ipsec ----北京国泰网信公司-ipsec ---

ipsec的缺点

在某些情况下，不可以进行直接的端到端通信(即传输模式)。举一个简单示例，其中h1和h2是一个直接隧道上的两个主机，h1使用防火墙称为fw1。

在大型分布式系统或域间环境中，多样化的区域安全策略实施可能会给端到端通信带来---的问题。在上面的示例中，假设fw1需要检查流量内容以进行检测，并且在fw1设置策略以---所有加密流量以---其内容检查要求。

然而，h1和h2构建直接隧道而不了解防火墙及其策略规则的存在。因此，所有流量将被fw1丢弃，该场景显示每个策略满足其相应的要求，而所有策略一起可能导致冲突。

ipsec操作

ipsec中需要两种类型的数据包编码(dpe)：身份验证标头(ah)和封装安全负载(esp)dpe。这些编码为数据提供网络级安全性，ah提供数据包的真实性和完整性，通过密钥散列函数(也称为mac(消息验证代码))可以进行验证，ipsec ---，此还禁止修改，ipsec ---，并可选择提供反重放安全性。

ah可以在多个主机，多个---或多个主机和---之间建立安全性，所有这些都实现了ah ，esp标头提供加密，数据封装和数据---性。通过对称密钥提供数据---性。