RFC2401 IP层协议安全结构

组织：中国互动出版网（http://www.china-pub.com/）
RFC文档中文翻译计划（http://www.china-pub.com/compters/emook/aboutemook.htm）
E-mail：ouyang@china-pub.com
译者：尹欣 袁磊 陈代兵（theredfox   xyin@ccnu.edu.cn）
译文发布时间：2001-4-3
版权：本中文翻译文档版权归中国互动出版网所有。可以用于非商业用途自由转载，但必须保留本文档的翻译及版权信息。

Network Working Group                                            S. Kent
Request for Comments: 2401                                      BBN Corp
Obsoletes: 1825                                              R. Atkinson
Category: Standards Track                                  @Home Network
                                                          November 1998

RFC2401  IP层协议安全结构
(RFC2401 Security Architecture for the Internet Protocol)

本备忘录状态：
This document specifies an Internet standards track protocol for the
   Internet community, and requests discussion and suggestions for
   improvements.  Please refer to the current edition of the \"Internet
   Official Protocol Standards\" (STD 1) for the standardization state
   and status of this protocol.  Distribution of this memo is unlimited.

版权声明

   Copyright (C) The Internet Society (1998).  All Rights Reserved.

目录：
1．介绍 4
1．１文档内容摘要 4
1．2阅读对象 4
1.3 相关文档 5
2设计目标 5
2．１目的／目标／需求／问题描述 5
2．２警告和假设 5
3．系统概况 6
3．１IPsec能做什么 6
3．２IPsec怎样工作 6
3.３IPsec实现方式 7
4．安全连接(SECURITY ASSOCIATION) 7
4．１定义和范围 7
4．２安全连接的功能性 8
4．３安全连接的组合 9
4．４安全连接数据库 10
4．4．1安全策略数据库(SPD) 10
4．4．2选择符 12
4.4.3安全连接数据库（SAD） 14
4．5 安全连接的基本组合 16
4．6 SA和密钥管理 18
4．6．1 手动技术 18
4．6．2 自动SA和密钥管理 18
4．6．3 定位一个安全网关 19
4．7 安全连接和多播 19
5．IP传输处理 20
5．1输出IP传输处理 20
5．1．1选择使用一个SA或者SA束 20
5．1．2隧道模式的头结构 20
5．2 输入IP传输处理 22
5．2．1 选择使用一个SA或者SA束 22
5．2．2 AH和ESP隧道的处理 23
6．ICMP处理（IPSEC相关内容） 23
6．1 PMTU/DF的处理 23
6．1．1 DF 位 23
6．1．2 Path MTU发现 （PMTU） 23
7．审查 25
8．在支持信息流安全的系统中的运用 25
8．1 安全连接与灵敏性数据的关系 26
8．2 灵敏度一致校验 26
8．3 SPD的附加MLS属性 26
9．性能问题 27
10．遵守的要求 27
11．安全考虑 27
12．与RFC1825的不同 28
附录A--词汇表 28
附录B  PMTU/DF/分段问题的分析与讨论 29
B.1 DF 位 29
B.2  分段 30
B.3 Path MTU 发现 32
B.3.1  标识原始（originating）主机 33
B.3.2  PMTU的计算 34
B.3.3  维护PMTU数据的粒度（granularity） 35
B.3.4 PMTU的每个套接口维护 36
B.3.5 通向传输层的PMTU数据的传输 36
B.3.6 PMTU数据的生命期 36
附录C   序列空间窗口代码（SEQUENCE SPACE WINDOW CODE）例子 36
APPENDIX D -- CATEGORIZATION OF ICMP MESSAGES 38
REFERENCES 38
DISCLAIMER 40
AUTHOR INFORMATION 40
版权说明 41

1．介绍
1．１文档内容摘要
本备忘录定义了IPsec适应系统的基本结构。这一结构的目的是为IP层传输提供多种安全服务。它包括IPv4和IPv6两种环境。本文档描述了这种系统的目的，它们的构成和它们如何彼此结合以及如何嵌入IP环境。本文档还描述了IPsec协议提供的安全服务以及如何在IP环境中使用这些服务。本文档不涉及IPsec结构的所有方面。后续文档将涉及额外的具有更多高级特性的的结构细节。例如，在NAT环境下IPsec的使用，对IP多播更完善的支持等等。本文将根据潜在的必须的功能讨论IPsec安全结构的基本构成。额外的RFCs（参看1．3节指向的文档）定义了下面四个方面的协议：
a.安全协议