ipsec基本原理

• Ipsec协议不是一个单独的协议，它包括认证头AH（Authentication Header），封装安全载荷ESP（Encapsulating Security Payload），密钥交换协议IKE（Internet Key Exchange）和用于网络认证及加密的一些算法等。其中，AH和ESP协议用于提供安全服务，IKE协议用于提供密钥交换。
• SA[Security Associations]是单向，在两个对等体之间的双向通信，最少需要两个SA来分别对两个方向的数据流进行安全保护。
• IKE提供端与端之间的动态认证，IKE为Ipsec提供自动协商交换密钥、建立SA的服务
• IKE协商建立的SA有两种定义的生命周期：基于时间和基于流量