IPSec 讓因特網(wǎng)變得安全

第第頁(yè)IPSec讓因特網(wǎng)變得安全I(xiàn)PSec讓因特網(wǎng)變得安全

發(fā)表于：2023-06-10來源：：點(diǎn)擊數(shù)：標(biāo)簽：安全ipsec

盡管近兩年來IPSec以IP－VPN的名義已被普遍采用，但它實(shí)際上只是1995年為IPv6設(shè)計(jì)的一個(gè)子集。由于IPv6未能普及，人們決定盡量多在IPv4上執(zhí)行，使IPSec成為其中最大的組件之一。IPSec組件IPSec不是一種協(xié)議而是由幾個(gè)組件組成，包括IKE、AH和ESP。有

盡管近兩年來IPSec以IP－VPN的名義已被普遍采用，但它實(shí)際上只是1995年為IPv6設(shè)計(jì)的一個(gè)子集。由于IPv6未能普及，人們決定盡量多在IPv4上執(zhí)行，使IPSec成為其中最大的組件之一。

IPSec組件

IPSec不是一種協(xié)議而是由幾個(gè)組件組成，包括IKE、AH和ESP。有了這些組件，公司就可以放心地與特定用戶共享信息。

IKE是啟動(dòng)IPSec工作的關(guān)鍵組件。它可使兩臺(tái)設(shè)備相互證實(shí)它們的身份，并設(shè)置數(shù)據(jù)傳輸?shù)幕緱l件。IKE執(zhí)行一個(gè)有兩個(gè)步驟的處理過程，在這個(gè)過程中，兩臺(tái)設(shè)備交換“密匙”以證實(shí)各自的身份，然后建立信息傳輸?shù)摹巴ǖ溃╰unnels）”。一旦通道建立，每個(gè)發(fā)送的信息包都將在IP包頭的后面包含AH和/或ESP標(biāo)頭。

AH利用一種驗(yàn)證機(jī)制防止有人竊取其他用戶的身份，啟動(dòng)或繼續(xù)對(duì)話。由于采用了相應(yīng)的運(yùn)算法則，使AH成為了一種低數(shù)據(jù)包開銷、低處理能力需要的強(qiáng)大的實(shí)現(xiàn)用戶驗(yàn)證的手段。

AH的缺點(diǎn)在于內(nèi)容無法加密，仍能使人看到有效載荷。但AH可確保信息包在傳輸過程中不被修改，確保它完全是作為發(fā)送方的一方所發(fā)送的信息包。

ESP一般與IPSec一起使用。由于每個(gè)信息包都經(jīng)過加密和驗(yàn)證，因此即使被竊取或偷聽，也可以防止有人利用這些數(shù)據(jù)。只有已經(jīng)建立通道的指定目標(biāo)設(shè)備，才能獲得解密數(shù)據(jù)的必要密匙。

IPSec測(cè)試

建立通道，驗(yàn)證用戶和加密數(shù)據(jù)可以逆向來影響預(yù)期的網(wǎng)絡(luò)性能水平。因此，在選擇帶有IPSec支持的設(shè)備時(shí)，一定要了解它的可擴(kuò)展性及其性能。

可擴(kuò)展性是一個(gè)廣泛的范疇，涉及設(shè)備支持多少端口、多少連接等方面的能力。就IPSec而言，有兩個(gè)可以進(jìn)行產(chǎn)品比較的類別：速率和容量。

速率涉及建立通道的速度，而容量指可以創(chuàng)建的通道數(shù)量。這兩者都是評(píng)估不同IPSec設(shè)備處理能力的好方法。但由于設(shè)計(jì)的設(shè)置選項(xiàng)非常的復(fù)雜，而相關(guān)的變量都可輕易影響評(píng)估結(jié)果，衡量IPSec產(chǎn)品的容量以支持的通道數(shù)量為評(píng)估基準(zhǔn)。盡管如此，由于評(píng)估結(jié)果取決于每個(gè)通道最初如何建立IKE設(shè)置，容量參數(shù)的比較也可能就像拿蘋果與橘子比較一樣。

性能

多年來，按照RFC1242和2544進(jìn)行延遲和幀丟失性能的測(cè)試已成為評(píng)估網(wǎng)絡(luò)設(shè)備能力的標(biāo)準(zhǔn)方法。這些測(cè)量涉及通過一臺(tái)設(shè)備發(fā)送的非連接的信息包(UDP)，確定該信息包完成傳輸需要多長(zhǎng)時(shí)間以及是否有信息包被發(fā)送到錯(cuò)誤的端口或丟失。

隨著設(shè)備變得更加強(qiáng)大，利用面向連接的(TCP)測(cè)試現(xiàn)已成為標(biāo)準(zhǔn)作法。這些測(cè)試的重點(diǎn)在于測(cè)量傳統(tǒng)的IP層“上層”的性能，即人們熟知的“響應(yīng)時(shí)間”。明確地說，這些面向連接的(TCP/HTTP)測(cè)試將反映當(dāng)用戶在網(wǎng)上沖浪時(shí)被測(cè)設(shè)備所能給予用戶的感受。

TeraVPN解決方案

Spirent通信公司SmartBits部門已開發(fā)出一種專門用于測(cè)試IPSec的解決方案。TeraVPN采用TeraMetrics結(jié)構(gòu)，運(yùn)行Linux操作系統(tǒng)，采用奔騰處理器，做控制層面的測(cè)試，用專用硬件做數(shù)據(jù)層面的測(cè)試。

TeraVPN在本行業(yè)獨(dú)具特色，因?yàn)樗俏ㄒ恢С秩萘亢屯ㄟ^創(chuàng)建通道進(jìn)行面向連接和面向無連接性能測(cè)量的產(chǎn)品。在TeraVPN出現(xiàn)之前，沒有能夠?yàn)樵O(shè)備創(chuàng)建IPSec通道，然后在該通道上產(chǎn)生通信流量的工具。

TeraVPN帶有易于使用的界面，為本行業(yè)提供了確定通道容量和測(cè)