什么是IPSec认证与加密?
IPSec认证
IPSec认证包头(AH)是一个用于提供IP数据报完全性和认证的机制。其完全性是保证数据报不被无意的或歹意的方式改变，而认证则验证数据的来源(辨认主机、用户、网络等)。AH本身其实其实不支持任何情势的加密，它不能保证通过Internet发送的数据的可信程度。AH只是在加密的出口、进口或使用遭到当地政府限制的情况下可以提高全国Intenret的安全性。当全部功能实现后，它将通过认证IP包并且减少基于IP欺骗的攻击机率来提供更好的安全服务。AH使用的包头放在标准的IPv4和IPv6包头和下一个高层协议帧(如TCP、UDP、ICMP等)之间。
AH协议通过在全部IP数据报中实行一个消息文摘计算来提供完全性和认证服务。一个消息文摘就是一个特定的单向数据函数，它能够创建数据报的唯一的数字指纹。消息文摘算法的输出结果放到AH包头的认证数据(Authentication_Data)区。消息文摘5算法(MD5)是一个单向数学函数。当利用到分组数据中时，它将全部数据分割成若干个128比特的信息分组。每一个128比特为一组的信息是大分组数据的紧缩或摘要的表示。当以这类方式使用时，MD5只提供数字的完全性服务。一个消息文摘在被发送之前和数据被接收到以后都可以根据一组数据计算出来。如果两次计算出来的文摘值是一样的，那末分组数据在传输进程中就没有被改变。这样就避免了无意或歹意的窜改。在使用HMACMD5认证过的数据交换中，发送者使用之前交换过的密钥来首次计算数据报的64比特分组的MD5文摘。从一系列的16比特中计算出来的文摘值被累加成一个值，然后放到AH包头的认证数据区，随后数据报被发送给接收者。接收者也一定要知道密钥值，以便计算出正确的消息文摘并且将其与接收到的认证消息文摘进行适配。如果计算出的和接收到的文摘值相等，那末数据报在发送进程中就没有被改变，而且可以相信是由只知道秘密密钥的另外一方发送的。
IPSec加密
封包安全协议(ESP)包头提供IP数据报的完全性和可信性服务ESP协议是设计以两种模式工作的：隧道(Tunneling)模式和传输(Transport)模式。二者的区分在于IP数据报的ESP负载部份的内容不同。在隧道模式中，全部IP数据报都在ESP负载中进行封装和加密。当这完成以后，真实的IP源地址和目的地址都可以被隐藏为Internet发送的普通数据。这类模式的一种典型用法就是在防火墙防火墙之间通过虚拟专用网的连接时进行的主机或拓扑隐藏。在传输模式中，只有更高层协议帧(TCP、UDP、ICMP等)被放到加密后的IP数据报的ESP负载部份。在这类模式中，源和目的IP地址和所有的IP包头域都是不加密发送的。
IPSec要求在所有的ESP实现中使用一个通用的缺省算法即DESCBC算法。美国数据加密标准(DES)是一个现在使用得非常普遍的加密算法。它最早是在由美国政府公布的，最初是用于商业利用。到现在所有DES专利的保护期都已到期了，因此全国都有它的不要钱实现。IPSecESP标准要求所有的ESP实现支持密码分组链方式(CBC)的DES作为缺省的算法。DESCBC通过对组成一个完全的IP数据包(隧道模式)或下一个更高的层协议帧(传输模式)的8比特数据分组中加入一个数据函数来工作。DESCBC用8比特一组的加密数据(密文)来代替8比特一组的未加密数据(明文)。一个随机的8比特的初始化向量(IV)被用来加密第一个明文分组，以保证即便在明文信息开头相同时也能保证加密信息的随机性。DESCBC主要是使用一个由通讯各方同享的相同的密钥。正由于如此，它被认为是一个对称的密码算法。接收方只有使用由发送者用来加密数据的密钥才能对加密数据进行解密。因此，DESCBC算法的有效性依赖于秘密密钥的安全，ESP使用的DESCBC的密钥长度是56比特。
