石油管理局網(wǎng)絡(luò)對(duì)應(yīng)用系統(tǒng)的支持規(guī)范-資料下載頁
2025-04-12 08:07本頁面
【正文】 角度講，當(dāng)兩個(gè)節(jié)點(diǎn)需要通過多個(gè)鏈路時(shí)，鏈路之間會(huì)出現(xiàn)明文；進(jìn)一步，多種鏈路設(shè)備的管理和配置參數(shù)的一致性和集中管理會(huì)存在一定難度。因此，鏈路加密設(shè)備最適合于通過單一類型網(wǎng)絡(luò)構(gòu)成安全的VPN。 基于Ipsec的網(wǎng)絡(luò)加密 概念這里所說的網(wǎng)絡(luò)加密是指運(yùn)行在OSI參考模型的第三層或TCP/IP模型的IP層上的密碼技術(shù)。就目前廣泛采用的互聯(lián)網(wǎng)技術(shù)而言，幾乎所有公共通信基礎(chǔ)設(shè)施和服務(wù)供應(yīng)商都支持TCP/IP有關(guān)協(xié)議標(biāo)準(zhǔn)。針對(duì)IP層的密碼技術(shù)運(yùn)用，國際上普遍采用事實(shí)上的工業(yè)標(biāo)準(zhǔn)——基于Ipsec機(jī)制的隧道模式。當(dāng)其設(shè)計(jì)網(wǎng)絡(luò)保護(hù)而不是主機(jī)保護(hù)時(shí)，均采用基于Ipsec的ESP（封裝安全載荷）隧道模式。這種工作模式采用ESP模式在網(wǎng)關(guān)處對(duì)原IP包或其它協(xié)議數(shù)據(jù)包進(jìn)行加密封裝后再附上ESP安全相關(guān)報(bào)頭，然后以網(wǎng)關(guān)的IP地址作為新的源地址通過公共網(wǎng)絡(luò)送到接收端網(wǎng)關(guān)。接收端網(wǎng)關(guān)收到該IP包后，利用ESP安全相關(guān)信息進(jìn)行解密還原處理后將數(shù)據(jù)包遞交給目的地。很顯然，由于這里采用了與網(wǎng)絡(luò)接口層無關(guān)的IP協(xié)議，因此通過支持IP協(xié)議的多個(gè)互聯(lián)網(wǎng)網(wǎng)關(guān)時(shí)，只需按路由遞交即可，而無需與密碼技術(shù)相關(guān)的其它轉(zhuǎn)換。 功能基于Ipsec的網(wǎng)絡(luò)加密具有如下功能：216。 網(wǎng)絡(luò)層加密設(shè)備具有一對(duì)N的通信能力，因此一個(gè)加密設(shè)備可與多個(gè)加密設(shè)備互連；216。 由于加密設(shè)備處于網(wǎng)關(guān)的位置，因此可以利用訪問控制策略對(duì)明/密文傳輸要求進(jìn)行判決，從而使一些子網(wǎng)或站點(diǎn)信息通過加密隧道傳輸，而另一些內(nèi)部子網(wǎng)絡(luò)或站點(diǎn)信息不通過加密隧道傳輸，以提高網(wǎng)絡(luò)傳輸效率并避免濫用密碼技術(shù)；216。 基于Ipsec的密碼設(shè)備，可通過公共網(wǎng)絡(luò)方便的構(gòu)建管理信息的安全通道，以實(shí)現(xiàn)密鑰分發(fā)、管理以及審計(jì)信息傳輸?shù)木W(wǎng)絡(luò)化自動(dòng)過程；216。 網(wǎng)絡(luò)化管理為密碼設(shè)備的統(tǒng)一配置提供了基本條件，因此為垂直分層次的樹性結(jié)構(gòu)大中型內(nèi)連網(wǎng)提供了集中管理、分布式策略控制的網(wǎng)絡(luò)平臺(tái)設(shè)備；216。 基于Ipsec網(wǎng)關(guān)間的加密隧道模式與網(wǎng)絡(luò)接口層無關(guān)，因此兩個(gè)被保護(hù)網(wǎng)絡(luò)之間的網(wǎng)絡(luò)只需支持IP網(wǎng)絡(luò)互連協(xié)議標(biāo)準(zhǔn)，無需其他設(shè)備；此外，這類密碼設(shè)備還可以綜合防火墻的其他功能，由此構(gòu)成的網(wǎng)絡(luò)平臺(tái)機(jī)構(gòu)具有多重安全性。綜上所述，基于IP層的密碼設(shè)備是通過公共網(wǎng)絡(luò)構(gòu)建安全VPN的理想技術(shù)之一。6生效日期5 /
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1