構(gòu)分布在互聯(lián)網(wǎng)的3個(gè)不同的地方，各使用一個(gè)商務(wù)領(lǐng)航網(wǎng)關(guān)相互建立VPN隧道，企業(yè)內(nèi)網(wǎng)（若干PC）之間的數(shù)據(jù)通過(guò)這些網(wǎng)關(guān)建）：）：）：為何AH使用較少呢？因?yàn)锳H無(wú)法提供數(shù)據(jù)加密，所有數(shù)據(jù)在傳輸時(shí)以明文傳輸，而ESP提供數(shù)據(jù)加密；其次AH因?yàn)樘峁?shù)據(jù)來(lái)O安全特性，但是此種方案極其少見。輸模式.隧道模式適用于何種場(chǎng)景的說(shuō)明。1.隧道模式可以適用于任何場(chǎng)景為了使大家有個(gè)更直觀的了解，我們看看下圖，分析一下為何在Site-關(guān)的興趣流匹配條件，發(fā)起方使用傳輸模式進(jìn)行封裝:3.這個(gè)數(shù)據(jù)包發(fā)到互聯(lián)網(wǎng)后，其命運(yùn)注定是杯具的，為什么這么講，就因?yàn)槠淠康牡刂罚?0.1.1.2網(wǎng)并不會(huì)維護(hù)企業(yè)網(wǎng)絡(luò)的路由，所以丟棄的可能性很大。關(guān)，那么我們指望響應(yīng)方網(wǎng)關(guān)進(jìn)行解密工作嗎？憑什么，的確沒什么輸模式的原因。并且提出了使用傳輸模式的充要條件：興趣流必須完全在發(fā)起方、響應(yīng)方IP地址范圍內(nèi)的流量。比如在圖若數(shù)據(jù)包的源.目的IP地址稍有不同，對(duì)不起，請(qǐng)使用隧IPSec除了一些協(xié)議原理外，我們更關(guān)注的是協(xié)議中涉及到方案制是需要消耗資源的保護(hù)措施，并非所有流量都需要的地址、協(xié)議以及源、目的端□號(hào)與提前指定的IPSec興趣流匹配模板如ACL進(jìn)行匹配，如果匹配成功則屬于指定興趣流。指定興趣流只是用于觸發(fā)協(xié)商，至于是否會(huì)被IPSec保護(hù)要看是否匹配協(xié)商興趣流，但是在通常實(shí)施方案過(guò)程中，通常會(huì)設(shè)計(jì)成發(fā)起方指定興會(huì)話協(xié)商的接收方，響應(yīng)方杲被5.SA:發(fā)起方、響應(yīng)方協(xié)商的結(jié)果就是曝光率很高的SA,SA通常是包括密鑰及密鑰生存期、算法、封裝模式、發(fā)起方、響應(yīng)方地址、認(rèn)等協(xié)商過(guò)程，在方案上存在諸多缺陷，如無(wú)法支持發(fā)起方地址動(dòng)態(tài)變化情況下的身份確認(rèn)、密鑰動(dòng)態(tài)更新等。伴隨IPS2.滿足興趣流條件，在轉(zhuǎn)發(fā)接□上檢查SA不存在、過(guò)期或不可用，都會(huì)進(jìn)行協(xié)商，否則使用當(dāng)前SA對(duì)數(shù)據(jù)包進(jìn)行處理。3.協(xié)商的過(guò)程通常分為兩個(gè)階段，第一階段是為第二階段服務(wù)，第二階段是真正的為興趣流服務(wù)的SA,兩個(gè)階段協(xié)商的側(cè)重有所不同，個(gè)指定的安全套件，其最顯著的結(jié)果就是第二階段中的興i流在會(huì)話中是密文。方到響應(yīng)方所用SA和響應(yīng)放到發(fā)起方SA是單獨(dú)協(xié)商的，這樣做的