RFC2406-IP 封装安全有效载荷 (ESP)

RFC2406-IP 封装安全有效载荷 (ESP)

组织：中国互动出版网（/）
RFC文档中文翻译计划（/compters/emook/aboutemook.htm）
E-mail：ouyang@
译者：sword（sword zxl1025@）
译文发布时间：2001-5-11
版权：本中文翻译文档版权归中国互动出版网所有。可以用于非商业用途自由转载，但必须保留
本文档的翻译及版权信息。


Network Working Group S. Kent
Request for Comments: 2406 BBN Corp
Obsoletes: 1827 R. Atkinson
Category: Standards Track @Home Network
November 1998

IP 封装安全有效载荷 (ESP)
(RFC 2406 IP Encapsulating Security Payload (ESP))

本文档状态：

This document specifies an Internet standards track protocol for the
Internet community, and requests discussion and suggestions for
improvements. Please refer to the current edition of the "Internet
Official Protocol Standards" (STD 1) for the standardization state
and status of this protocol. Distribution of this memo is unlimited.

版权声明

Copyright (C) The Internet Society (1998). All Rights Reserved.

目录列表

1. 介绍..................................................2
2. 封装安全有效载荷分组格式..................3
2.1 安全参数索引................................4
2.2 序列号 .........................................4
2.3 有效载荷数据.............................................5
2.4 填充（供加密使用）.................................5
2.5 填充长度...............................................7
2.6 下一个头..............................................7
2.7 验证数据......................................7
3. 封装安全协议处理....................7
3.1 ESP头定位......................................7
3.2 算法..............................................10
3.2.1 加密算法..............................10
3.2.2 验证算法..........................10
3.3 出站分组处理..............................10
3.3.1 SA查找........................11
3.3.2 分组加密..................................11
3.3.3 序列号产生.........................12
3.3.4 完整性校验值计算..................12
3.3.5 分片......................................13
3.4 入站分组处理...............................13
3.4.1 重组.............................
............13
3.4.2 SA查找........................13
3.4.3 序列号确认.......................14
3.4.4 完整性校验值确认.................15

3.4.5 分组解密.

RFC2406-IP 封装安全有效载荷 (ESP)

.................................16
4. 审核.....................................................17
5. 一致性要求.....................................18
6. 安全考虑事项......................................18
7. 与 RFC 1827的不同....................................18
致谢................................................19
参考书目......................................................19
Disclaimer......................................................20
作者信息..............................................21
版权声明........................................22

1. 介绍

封装安全有效载荷头在IPv4和IPv6中提供一种混合的安全服务。ESP可以单独应用，与IP
验证头(AH)结合使用，或者采用嵌套形式，例如，隧道模式的应用(参看 "Security Architecture for
the Internet Protocol" [KA97a]，下面使用“安全架构文档”代替)。安全服务可以在一对通信主机
之间，一对通信的安全网关之间，或者一个安全网关和一台主机之间实现。在各种网络环境中如
何使用ESP和AH的详细细节，参看安全架构文档。

ESP头可以插在IP头之后、上层协议头之前(传送模式)，或者在封装的IP头之前(隧道模式)。
下面将详细介绍这些模式。

ESP提供机密性、数据源验证、无连接的完整性、抗重播服务(一种部分序列完整性的形式)
和有限信息流机密性。提供的这组服务由SA建立时选择的选项和实现的位置来决定，机密性的
选择与所有其他服务相独立。但是，确保机密性而不保证完整性/验证(在ESP或者单独在AH中)
可能使信息易受到某种活动的、破坏机密性服务的攻击(参看[Bel96])。数据源验证和无连接的完
整性(下面统一称作“验证”引用它们)是相互关联的服务，它们作为一个选项与机密性(可选择的)
结合提供给用户。只有选择数据源验证时才可以选择抗重播服务，由接收方单独决定抗重播服务
的选择。（尽管默认要求发送方增加抗重播服务使用的序列号，但只有当接收方检查序列号，服
务才是有效的。）信息流机密性要求选择隧道模式，如果在安全网关上实现信息流机密性是最有
效的，这里信息聚集能够掩饰真正的源-目的模式。注意尽管机密性和验证是可选的，但它们中
必须至少选择一个。

假定读者熟悉安全架构文档中描述的术语和概念。特别是，读者应该熟悉ESP和AH提供的
安全服务的定义，SA定义，ESP可以和验证（AH）头结合使用的方式，以及ESP和AH使用

的不同密钥管理选项。（至于最后一项，ESP和AH要求的当前密钥管理选项是通过IKE进行的
手工建立密钥和自动建立密钥[HC98]。）

关键字MUST, MUST NOT, REQUIRED, SHALL, SHALL NOT, SHOULD,SHOULD NOT,
REC

RFC2406-IP 封装安全有效载荷 (ESP)

OMMENDED, MAY,和OPTIONAL, 当它们出现在本文档时，由RFC2119中的描述解释它
们的含义[Bra97]。

2. 封装安全有效载荷分组格式

ESP头紧紧跟在协议头（IPv4，IPv6，或者扩展）之后，协议头的协议字段（IPv4）将是50，
或者协议的下一个头(IPv6，扩展)字段[STD-2]值是50。


0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ ------
| 安全参数索引 (SPI) | ^Auth.
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ |Cov-
| 序列号 | |erage …… 此处隐藏：3357字，全部文档内容请下载后查看。喜欢就下载吧 ……