Протокол IPSec

Назначение IPSec

Узел А

Узел В

IP-пакет

IP-пакет

IP-пакет

Разграничение доступа (фильтрация IP-трафика)
Обеспечение целостности передаваемых

Семейство IPSec

Протокол Authentication Header (AH)

Протокол Encapsulated Security Payload (ESP)

Протокол Internet Key

Протокол АН

Узел А

Узел В

IP-пакет

IP-пакет

IP-пакет

Заголовок
IP

Данные

Заголовок
АН

Протокол АН

Заголовок IP

Заголовок AH

Заголовки вышележащих
уровней и данные

Next Header

Length

Зарезервировано

Security Parameters Index

Протокол АН

Заголовок IP

Заголовок AH

Данные

Заголовок ТСP

Next Header

Payload Len

Зарезервировано

Security Parameters Index (SPI)

Sequence Number

Протокол АН

Next Header

Payload Len

Зарезервировано

Security Parameters Index (SPI)

Sequence Number (SN)

Authentication Data (переменная

Протокол АН

Next Header

Payload Len

Зарезервировано

Security Parameters Index (SPI)

Sequence Number (SN)

Authentication Data (переменная

Протокол АН

Next Header

Payload Len

Зарезервировано

Security Parameters Index (SPI)

Sequence Number (SN)

Authentication Data (переменная

Протокол АН

Next Header

Payload Len

Зарезервировано

Security Parameters Index (SPI)

Sequence Number (SN)

Authentication Data (переменная

Протокол АН

Поле Authentication Data

Заголовок
IP

Заголовки
верхних
уровней

Данные

Заголовок AH

Аутентифицировано

Протокол ESP

Узел А

Узел В

IP-пакет

IP-пакет

IP-пакет

Заголовок
IP

Зашифрованные данные

Заголовок
ESP (часть 1)

Заголовок
ESP (часть 2)

Трейлер
ESP

Данные
аутентификации

Протокол ESP

Заголовок IP

Заголовок
ESP (часть 1)

Заголовки вышележащих
уровней и данные

Security Parametrs

Протокол ESP

Security Parametrs Index (SPI)

Sequence Number (SN)

Данные (переменная длина)

Заполнитель (0-255 байт)

Authentication

Протокол ESP

Security Parametrs Index (SPI)

Sequence Number (SN)

Данные (переменная длина)

Заполнитель (0-255 байт)

Authentication

Протокол ESP

Security Parametrs Index (SPI)

Sequence Number (SN)

Данные (переменная длина)

Заполнитель (0-255 байт)

Authentication

Протокол ESP

Security Parametrs Index (SPI)

Sequence Number (SN)

Данные (переменная длина)

Заполнитель (0-255 байт)

Authentication

Протокол ESP

Security Parametrs Index (SPI)

Sequence Number (SN)

Данные (переменная длина)

Заполнитель (0-255 байт)

Authentication

Протокол ESP

Security Parametrs Index (SPI)

Sequence Number (SN)

Данные (переменная длина)

Заполнитель (0-255 байт)

Authentication

Протокол ESP

Поле Authentication Data

Заголовок
IP

Заголовок
ESP

Заголовки
верхних уровней
и данные

Трейлер
ESP

Аутентифицировано

Протоколы АН и ESP - сравнение

Заголовок
IP

Заголовок
ESP

Заголовки
верхних уровней
и данные

Трейлер

Формирование пакета ESP

Заголовки
верхних уровней
и данные

Заголовок
IP

Формирование пакета ESP

Заголовки
верхних уровней
и данные

Заголовок
IP

Заголовок
ESP

Трейлер
ESP

1. Формирование заголовка

Формирование пакета ESP

Заголовки
верхних уровней
и данные

Заголовок
IP

Заголовок
ESP

Трейлер
ESP

4. Вычисление данных

Режимы работы IPSec

Транспортный режим

Туннельный режим

Заголовок IP

Заголовки
AH или ESP

Заголовки
верхних
уровней

Новый
Заголовок IP

Заголовки
AH или

Схемы применения IPSec

Узел А

Узел В

Схема узел-узел (точка-точка)

Internet/
Intranet

Схемы применения IPSec

Узел А

Узел В

Схема шлюз-шлюз

Internet/
Intranet

Узел А

Смешанная схема

Internet

Intranet

Схемы применения IPSec

Протокол IKE

Согласование алгоритмов шифрования и характеристик ключей, которые будут использоваться

Протокол IKE

Безопасная ассоциация

Security Association (SA)

32-разрядный индекс SPI

IP- адрес узла назначения

идентификатор протокола

Безопасная ассоциация IPSec

Узел А

Узел В

32-разрядный индекс (SPI)

IP- адрес узла назначения

Идентификатор протокола

Безопасная ассоциация IPSec

Узел А

Узел В

Базы данных SA

SAD

SAD

SAD

SAD

Протокол IKE

Установление защищенного соединения
для процедуры обмена (IKE SA)

Согласование параметров SA

Фаза 1

Фаза 2

Начало

Основной режим

Агрессивный режим

Быстрый режим
с PFS

Быстрый режим
без PFS

Обмен

Протокол IKE (фаза 1)

Основной режим установления канала IKE SA

SA

Заголовок

Nonce

Ключ

Sig

[Cert]

ID

SA

Ключ

Nonce

Sig

ID

[Cert]

Инициирующая сторона

Отвечающая сторона

Заголовок

Заголовок

Заголовок

Заголовок

Заголовок

1

3

5

2

4

6

Протокол IKE (фаза 2)

Быстрый режим установления канала IKE SA

Nonce

Ключ

Sig

[Cert]

ID

SA

Ключ

Nonce

Sig

ID

[Cert]

Инициирующая сторона

Отвечающая сторона

Заголовок

Заголовок

Заголовок

SA

1

3

2

Базы данных IPSec

Узел А

Базы данных SAD и SPD

SPD

SPD

SAD

SAD

База данных SPD

Узел А

SPD

SPD

Селектор

Политика

Селектор

Политика

База данных SPD

Узел А

SPD

SPD

Селектор

Политика

Селектор

Политика

IP-пакет может быть:
отброшен
пропущен с применением IPSec

База данных SPD

Узел А

SPD

SPD

Селектор

Политика

Селектор

Политика

Селектор
IP-адрес получателя
IP-адрес отправителя
Протокол (TCP или

Пример работы IPSec

Сеть 1

Сеть 2

Internet/
Intranet

SA1

Отправитель

Получатель

Пример работы IPSec

Сеть 1

Отправитель

Отправка пакета

IP-датаграмма

SPD (исходящая)

Селектор

Политика

Селектор

Политика

Параметры SA1

Параметры SA2

SAD (исходящая)

SA1

Пример работы IPSec

Сеть 2

SA1

Получатель

Получение пакета

Параметры SA1

Параметры SA2

SAD (входящая)

SPD (входящая)

Селектор

Политика

Селектор

Политика