跳到主要内容

8. 一致性要求

本节概述 IPsec 实现的一致性要求。实现必须（MUST）同时支持 IPv4 和 IPv6。

8.1. 安全策略数据库（SPD）​

所有 IPsec 实现都必须（MUST）拥有 SPD。SPD 必须（MUST）支持以下内容：

  • 第 4.4.1.1 节定义的所有选择器
  • 传输模式和隧道模式 SA
  • PROTECT、BYPASS 和 DISCARD 处理动作
  • 用于处理重叠选择器的有序策略条目

8.2. 安全关联数据库（SAD）​

所有 IPsec 实现都必须（MUST）拥有 SAD。SAD 必须（MUST）包含第 4.4.2.1 节规定的所有数据项，包括：

  • 安全参数索引（SPI）
  • 序列号计数器和防重放窗口
  • AH 和/或 ESP 算法参数
  • SA 生存期
  • IPsec 协议模式（隧道或传输）

8.3. 对等端授权数据库（PAD）​

所有 IPsec 实现都必须（MUST）拥有 PAD。PAD 必须（MUST）支持：

  • 通过 X.509 证书进行认证
  • 通过预共享密钥进行认证
  • 第 4.4.3.1 节定义的所有 ID 类型
  • 对子 SA 创建的约束

8.4. AH 和 ESP 支持​

  • 所有 IPsec 实现都必须（MUST）支持 ESP
  • 所有 IPsec 实现都应该（SHOULD）支持 AH
  • ESP 必须（MUST）支持空（NULL）加密，并必须（MUST）支持加密算法
  • ESP 必须（MUST）支持完整性保护
  • AH 必须（MUST）支持使用强制算法的完整性保护

8.5. 隧道与传输模式​

  • 所有 IPsec 实现都必须（MUST）同时支持隧道模式和传输模式
  • 安全网关必须（MUST）支持隧道模式
  • 原生主机实现必须（MUST）支持传输模式

8.6. 密钥管理​

所有 IPsec 实现都必须（MUST）同时支持：

  • 手动密钥管理
  • 自动密钥管理（IKEv2 是默认值）

8.7. 流量选择器​

所有实现都必须（MUST）支持第 4.4.1.1 节定义的完整选择器集合：

  • 源和目的 IP 地址（IPv4 和 IPv6）
  • 下一层协议
  • 源和目的端口（用于适用协议）
  • ICMP 消息类型和代码
  • 移动头类型（IPv6）
  • 名称（用于符号化 SPD 查找）
最后于 更新