云南龙网

  1. 首页 > 云知道 > >

ESP IP 封装安全有效载荷( 七 )

云知道


须在它重组一个分组之后完成这两件事情 。
3.4.2SA查找
收到一个（已重组的）包含ESP头的分组时 ， 根据目的IP地址、安全协议（ESP）和SPI ，
接收方确定适当的（不定向的）SA 。（这个过程更具体的细节在安全架构文档中描述）SA指出
序列号字段是否被校验 ， 验证数据字段是否存在 ， 它将指定解密和ICV计算（假如适用）使用
的算法和密钥 。
假如本次会话没有有效的SA存在（例如接收方没有密钥） ， 接收方必须丢弃分组；这是可审
核事件 。该事件的核查日志表项应该包含SPI的值、接收的日期/时间、源地址、目的地址、序
列号和（IPv6）明文信息流ID 。
3.4.3序列号确认
所有ESP实现必须支持抗重播服务 ， 虽然可以由接收方根据每个SA激活或者禁止它的使用 。
假如SA的验证服务没有激活 ， 这项服务不答应激活 。因为否则序列号字段没有进行完整性保护 。
（当多个发送方控制流量到单个SA（不论目的地址是单播、广播或者组播）时 ， 注重没有治理
这多个发送方之间传输的序列号值的措施 。因此抗重播服务不应该用在多个发送方使用唯一SA
的环境中）
假如接收方不激活SA的抗重播服务 ， 将不对序列号进行入站检查 。但是从发送方观点来看 ，
默认的是假定接收方激活抗重播服务 。为了避免接收方做不必要的序列号监视和SA建立（参看
3.3.3） ， 假如使用SA建立协议 ， 例如IKE ， 在SA建立期间 ， 假如接收方不提供抗重播保护 ， 则
接收方应该通告发送方 。
假如接收方已经为这个SA激活了抗重播服务 ， SA接收分组计数器在SA建立时 ， 必须初始
化为0 。对于每个接收的分组 ， 接收方必须确认分组包含序列号 ， 并且序列号在这个SA生命期
中不重复任何已接收的其它分组的序列号 。这应该是分组与某个SA匹配之后 ， 对该分组进行的
第一个ESP检验 ， 加快重复分组拒绝 。
通过采用滑动接收窗口拒绝分组重复 。（窗口如何实现是本地事情 ， 但是下面内容描述了实现
必须展现的功能）必须支持32位的最小窗口大小；但是首选64位窗口大小 ， 且应该是默认使用
的 。其他窗口大小（大于最小窗口）由接收方选择 。（接收方不会通告发送方窗口大小 。）
窗口“右”边界代表该SA接收的最高的有效序列号值 。对于序列号小于窗口“左”边界的
分组被拒绝 。落入窗口内的分组依靠窗口内已接收分组列表进行检验 。以使用位掩码为基础 ， 实
现这种检验的有效手段在安全架构文档中描述 。
假如接收的分组落入窗口内且是新的 ， 或者假如分组在窗口的右边 ， 那么接收方进行ICV确
认 。假如ICV有效性失败 ， 接收方必须把已接收的IP数据报作为非法而丢弃；这是可审核事件 。
该事件审核日志表项应该包括SPI值、接收的日期/时间、源地址、目的地址、序列号和（IPv6
中）信息流ID 。只有ICV确认成功时 ， 接收方窗口才更新 。
讨论：
注重假如分组既在窗口内且是新的 ， 或者在窗口外边的“右边” ， 接收方必须在更新序列
号窗口数据之前验证分组 。
3.4.4完整性校验值确认IntegrityCheckValueVerification
假如选择验证 ， 接收方采用指定的验证算法对ESP分组计算ICV但不包含验证数据字段 ， 确
认它与分组验证数据字段中包含的ICV相同 。计算细节下面提供 。
假如计算得来的与接收的ICV匹配 ， 那么数据报有效 ， 可以被接收 。假如测试失败 ， 接收方
必须作为非法而将接收的IP数据报丢弃；这是可审核事件 。日志数据应该包括SPI值、接收的

推荐阅读


上一篇：美发店名字 美发店名字大气

下一篇：遇见APP预防骚扰设置