAPV2点击确定。
在任务栏右下角点击网络连接，选择vpn连接2进行连接。
输入域账号及域密码，点击连接。
连接完成后
会出现vpn连接已连接的提示，随即可以使用内网资源使用vpn 完成后请断开vpn连接。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
目录一、IPSEC安全体系结构 (4)1.1 ESP协议 (5)1.2 AH协议 (7)1.3 DOI (9)1.4 IKE ........................................错误！未定义书签。
0二、IPSec运行模式 (12)2.1.1传输模式 (12)2.1.2隧道模式 ..................................错误！未定义书签。
32.2 SA安全模式 .................................错误！未定义书签。
4三、IPSec的实施...................................错误！未定义书签。
43.1在主机实施 ..................................错误！未定义书签。
43.2在路由器中实施 (15)3.3 IPSec的处理流程.............................错误！未定义书签。
6四、Windows中的IPsec配置和使用实现。
...............错误！未定义书签。
74.1 Windows中的IPsec策略.......................错误！未定义书签。
84.2 在Windows上使用内置IPsec策略...............错误！未定义书签。
8五、参考文献 (21)Windows平台中IPSec的设计与实现一、IPSec安全体系结构IPSec（IP Security）是一种由IETF设计的端到端的确保IP层通信安全的机制。
IPSec 协议不是一个单独的协议，它给出了应用于IP层上网络数据安全的一整套体系结构，包括网络认证协议Authentication Header （AH）、封装安全载荷协议Encapsulating Security Payload（ESP）、密钥管理协议Internet Key Exchange （IKE）和用于网络认证及加密的一些算法等。
这些协议用于提供数据认证、数据完整性和加密性三种保护形式。
AH和ESP都可以提供认证服务，但AH提供的认证服务要强于ESP。
而IKE主要是对密钥进行交换管理，对算法、协议和密钥3个方面进行协商。
IPSec 规定了如何在对等层之间选择安全协议、确定安全算法和密钥交换，向上提供了访问控制、数据源认证、数据加密等网络安全服务。
IPSec在IPv6中是必须支持的，而在IPv4中是可选的。
IPSec协议可以为IP网络通信提供透明的安全服务，保护TCP/IP 通信免遭窃听和篡改，保证数据的完整性和机密性，有效抵御网络攻击，同时保持易用性。
IPSec体系结构图：1.1ESP(EncapsulatedSecurityPayload) 协议它提供IP层加密保证和验证数据源以对付网络上的监听。
因为AH虽然可以保护通信免受窜改, 但并不对数据进行变形转换, 数据对于黑客而言仍然是清晰的。
为了有效地保证数据传输安全, 在IPv6 中有另外一个报头ESP,进一步提供数据保密性并防止窜改。
ESP（Encapsulating Security Payload，封装安全载荷）：RFC2406。
ESP 协议除了可以提供无连接的完整性、数据来源验证和抗重放攻击服务之外，还提供数据包加密和数据流加密服务。
与AH相比，ESP验证的数据范围要小一些。
ESP协议规定了所有IPSec系统必须实现的验证算法：HMAC-MD5、HMAC-SHA1、NULL。
ESP的加密采用的是对称密钥加密算法。
不同的IPSec实现，其加密算法也有所不同。
为了保证互操作性，ESP协议规定了所有IPSec系统都必须实现的加密算法：DES-CBC、NULL。
ESP协议规定加密和认证不能同时为NULL。
即加密和认证必须至少选其一。
（1）SPI：32位与目的IP地址、协议一起组成的三元组可以为该IP包唯一地确定一个SA。
（2）序列号（Sequence Number）：32位单调递增的计数器，为每个ESP包赋予一个序号。
通信双方建立SA时，计数器初始化为0。
SA是单向的，每发送一个包，外出SA 的计数器增1；每接收一个包，进入SA的计数器增1。
该字段可以用于抵抗重放攻击。
（3）载荷数据（Payload Data）：变长包含了实际的载荷数据。
不管SA是否需要加密，该字段总是必需的。
如果采用了加密，该部分就是加密后的密文；如果没有加密，该部分就是明文。
如果采用的加密算法需要一个IV（Initial V ector，初始向量），IV 也是在本字段中传输的。
该加密算法的规范必须能够指明IV的长度以及在本字段中的位置。
对于强制实施的DES-CBC来说，IV是该字段当中第一个8位组。
本字段的长度必须是8位的整数倍。
（4）填充（Padding）填充字段包含了填充位。
（5）填充长度（Pad Length）：8位以字节为单位指示了填充字段的长度，其范围为[0，255]。
（6）下一个头（Next Header）：8位指明了封装在载荷中的数据类型，例如6表示TCP数据，4表示IP-in-IP。
（7）验证数据（Authentication Data）：变长只有选择了验证服务时才会有该字段，包含了验证的结果。
1.2AH(AuthenticationHeader) 协议它用来向IP通信提供数据完整性和身份验证,同时可以提供抗重播服务。
在IPv6 中协议采用AH 后, 因为在主机端设置了一个基于算法独立交换的秘密钥匙, 非法潜入的现象可得到有效防止, 秘密钥匙由客户和服务商共同设置。
在传送每个数据包时,IPv6 认证根据这个秘密钥匙和数据包产生一个检验项。
在数据接收端重新运行该检验项并进行比较,从而保证了对数据包来源的确认以及数据包不被非法修改。
用于增强IP层安全，可以提供无连接的数据完整性、数据来源验证和抗重放攻击服务。
AH对IP层的数据使用验证算法MAC，从而对完整性进行保护。
MAC（Message Authentication Codes，报文验证码），即报文摘要，是从HASH算法演变而来，又称为HMAC，如HMAC-MD5、HMAC-SHA1、HMAC-RIPEMD-160。
通过HMAC可以检测出对IP包的头部和载荷的修改，从而保护IP包的内容完整性和来源可靠性。
不同IPSec系统可用的HMAC算法可能不同，但HMAC-MD5和HMAC-SHA1是必须实现的。
（1）下一个头（Next Header）：8位表示紧跟在AH头部的下一个载荷的类型，也就是紧跟在AH头部后面数据的协议。
在传输模式下，该字段是处于保护中的传输层协议的值，比如6（TCP）、17（UDP）或者50（ESP）；在隧道模式下，AH所保护的是整个IP包，该值是4，表示IP-in-IP 协议。
（2）载荷长度（Payload Length）：8位其值是以32位（4字节）为单位的整个AH数据（包括头部和变长的认证数据）的长度再减2。
（3）保留（reserved）：16位作为保留用，实现中应全部设置为0。
（4）SPI（Security Parameter Index，安全参数索引）：32位与源/目的IP地址、IPSec协议一起组成的三元组可以为该IP包惟一地确定一个SA。
[1，255]保留为将来使用，0保留本地的特定实现使用。
因此，可用的SPI值为[256，232- 1]。
（5）序列号（Sequence Number）：32位作为一个单调递增的计数器，为每个AH包赋予一个序号。
当通信双方建立SA时，计数器初始化为0。
SA是单向的，每发送一个包，外出SA的计数器增1；每接收一个包，进入SA的计数器增1。
该字段可以用于抵抗重放攻击。
（6）验证数据（Authentication Data）可变长部分，包含了验证数据，也就是HMAC算法的结果，称为ICV（Integrity Check V alue，完整性校验值）。
该字段必须为32位的整数倍，如果ICV不是32位的整数倍，必须进行填充，用于生成ICV的算法由SA指定。
1.3DOI（Domain of Interpretation）解释域DOI定义IKE所没有定义的协商的内容，DOI为使用IKE 进行协商SA的协议统一分配标识符。
共享一个DOI的协议从一个共同的命名空间中选择安全协议和变换、共享密码以及交换协议的标识符等。
1.4IKE（Internet Key Exchange）IKE协议负责密钥管理，定义了通信实体间进行身份认证、协商加密算法以及生成共享的会话密钥的方法。
IKE将密钥协商的结果保留在安全联盟（SA）中，供AH和ESP 以后通信时使用。
密钥交换（IKE）用于动态建立SA。
IKE属于一种混合型协议，建立在由ISAKMP定义的一个框架之上（RFC2408），实现了两种密钥管理协议的一部分——Oakley和SKEME，还定义了自己的两种密钥交换方式。
ISAKMP只是为协商、修改、删除SA的方法提供了一个通用的框架，并没有定义具体的SA格式。
这个通用的框架是与密钥交换独立的，可以被不同的密钥交换协议使用。
ISAKMP报文可以利用UDP或者TCP，端口都是500，一般情况下常用UDP协议。
ISAKMP报文的头部是固定长度的，包含了维护状态、处理载荷必要的信息。
（1）发起方Cookie（Initiator Cookie）：64位Cookie可以帮助通信双方确认一个ISAKMP报文是否真的来自对方。
在发起方，如果收到的某报文的应答方Cookie字段和以前收到的该字段不同，则丢弃该报文；同样，在应答方，如果收到的某报文的发起方Cookie和以前收到的该字段不同，则丢弃该报文。
这种机制可以防止DOS攻击。
（2）应答方Cookie(Responder Cookie): 64位应答方的Cookie，紧跟在发起方Cookie之后（3）下一个载荷（Next Payload）：4位表示紧跟在ISAKMP头部之后的第一个载荷的类型值。
（4）主版本（Major V ersion）：4位表示ISAKMP协议的主版本号。
（5）次版本（Minor V ersion）：4位表示ISAKMP协议的次版本号。
（6）交换类型（Exchange Type）：8位表示该报文所属的交换类型。
（7）标志（Flags）：8位目前只有后3位有用，其余保留，用0填充。
后3位的含义从最后一位往前依次为：加密位（encryption），0x01。
加密位如果是1，表示ISAKMP头部后面的所有载荷都被加密了；如果是0，表示载荷是明文，没有加密。
提交位（commit），0x02。
用于确保在发送被保护的数据之前完成SA协商。
纯验证位（Authentication Only），0x04。