【文章內(nèi)容簡介】 I C V ( v a r i a b l e ) 圖 1 AH 頭格式 下面對這些字段進行簡要說明。 ? 下一個頭 指明 AH 之后的下一載荷的類型，如可能是 ESP 或是其他傳輸層協(xié)議。 ? 載荷長度 是以 32 位字為單位的 AH 的長度減 2。 AH 實際上是一個 IPv6 擴展頭，按照 RFC2460，它的長度是從 64 位字表示的頭長度中減去一個 64 位字而來，由于 AH 采用 32 位字為單位，因此需要減去兩個 32 位字。 ? 保留 該字段目前置為 0。 ? 安全參數(shù)索引 該字段用于和源或目的地址以及 IPsec 相關(guān)協(xié)議（ AH 或 ESP）共同唯一標識一個數(shù)據(jù)報所屬的數(shù)據(jù)流的安全關(guān)聯(lián)（ SA）。 ? 序列號 該字段包含一個作為單調(diào)增加計數(shù)器的 32 位無符號整數(shù)，它用來防止對數(shù)據(jù)包的重放攻擊。 ? 認證數(shù)據(jù) 這個變長域包含數(shù)據(jù)包的認證數(shù)據(jù)，通過該認證數(shù)據(jù)具體提供數(shù)據(jù)包的完整性保護服務。 AH 協(xié)議的操作模式 AH 協(xié)議可以應用于兩種操作模式；傳輸模式和隧道模式，下圖顯示了AH 協(xié)議的兩種操作模式是如何對原始 IP 數(shù)據(jù)報進行操作的。 IP 頭 傳輸協(xié)議頭 數(shù)據(jù) 原始 IP 包 IP 頭 AH 頭 傳輸協(xié)議頭 數(shù)據(jù) 傳輸模式保護的 IP 包 6 新 IP 頭 AH 頭 原 IP 頭 傳輸協(xié)議頭 數(shù)據(jù) 通道模式保護的 IP 頭 AH 協(xié)議可以應用于兩種操作模式：傳輸模式和隧道模式。 在傳輸模式中，原始的數(shù)據(jù)報 IP 頭為最外層的 IP 頭 ，然后是 AH 協(xié)議頭和原始 IP 數(shù)據(jù)報的有效載荷。整個原始的數(shù)據(jù)報（除了 IP 頭中的可變域）和 AH 協(xié)議頭都進行了驗證，對任何域（除了 IP 頭中的可變域 ） 的任何改變都可以被檢測到 。 但是數(shù)據(jù)報中的所有信息都采用明文傳輸方式 。 在隧道模式中，產(chǎn)生了一個新的 IP 頭作為最終數(shù)據(jù)報的最外層的口頭。后面 依次是 AH 協(xié)議頭和原始的整個數(shù)據(jù)報（ IP 頭和有效載荷 ）。 整個數(shù)據(jù)報被 AH 協(xié)議所保護，對隧道模式數(shù)據(jù)報的任何域（除了新 IP 頭中的可變域）的任何改變都可以被檢測到。同樣，數(shù)據(jù)報以明文方式傳送，不提供任何機密性保護。 AH 協(xié)議可以單獨使 用 ，也可以同 ESP 協(xié)議聯(lián)合使用或進行嵌套使用．通過這些方式， AH 協(xié)議可以在一對通信主機之 間 、一對防火墻之間、主機和防火墻之間實現(xiàn)驗證服務 。 ESP 協(xié)議 ESP 協(xié)議提供數(shù)據(jù)保密、數(shù)據(jù)源認證、無連接完整性、抗重播服務．實際上， ESP 協(xié)議提供和 AH 協(xié)議類似的服務，只是增加了數(shù)據(jù)保密性服務． ESP 協(xié) 議的保密服務通過使用對稱密鑰體制的密碼算法，加密 IP 數(shù)據(jù)報的相關(guān)部分來實現(xiàn) 。 1. ESP 協(xié)議頭模式 ESP 數(shù)據(jù)報由 4 個固定長度的域和 3 個變長的域組成，下圖說明了這些域在 ESP 中的相對位置。 0 7 15 23 31 保留認 證覆蓋范圍 覆蓋 范圍 32 比特安全參數(shù)索引（ SPI） 32 比特序列號 變長載荷數(shù)據(jù) 0255 個填充字節(jié) 填充長度 下一個頭 變長認證數(shù)據(jù) 7 2. ESP 協(xié)議的操作模式 ESP 協(xié)議可以用于兩種操作模式：傳輸模式和隧道模式。下圖顯示了 ESP 協(xié)議的兩種操作模式是如何對原始的 IP 數(shù)據(jù)報進行操作的。 IP 頭 傳輸協(xié)議頭 數(shù)據(jù) 原始 IP 包 IP 頭 ESP 頭 傳輸協(xié)議頭 數(shù)據(jù) ESP 尾部 ESP 認證數(shù)據(jù) 傳輸模式保護的 IP 包 新 IP頭 ESP 頭 原 IP 頭 傳輸協(xié)議頭 數(shù)據(jù) ESP 尾部 ESP 認證數(shù)據(jù) 隧道模式保護的 IP 包 在 ESP 協(xié)議的傳輸模式中，數(shù)據(jù)報的原始 IP頭得以保留．只有原始數(shù)據(jù)報中的有效載荷和 ESP 尾部被加密，而 IP頭即未加密也未被驗證。 因此， 在傳輸?shù)倪^程中 。 外層 IP 頭中的地址信息對于攻擊者來說是可見的 。 在 ESP 協(xié)議的隧道模式中，產(chǎn)生了一個新的 IP 頭．整個原始的數(shù)據(jù)報（包括頭和有效載荷 ） 和 ESP 尾部被加密。因為原始 IP 頭被加密，所以當被傳輸時，其內(nèi)容對于攻擊者來說是不可見的 。 因此， ESP 隧道模式的一個重要的 用途是數(shù)據(jù)報在兩個網(wǎng)關(guān)傳輸時，可以實現(xiàn)將內(nèi)部地址信息隱藏起來的目的。 AH 與 ESP 的比較 AH 協(xié)議和 ESP 協(xié)議都是 IPsec 協(xié)議獨有的網(wǎng)絡層安全協(xié)議，但二者的側(cè)重點不同 ， 下面對兩個協(xié)議加以比較 ： 1. 認證服務 ： AH 協(xié)議和 ESP 協(xié)議都據(jù)供認證服務功能 。 AH 是專門用以提供認證服務的安全協(xié)議 。 認證功能拿常強大； ESP 協(xié)議的認證服務是它的可選項 。 2. 保密服務： AH 協(xié)議不提供保密服務； ESP 協(xié)議主要用于數(shù)據(jù)保密．隧道模式下，由于內(nèi)層的口包被加密，所以隱藏了報文的實際源頭和終點 。 而且， ESP使用的填 充字節(jié)隱藏了報文的實際尺寸，從而更好的隱藏了這個報文的外在特性 。 3．在傳輸模式中， ESP 協(xié)議的驗證功能僅保護原始的口有效載荷，而不保護原始的 IP 報頭： AH 協(xié)議模式既保護原始的 IP 報