3. 系统概览
本节从高层描述 IPsec 如何工作, 系统组件是什么, 以及它们如何配合以提供前述 security service. 该描述的目标是使读者能够 "picture" 整体过程/系统, 理解它如何融入 IP 环境, 并为本文档后续更详细描述各组件的小节提供上下文.
IPsec 实现可在 host 中运行, 可作为 security gateway (SG) 运行, 也可作为独立设备运行, 从而为 IP traffic 提供保护. (security gateway 是实现 IPsec 的中间系统, 例如已启用 IPsec 的 firewall 或 router.) 第 3.3 节会更详细地说明这些实现类别. IPsec 提供的保护基于 Security Policy Database (SPD) 中定义的要求; SPD 由用户或系统管理员建立和维护, 也可以由在二者所建立约束内运行的应用建立和维护. 一般而言, packet 会基于 IP 和 next layer header 信息 ("Selector", 第 4.4.1.1 节) 与 SPD 中的条目匹配, 然后被选择执行三种处理动作之一. 根据 Selector 识别出的适用 SPD policy, 每个 packet 要么使用 IPsec security service 进行 PROTECT, 要么被 DISCARD, 要么允许 BYPASS IPsec protection.