【文章內(nèi)容簡介】 I C V ( v a r i a b l e ) 圖 1 AH 頭格式 下面對(duì)這些字段進(jìn)行簡要說明。 ? 下一個(gè)頭 指明 AH 之后的下一載荷的類型，如可能是 ESP 或是其他傳輸層協(xié)議。 ? 載荷長度 是以 32 位字為單位的 AH 的長度減 2。 AH 實(shí)際上是一個(gè) IPv6 擴(kuò)展頭，按照 RFC2460，它的長度是從 64 位字表示的頭長度中減去一個(gè) 64 位字而來，由于 AH 采用 32 位字為單位，因此需要減去兩個(gè) 32 位字。 ? 保留 該字段目前置為 0。 ? 安全參數(shù)索引 該字段用于和源或目的地址以及 IPsec 相關(guān)協(xié)議（ AH 或 ESP）共同唯一標(biāo)識(shí)一個(gè)數(shù)據(jù)報(bào)所屬的數(shù)據(jù)流的安全關(guān)聯(lián)（ SA）。 ? 序列號(hào) 該字段包含一個(gè)作為單調(diào)增加計(jì)數(shù)器的 32 位無符號(hào)整數(shù)，它用來防止對(duì)數(shù)據(jù)包的重放攻擊。 ? 認(rèn)證數(shù)據(jù) 這個(gè)變長域包含數(shù)據(jù)包的認(rèn)證數(shù)據(jù)，通過該認(rèn)證數(shù)據(jù)具體提供數(shù)據(jù)包的完整性保護(hù)服務(wù)。 AH 協(xié)議的操作模式 AH 協(xié)議可以應(yīng)用于兩種操作模式；傳輸模式和隧道模式，下圖顯示了AH 協(xié)議的兩種操作模式是如何對(duì)原始 IP 數(shù)據(jù)報(bào)進(jìn)行操作的。 IP 頭 傳輸協(xié)議頭 數(shù)據(jù) 原始 IP 包 IP 頭 AH 頭 傳輸協(xié)議頭 數(shù)據(jù) 傳輸模式保護(hù)的 IP 包 6 新 IP 頭 AH 頭 原 IP 頭 傳輸協(xié)議頭 數(shù)據(jù) 通道模式保護(hù)的 IP 頭 AH 協(xié)議可以應(yīng)用于兩種操作模式：傳輸模式和隧道模式。 在傳輸模式中，原始的數(shù)據(jù)報(bào) IP 頭為最外層的 IP 頭 ，然后是 AH 協(xié)議頭和原始 IP 數(shù)據(jù)報(bào)的有效載荷。整個(gè)原始的數(shù)據(jù)報(bào)（除了 IP 頭中的可變域）和 AH 協(xié)議頭都進(jìn)行了驗(yàn)證，對(duì)任何域（除了 IP 頭中的可變域 ） 的任何改變都可以被檢測(cè)到 。 但是數(shù)據(jù)報(bào)中的所有信息都采用明文傳輸方式 。 在隧道模式中，產(chǎn)生了一個(gè)新的 IP 頭作為最終數(shù)據(jù)報(bào)的最外層的口頭。后面 依次是 AH 協(xié)議頭和原始的整個(gè)數(shù)據(jù)報(bào)（ IP 頭和有效載荷 ）。 整個(gè)數(shù)據(jù)報(bào)被 AH 協(xié)議所保護(hù)，對(duì)隧道模式數(shù)據(jù)報(bào)的任何域（除了新 IP 頭中的可變域）的任何改變都可以被檢測(cè)到。同樣，數(shù)據(jù)報(bào)以明文方式傳送，不提供任何機(jī)密性保護(hù)。 AH 協(xié)議可以單獨(dú)使 用 ，也可以同 ESP 協(xié)議聯(lián)合使用或進(jìn)行嵌套使用．通過這些方式， AH 協(xié)議可以在一對(duì)通信主機(jī)之 間 、一對(duì)防火墻之間、主機(jī)和防火墻之間實(shí)現(xiàn)驗(yàn)證服務(wù) 。 ESP 協(xié)議 ESP 協(xié)議提供數(shù)據(jù)保密、數(shù)據(jù)源認(rèn)證、無連接完整性、抗重播服務(wù)．實(shí)際上， ESP 協(xié)議提供和 AH 協(xié)議類似的服務(wù)，只是增加了數(shù)據(jù)保密性服務(wù)． ESP 協(xié) 議的保密服務(wù)通過使用對(duì)稱密鑰體制的密碼算法，加密 IP 數(shù)據(jù)報(bào)的相關(guān)部分來實(shí)現(xiàn) 。 1. ESP 協(xié)議頭模式 ESP 數(shù)據(jù)報(bào)由 4 個(gè)固定長度的域和 3 個(gè)變長的域組成，下圖說明了這些域在 ESP 中的相對(duì)位置。 0 7 15 23 31 保留認(rèn) 證覆蓋范圍 覆蓋 范圍 32 比特安全參數(shù)索引（ SPI） 32 比特序列號(hào) 變長載荷數(shù)據(jù) 0255 個(gè)填充字節(jié) 填充長度 下一個(gè)頭 變長認(rèn)證數(shù)據(jù) 7 2. ESP 協(xié)議的操作模式 ESP 協(xié)議可以用于兩種操作模式：傳輸模式和隧道模式。下圖顯示了 ESP 協(xié)議的兩種操作模式是如何對(duì)原始的 IP 數(shù)據(jù)報(bào)進(jìn)行操作的。 IP 頭 傳輸協(xié)議頭 數(shù)據(jù) 原始 IP 包 IP 頭 ESP 頭 傳輸協(xié)議頭 數(shù)據(jù) ESP 尾部 ESP 認(rèn)證數(shù)據(jù) 傳輸模式保護(hù)的 IP 包 新 IP頭 ESP 頭 原 IP 頭 傳輸協(xié)議頭 數(shù)據(jù) ESP 尾部 ESP 認(rèn)證數(shù)據(jù) 隧道模式保護(hù)的 IP 包 在 ESP 協(xié)議的傳輸模式中，數(shù)據(jù)報(bào)的原始 IP頭得以保留．只有原始數(shù)據(jù)報(bào)中的有效載荷和 ESP 尾部被加密，而 IP頭即未加密也未被驗(yàn)證。 因此， 在傳輸?shù)倪^程中 。 外層 IP 頭中的地址信息對(duì)于攻擊者來說是可見的 。 在 ESP 協(xié)議的隧道模式中，產(chǎn)生了一個(gè)新的 IP 頭．整個(gè)原始的數(shù)據(jù)報(bào)（包括頭和有效載荷 ） 和 ESP 尾部被加密。因?yàn)樵?IP 頭被加密，所以當(dāng)被傳輸時(shí)，其內(nèi)容對(duì)于攻擊者來說是不可見的 。 因此， ESP 隧道模式的一個(gè)重要的 用途是數(shù)據(jù)報(bào)在兩個(gè)網(wǎng)關(guān)傳輸時(shí)，可以實(shí)現(xiàn)將內(nèi)部地址信息隱藏起來的目的。 AH 與 ESP 的比較 AH 協(xié)議和 ESP 協(xié)議都是 IPsec 協(xié)議獨(dú)有的網(wǎng)絡(luò)層安全協(xié)議，但二者的側(cè)重點(diǎn)不同 ， 下面對(duì)兩個(gè)協(xié)議加以比較 ： 1. 認(rèn)證服務(wù) ： AH 協(xié)議和 ESP 協(xié)議都據(jù)供認(rèn)證服務(wù)功能 。 AH 是專門用以提供認(rèn)證服務(wù)的安全協(xié)議 。 認(rèn)證功能拿常強(qiáng)大； ESP 協(xié)議的認(rèn)證服務(wù)是它的可選項(xiàng) 。 2. 保密服務(wù)： AH 協(xié)議不提供保密服務(wù)； ESP 協(xié)議主要用于數(shù)據(jù)保密．隧道模式下，由于內(nèi)層的口包被加密，所以隱藏了報(bào)文的實(shí)際源頭和終點(diǎn) 。 而且， ESP使用的填 充字節(jié)隱藏了報(bào)文的實(shí)際尺寸，從而更好的隱藏了這個(gè)報(bào)文的外在特性 。 3．在傳輸模式中， ESP 協(xié)議的驗(yàn)證功能僅保護(hù)原始的口有效載荷，而不保護(hù)原始的 IP 報(bào)頭： AH 協(xié)議模式既保護(hù)原始的 IP 報(bào)