Differenza tra IPSEC SA e CHILD SA

5

Consideriamo due entità di rete.

            Linux1 (eth0)=============IPSEC=============Linux2(eth0)
            192.168.1.1                                192.168.1.2 

L'IPSEC Tunnel è V4 su V4. Quando ho impostato questo tunnel tramite IKE Strongswan, quando faccio "ipsec statusall" , mostra una connessione tra Inner Ip.

In questa configurazione 1) Penso che ci sia solo 1 tunnel. Sono confuso su cosa sia IPSEC SA e CHILD SA. Penso che i pacchetti da Linux1 a Linux2 saranno ESP incapsulati (se viene scelto) e si suppone che i pacchetti attraversino il tunnel IPSEC. 2) Supponiamo che ci sia rekeying , qual è la differenza tra ikelifetime e ipseclifetime Grazie

    
posta kishore . 15.04.2015 - 17:31
fonte

1 risposta

4

Probabilmente questo dovrebbe essere spostato su security stackexchange, ma non perché è specifico per un determinato prodotto di sicurezza, ma è specifico per uno specifico protocollo di sicurezza.

Tuttavia, cercherò comunque di rispondere alle domande.

Prima di iniziare, devo spiegare come IKE e IPSec lavorano insieme. Non è come TLS (dove c'è un set di chiavi logiche che protegge tutto); invece (usando la lingua delle RFC), ci sono 3 associazioni di sicurezza all'interno di questo tunnel:

  • Si dispone di una IKE SA, che viene utilizzata per proteggere il traffico di negoziazione tra Linux1 e Linux2 (come la negoziazione di informazioni sul traffico).
  • Hai un IPSec SA che viene utilizzato per proteggere il traffico dati da Linux1 a Linux2
  • Hai un IPSec SA che viene utilizzato per proteggere il traffico dati da Linux2 a Linux1

Ora, per le tue domande:

What is a CHILD SA?

A Child SA è qualsiasi SA negoziata tramite IKE SA. Una IKE SA può essere utilizzata per negoziare le SA per proteggere il traffico (IPSec SA), oppure può essere utilizzata per creare un'altra IKE SA. Nel contesto in cui lo stai vedendo, è molto probabilmente un sinonimo per le SA IPSec.

What is the difference between ikelifetime and ipseclifetime

No SA è eterno; hanno tutti una data di scadenza; e quando ciò scade, se ne vanno (e si spera che anche le SA sostitutive vengano negoziate, a meno che non si sia effettivamente fatto con il tunnel). ikelifetime sarebbe la vita della IKE SA; ipseclifetime sarebbe la durata delle SA IPSec.

    
risposta data 15.04.2015 - 19:40
fonte

Leggi altre domande sui tag