IPSec标准 虚拟专用网络的安全基础[1]

    在分布式的计算机网络环境下，虚拟专用网络的出现为网络管理员提供了一种很好的解决方案。在企业的每个站点内，工作站、服务器和数据库等都由一个或多个局域网（LAN）连接起来。这些局域网在网络管理器的控制之下，并可以被设置及调配。Internet及其他公用网可以将这些站点相互连接起来，这样做比使用专用网更经济，同时，管理任务由ISP负责。远距离工作者和移动办公的雇员可以从远程站点登录到所在机构的网络中。

    然而，网络管理员所面临的一个最基本的问题就是网络的安全。使用公用网络会使机构的信息容易被窃取，就相当于给那些未经授权的使用者设置一个“入口”。为了解决这一问题，网络管理员就会选择各种形式的加密和认证。如果采取的是特殊的加密和认证方式，它所提供的安全保障级别则相对较低。而且，没有哪个网络管理者愿意为了与安全兼容而限制工作站、服务器、路由器、防火墙的选择。

    1994年，互联网体系机构理事会（Internet Architecture Board IAB）曾发表了一篇关于《互联网体系结构中的安全问题（RFC 1636）》的报告。报告中陈述了人们对安全的渴望，并阐述了安全机制的关键技术。其中包括保护网络架构免受非法监视及控制、以及保证终端用户之间使用认证和加密技术进行安全交易等。

    后来的事实证明，人们对这一问题的关注是不无道理的。计算机紧急事件响应队（CERT）在1996年的年终报告中列举了影响近11，000个站点的2，500多起安全事件。其中最严重的攻击包括IP哄骗（入侵者伪造假的IP地址，并对基于IP认证的应用程序进行哄骗）和各种的窃听和嗅探网包（攻击者在信息传输过程中非法截取如登录口令或数据库内容一类的敏感信息）。

    IAB为了杜绝这些手段，将认证和加密作为下一代IP（即IPv6）中必不可少的安全特征。这就意味着厂商可以开始提供这些项目的服务了。实际上有一些厂商已经在这样做了。

    现有的应用

    IPSec可以保证局域网、专用或公用的广域网及Internet上信息传输的安全。下面的例子指明了IPSec的用途。

    保证Internet上各分支办公点的安全连接。公司可以借助Internet或公用的广域网搭建安全的虚拟专用网络。这使得公司可以不必耗巨资去建立自己的专用网络，而只需依托Internet即可以获得同样的效果。

    保证Internet上远程访问的安全。在计算机上装有IPSec的终端用户可以通过拨入所在地的ISP的方式获得对公司网络的安全访问权。这一做法降低了流动办公雇员及远距离工作者的长途电话费用

    通过外部网或内部网建立与合作伙伴的联系。IPSec通过认证和钥匙交换机制确保企业与其它组织的信息往来的安全性与机密性。

    提高了电子商务的安全性。尽管在电子商务的许多应用中已嵌入了一些安全协议，IPSec的使用仍可以使其安全级别在原有的基础上更进一步，因为所有由网络管理员指定的通信都是经过加密和认证的。

    IPSec的主要特征在于它可以对所有IP级的通信进行加密和认证，正是这一点才使IPSec可以确保包括远程登录、客户/服务器、电子邮件、文件传输及Web访问在内多种应用程序的安全。

    IPSec的优点

    如果在路由器或防火墙上执行了IPSec，它就会为周边的通信提供强有力的安全保障。一个公司或工作组内部的通信将不涉及与安全相关的费用。下文叙述了IPSec的一些优点：

    IPSec在传输层之下，对于应用程序来说是透明的。当在路由器或防火墙上安装IPSec时，无需更改用户或服务器系统中的软件设置。即使在终端系统中执行IPSec，应用程序一类的上层软件也不会被影响。

    IPSec对终端用户来说是透明的，因此不必对用户进行安全机制的培训。

    如果需要的话，IPSec可以为个体用户提供安全保障，这样做就可以保护企业内部的敏感信息。

    IPSec正向Internet靠拢。已经有一些机构部分或全部执行了IPSec。IAB的前任总裁Christian Huitema认为，关于如何保证Internet安全的讨论是他所见过的最激烈的讨论之一。讨论的话题之一就是安全是否在恰当的协议层上被使用。想要提供IP级的安全，IPSec必须成为配置在所有相关平台（包括Windows NT，Unix和Macintosh系统）的网络代码中的一部分。

    实际上，现在发行的许多Internet应用软件中已包含了安全特征。例如，Netscape Navigator和Microsoft Internet Explorer支持保护互联网通信的安全套层协议（SSL），还有一部分产品支持保护Internet上信用卡交易的安全电子交易协议（SET）。然而，VPN需要的是网络级的功能，这也正是IPSec所提供的。