傳輸模式下ESP的裝包與拆包過程.doc

傳輸模式下ESP的裝包與拆包過程一、基本介紹ESP是封裝安全載荷（Encapsulate Security Payload）的英文縮寫. ESP屬于IPSec的一種協(xié)議，ESP提供機密性、數(shù)據(jù)起源驗證、無連接的完整性、抗重播服務(wù)和有限業(yè)務(wù)流機密性。該協(xié)議能夠在數(shù)據(jù)的傳輸過程中對數(shù)據(jù)進行完整性度量，來源認證以及加密，也可以防止回放攻擊。所以ESP協(xié)議相比AH協(xié)議來說功能更加完善。傳輸模式，這是IPsec工作的兩種方式之一。與隧道模式不同，當IPsec工作在傳輸模式時，新的IP頭并不會被生成，而是采用原來的IP頭，保護的也僅僅是真正傳輸?shù)臄?shù)據(jù)，而不是整個IP報文。在處理方法上，原來的IP報文會先被解開，再在數(shù)據(jù)前面加上新的ESP或AH協(xié)議頭，最后再裝回原來的IP頭，即原來的IP包被修改過再傳輸。二、傳輸模式下的ESP包的結(jié)構(gòu)結(jié)構(gòu)如下圖所示二、裝包與拆包過程1、裝包過程：1. 在原IP報文末尾添加尾部（ESP trailer）信息。如上圖所示，尾部包含三部分。由所選加密算法可能是塊加密，那么當最后一塊長度不夠時就需要進行填充（padding），附上填充長度（Pad length）方便解包時順利找出用來填充的那一段數(shù)據(jù)。而Next header則用來標明被加密的數(shù)據(jù)報文的類型，例如TCP。2. 將原IP報文以及第1步得到的ESP尾部作為一個整體進行加密。具體的加密算法與密鑰由SA給出。3. 為第2步得到的加密數(shù)據(jù)添加ESP頭部。如上圖所示，ESP頭由兩部分組成，SPI和序號（Sequence number）。加密數(shù)據(jù)與ESP頭合稱為“enchilada”。4. 附加完整性度量結(jié)果（ICV，Integrity check value）。對第三步得到的“enchilada”做摘要，得到一個完整性度量值，并附在ESP報文的尾部。5. 加上新的IP頭新構(gòu)造的IP頭附在ESP報文的前面組成一個新的IP報文。注意這個新的IP頭的目的地址跟源地址可以不一樣。協(xié)議類型為50，說明它里面裝的是一個IPsec報文。至此，我們成功地將一個IP報文改造成了一個ESP報文，所有原來要傳輸?shù)臄?shù)據(jù)都已經(jīng)被加密并附上了摘要結(jié)果。2、拆包過程1. 接收方收到數(shù)據(jù)報文后，發(fā)現(xiàn)協(xié)議類型是50，故知道這是一個IPsec包。首先查看ESP頭，通過里面的SPI決定數(shù)據(jù)報文所對應(yīng)的SA。2. 計算“enchilada”部分的摘要，與附在末尾的ICV做對比，如果一樣的話說明數(shù)據(jù)是完整的。否則可以斷定所收到的報文已經(jīng)不是原來的報文了。3. 檢查Seq里的順序號，保證數(shù)據(jù)是“新鮮”的。4. 根據(jù)SA所提供的加密算法和密鑰，解密被加密過的數(shù)據(jù)，即“enchilada”。得到原IP報文與ESP尾部（trailer）。5. 根據(jù)ESP尾部里的