ipsec

拓扑如下 基本的IP配置就不说了，直接写重点，在LS上配置 #配置SA ip xfrm state add src 194.168.10.4 dst 194.168.10.5 proto esp spi 0x00004005 mode tunnel auth md5 0xa87ff679a2f3e71d9181a67b7542122c enc des 0xa2f3e71d9181a67b ip xfrm state add src 194.168.10.5 dst 194.168.10.4 proto esp spi 0x00005004 mode tunnel auth md5 0xa87ff679a2f3e71d9181a67b7542122c enc des 0xa2f3e71d9181a67b #配置SP ip xfrm policy add src 194.168.10.4 dst 194.168.10.5 dir out tmpl src 194.168.10.4 dst 194.168.10.5 proto esp mode tunnel ip xfrm policy add src 194.168.10.5 dst 194.168.10.4 dir in tmpl src 194.168.10.5 dst 194.168.10.4 proto esp mode

（1） IPv4可提供4,294,967,296个地址，IPv6将原来的32位地址空间增大到128位，数目是2的128次方。能够对地球上每平方米提供6×1023个网络地址，在可预见的将来是不会耗尽的。 　　 （2） IPv4 使用地址解析通讯协议 (ARP) ，IPv6使用用多点传播 Neighbor Solicitation 消息取代地址解析通讯协议 (ARP) 。 　　 （3） IPv4 中路由器不能识别用于服务质量的QoS 处理的 payload。IPv6中路由器使用 Flow Label 字段可以识别用于服务质量的 QoS 处理的 payload。 　　 　　 （4） IPv4的回路地址为: 127.0.0.1，IPv6的回路地址为 : 000:0000:0000:0000:0000:0000:0000:0001 可以简写为 ::1。 　　 （5） 在IPv4中，动态主机配置协议（ Dynamic Host ConfigurationProtocol，DHCP）实现了主机IP地址及其相关配置的自动设置。一个DHCP服务器拥有一个IP地址池，主机从DHCP服务器租借IP地址并获得有关的配置信息（如缺省网关、DNS服务器等），由此达到自动设置主机IP地址的目的。IP v6继承了IPv4的这种自动配置服务，并将其称为全状态自动配置（stateful

（1） IPv4可提供4,294,967,296个地址，IPv6将原来的32位地址空间增大到128位，数目是2的128次方。能够对地球上每平方米提供6×1023个网络地址，在可预见的将来是不会耗尽的。 　　 （2） IPv4 使用地址解析通讯协议 (ARP) ，IPv6使用用多点传播 Neighbor Solicitation 消息取代地址解析通讯协议 (ARP) 。 　　 （3） IPv4 中路由器不能识别用于服务质量的QoS 处理的 payload。IPv6中路由器使用 Flow Label 字段可以识别用于服务质量的 QoS 处理的 payload。 　　 　　 （4） IPv4的回路地址为: 127.0.0.1，IPv6的回路地址为 : 000:0000:0000:0000:0000:0000:0000:0001 可以简写为 ::1。 　　 （5） 在IPv4中，动态主机配置协议（ Dynamic Host ConfigurationProtocol，DHCP）实现了主机IP地址及其相关配置的自动设置。一个DHCP服务器拥有一个IP地址池，主机从DHCP服务器租借IP地址并获得有关的配置信息（如缺省网关、DNS服务器等），由此达到自动设置主机IP地址的目的。IP v6继承了IPv4的这种自动配置服务，并将其称为全状态自动配置（stateful

（1） IPv4可提供4,294,967,296个地址，IPv6将原来的32位地址空间增大到128位，数目是2的128次方。能够对地球上每平方米提供6×1023个网络地址，在可预见的将来是不会耗尽的。 　　 （2） IPv4 使用地址解析通讯协议 (ARP) ，IPv6使用用多点传播 Neighbor Solicitation 消息取代地址解析通讯协议 (ARP) 。 　　 （3） IPv4 中路由器不能识别用于服务质量的QoS 处理的 payload。IPv6中路由器使用 Flow Label 字段可以识别用于服务质量的 QoS 处理的 payload。 　　 　　 （4） IPv4的回路地址为: 127.0.0.1，IPv6的回路地址为 : 000:0000:0000:0000:0000:0000:0000:0001 可以简写为 ::1。 　　 （5） 在IPv4中，动态主机配置协议（ Dynamic Host ConfigurationProtocol，DHCP）实现了主机IP地址及其相关配置的自动设置。一个DHCP服务器拥有一个IP地址池，主机从DHCP服务器租借IP地址并获得有关的配置信息（如缺省网关、DNS服务器等），由此达到自动设置主机IP地址的目的。IP v6继承了IPv4的这种自动配置服务，并将其称为全状态自动配置（stateful

1、安全电子邮件 　　安全威胁：垃圾邮件，诈骗邮件，邮件炸弹，电子邮件传播病毒。 　　安全需求：机密性，完整性，身份认证（不能被冒名顶替），抗抵赖性（数字签名）。 　　电子邮件的特性：单向性和非实时性，因此不能使用隧道加密，只能对邮件本身加密。 　　安全电子邮件原理（其中对(数据和数字签名)用对称加密是为了效率） 　　 　 PEM（Privacy Enhanced Mail）标准：保证邮件加密；消息完整性；发送方认证；防止发送方抵赖，使用较少。 　　PGP（Pretty Good Privacy）标准：免费，可用于windows、unix、军方等、安全性能高，应用较多。 　　　　公钥加密算法：RSA、DSS、Diffie-Hellman 　　　　对称加密算法：CAST、3DES、IDEA 　　　　散列算法：MD5、SHA-1 　　　　在上面原理的基础上添加：压缩、Base64编码、分段等。 　　　　 　　　　 PGP秘钥管理： 　　　　　　安装时，产生秘钥对，公钥放在公钥服务器上，私钥是用用户口令进行保护。 　　　　　　PGP公钥认证机制：PGP公钥可以通过可信的Web认证；通过CA认证；可以通过用户自身去添加认证；用户可以为其他公钥认证担保（第三方保证，和传统的CA有区别）。 　　S/MIME（Secure/multipurpose Internet Mail

ROS+L2TP+IPSEC 在WIN7X64,WIN8.1,WIN10,MACBOOK和苹果的IOS10调试L2TP/IPSEC通过 请注意IPSEC，要求客户端IP必须唯一，不可以有重复，那么访问VPN服务器的客户端IP，就不可以多用户同时通过NAT去访问外部的VPN服务器！！！这点要注意，如果想多用户在一个NAT访问VPN服务器，必须先让本地的路由器跟VPN服务器建立GRE隧道，然后访问VPN服务器的客户端，不可以使用NAT或者伪装访问VPN服务器，必须使用静态路由的方式访问，这样在VPN服务器那端，看到客户端的IP就是局域网的真实IP！！！这点非常重要。请注意！ 参考官方文档： http://wiki.mikrotik.com/wiki/Manual:IP/IPsec#Ipsec.2FL2TP_behind_NAT http://www.nasa-security.net/mikrotik/mikrotik-l2tp-with-ipsec/ 1、开启L2TP服务 2、设置IP地址池 3、创建L2TP的模版，L2TP的密钥设置为空，不用设置，加密走IPSEC 4、创建L2TP帐号 5、创建ipsec的加密模版 6、创建IPSEC的连接，注意要把nat traversal打勾，Generate Policy为port override IPSEC的密钥为test456

IPsec 三协议 IKE（Internet Key Exchange） Authentication /确认是真的对等体，而不是攻击者 Diffie-Hellman //密钥算法，确保密钥安全 Group 1（默认）768bit Group 2 1024bit Group 5 1536bit SA //Security Association,一组规则 SA有2类 1.IKE SA(ISAKMP Association ) 保护对象为密钥相关，IKE不直接关心数据，IKE SA为安全协商IPsec SA服务的 2.IPsec SA(IP Security Association) 保护用户数据流的安全 IKE Phase One Authentication，Encryption，Hash，Diffie-Hellman， IKE Phase Two Encryption，Hash，Lifetime，IPsec mode（Tunnel默认和Transport） ESP（Encapsulating Security Protocol） AH（Authentication Header） 来源： https://www.cnblogs.com/miaocongcong/p/11875120.html

5.2和5.4版本飞塔建立IPSec VPN时，必须在两端添加完策略、路由后IPSec才会起来。 来源： https://www.cnblogs.com/xinghen1216/p/11792132.html

Variants of this question exist, but I can't seem to understand something. If you read at the end of the features in ICS / 4.0 , there is mention of Enterprises can also take advantage of a standard VPN client built into the platform that provides access to L2TP and IPSec protocols. My assumption here is that since it's not under the "Developer" section, that we didn't get a developer API access other than the VpnService API. I've looked at ToyVPN and this is just useless, since I need a REAL IPSec IKEv1 XAuth connection to connect to enterprise firewalls. I've found several solutions which