第五章安全協(xié)議技術(shù)-IPSec中的安全關(guān)聯(lián)組合計(jì)算機(jī)系統(tǒng)與網(wǎng)絡(luò)安全技術(shù)安全關(guān)聯(lián)組合單個(gè)安全關(guān)聯(lián)可以實(shí)現(xiàn)AH或ESP協(xié)議但不能兩者都實(shí)現(xiàn)有時(shí)特定的通信量需要同時(shí)調(diào)用AH和ESP服務(wù)此時(shí)需要為相同通信量提供多個(gè)SA安全關(guān)聯(lián)束是指為提供特定IPSec服務(wù)集合所需要的一個(gè)SA序列安全協(xié)議技術(shù)IPSec中的安全關(guān)聯(lián)組合安全關(guān)聯(lián)組合安全關(guān)聯(lián)可以通過兩種方式來組合成束：傳輸鄰接(TransportAdjacency）：指在不使用隧道的情況下，對(duì)一個(gè)IP包使用多個(gè)安全協(xié)議。組合AH和ESP的方法僅允許一級(jí)組合，因?yàn)閷?duì)一個(gè)IPSec實(shí)例進(jìn)行多次嵌套沒有意義隧道迭代（IteratedTunneling）：通過IP隧道應(yīng)用多層安全協(xié)議。由于每個(gè)隧道可以在路徑上的不同IPSec節(jié)點(diǎn)起始和終止，因此該方法允許多層嵌套兩種方法可以組合使用，如在主機(jī)之間使用傳輸SA，而在安全網(wǎng)關(guān)之間使用隧道SA安全協(xié)議技術(shù)IPSec中的安全關(guān)聯(lián)組合SA組合：傳輸鄰接形式主機(jī)1主機(jī)1安全網(wǎng)關(guān)安全網(wǎng)關(guān)InternetSA1（ESP傳輸模式)SA2(AH傳輸模式）內(nèi)部為傳輸模式ESP外部為傳輸模式AHSA1和SA2不能同為AH或ESP：相同嵌套沒有意義安全協(xié)議技術(shù)IPSec中的安全關(guān)聯(lián)組合SA組合：隧道迭代形式兩端SA相同的情況主機(jī)1主機(jī)1安全網(wǎng)關(guān)安全網(wǎng)關(guān)InternetSA1（隧道1)SA2(隧道2）兩端主機(jī)使用相同的多個(gè)SA其中SA1和SA2可以分別是AH或ESPAH和ESP可相互以嵌套但是SA1和SA2不能同時(shí)為AH或ESP安全協(xié)議技術(shù)IPSec中的安全關(guān)聯(lián)組合SA組合：隧道迭代形式一端SA相同的情況（一端為主機(jī)，另外一端為安全網(wǎng)關(guān)＋主機(jī)）主機(jī)1主機(jī)1安全網(wǎng)關(guān)安全網(wǎng)關(guān)InternetSA1（隧道1)SA2(隧道2）內(nèi)部隧道和外部隧道均可以為AH或ESP安全協(xié)議技術(shù)IPSec中的安全關(guān)聯(lián)組合SA組合：隧道迭代形式兩端均不同的情況（兩端均分別為主機(jī)＋網(wǎng)關(guān)）主機(jī)1主機(jī)1安全網(wǎng)關(guān)安全網(wǎng)關(guān)InternetSA1（隧道1)SA2(隧道2）內(nèi)部隧道和外部隧道均可以為AH或ESP安全協(xié)議技術(shù)IPSec中的安全關(guān)聯(lián)組合IPSec列舉了四種基本的組合，所有的IPSec主機(jī)（如工作站，服務(wù)器等）或者安全網(wǎng)關(guān)（如防火墻，路由器等）必須支持這些組合。SA組合時(shí)，一個(gè)重要的問題是認(rèn)證和加密的順序和方法可以先加密或認(rèn)證也可以先認(rèn)證后加密這四種基本組合是：情況1：為實(shí)施IPSec的端系統(tǒng)提供安全機(jī)制情況2：僅在安全網(wǎng)關(guān)之間提供IPSec安全機(jī)制，主機(jī)不實(shí)現(xiàn)IPSec情況3:在安全網(wǎng)關(guān)之間提供IPSec安全機(jī)制，主機(jī)也實(shí)現(xiàn)IPSec情況4：支持遠(yuǎn)程主機(jī)使用互聯(lián)網(wǎng)到達(dá)企業(yè)