|
|
|
IPSec是一个工业标准网络安全协议，为IP网络通信提供透明的安全服务，保护TCP/IP通信免遭窃听和篡改，可以有效抵御网络攻击，同时保持易用性。IPSec有两个基本目标，分别是保护IP数据包安全和为抵御网络攻击提供防护措施。IPSec结合密码保护服务、安全协议组和动态密钥管理3者来实现上述两个目标，不仅能为企业局域网与拨号用户、域、网站、远程站点以及Extranet之间的通信提供强有力且灵活的保护，而且还能用来筛选特定数据流。
|
|
|
|
|
|
IPSec基于一种端对端的安全模式。这种模式有一个基本前提假设，就是假定数据通信的传输媒介是不安全的，因此通信数据必须经过加密，而掌握加解密方法的只有数据流的发送端和接收端，两者各自负责相应的数据加解密处理，而网络中其他只负责转发数据的路由器或主机无须支持IPSec。IPSec对数据的加密以数据包而不是整个数据流为单位，这不仅更灵活，也有助于进一步提高IP数据包的安全性。通过提供强有力的加密保护，IPSec可以有效防范网络攻击，保证专用数据在公共网络环境下的安全性。这些特性有助于企业用户在下列方案中成功地配置IPSec：
|
|
|
|
|
|
|
|
（3）与合作伙伴建立Extranet与Intranet的互连。
|
|
|
|
|
|
IPSec是针对IPv4和IPv6的，IPSec的主要特征是可以支持IP级所有流量的加密和／或认证，增强所有分布式应用的安全性。IPSec在IP层提供安全服务，使得系统可以选择所需要的安全协议，确定该服务所用的算法，并提供安全服务所需任何加密密钥。
|
|
|
|
|
|
使用IPSec可以显著地减少或防范以下几种网络攻击。
|
|
|
|
（1）Sniffer：Sniffer可以读取数据包中的任何信息，因此对抗Sniffer，最有效的方法就是对数据进行加密。IPSec的封装安全载荷ESP协议通过对IP包进行加密来保证数据的私密性。
|
|
|
|
（2）数据篡改：IPSec用密钥为每个IP包生成一个数字检查和，该密钥为且仅为数据的发送方和接收方共享。对数据包的任何篡改，都会改变检查和，从而可以让接收方得知包在传输过程中遭到了修改。
|
|
|
|
（3）身份欺骗，盗用口令，应用层攻击：IPSec的身份交换和认证机制不会暴露任何信息，不给攻击者有可趁之机，双向认证在通信系统之间建立信任关系，只有可信赖的系统才能彼此通信。
|
|
|
|
（4）中间人攻击：IPSec结合双向认证和共享密钥，足以抵御中间人攻击。
|
|
|
|
（5）拒绝服务攻击：IPSec使用IP包过滤法，依据IP地址范围、协议、甚至特定的协议端口号来决定哪些数据流需要受到保护，哪些数据流可以被允许通过，哪些需要拦截。
|
|
|
|
|
|
通常IPSec提供的保护需要对系统做一定的修改。但是IPSec在网络层的策略执行几乎不需要什么额外开销就可以实现为绝大多数应用系统、服务和上层协议提供较高级别的保护。为现有的应用系统和操作系统配置IPSec几乎无须做任何修改，安全策略可以在Active Directory（活动目录）里集中定义，也可以在某台主机上进行本地化管理。
|
|
|
|
IPSec策略网络层上实施的安全保护，其范围几乎涵盖了TCP/IP协议簇中所有IP协议和上层协议，甚至包括在网络层发送数据的客户自定义协议。在第三层上提供数据安全保护的主要优点就在于，所有使用IP协议进行数据传输的应用系统和服务都可以使用IPSec，而不必对这些应用系统和服务本身做任何修改。
|
|
|
|
IPSec组策略用于配置IPSec安全服务，这些策略为大多数现有网络中不同类别的数据流提供了各种级别的保护。针对个人用户、工作组、应用系统、域、站点或跨国企业等不同的安全要求，网络安全管理员可以配置多种IPSec策略以分别满足其需求。
|
|
|
