运用安全路由器组网
个大的企业/公司需求把散布在全国的各个分公司或办事处经过广域网联系起来，做到相互之间同享信息资源，因为需求在共用的数据网上传输数据，众所周知在共用的数据网上传输数据信息并不是特别的安全。为了进步所传输的数据的安全性能够考虑运用安全路由器。安全路由器能够躲藏公司内部的网络拓扑结构图，一起还能够加密需求传输的数据，然后做到即便传输的数据在公网上给其它用户阻拦届时，他们也不能经过IP包来获取公司内部的网络IP地址及了解到内部的网络拓扑结构图，经过加密的数据，没有专门的解密东西一般的用户是不或许知道所传输的数据包的内容。运用安全路由器的网络拓扑图如下图所示：
图 运用安全路由器组网
因为安全路由器具有数据加密的功用，局域网上的需求传输的数据在经过安全路由器向外发送时，安全路由器会依据必定的加密算法把数据加密，接收到该数据的对端也要运用相同的算法才能把数据复原。
安全路由器的IPSec的地道形式还具有躲藏内部网络拓扑结构图的功用，安全路由器对一切需求发送的IP包，进行从头封装，在本来的IP包上封装源和意图网关的IP地址；意图路由器对接收到的IP包，先去掉IPSec所添加的IP包头，然后再依据IP包的源和意图地址，把该IP包发送到局域网上的意图主机上。
如上图所示，当局域网A上的用户要给局域网B上的用户发送数据时，首要A用户的IP报文经过出口安全路由器时被从头打包，在本来的IP包上封装源和意图网关的IP地址，封装后的IP报文传送到意图地B端的安全路由器时，可被自动辨认出来，一起IP报文从头被解包，终究传送到B端用户。
IPSec技能介绍
IPSec是一个开放式规范的结构。根据IETF开发的规范，IPSec能够在一个公共IP网络上保证数据通讯的可靠性和完整性。IPSec关于完成通用的安全策略所需求的根据规范的灵敏的解决方案供给了一个必备的要素。
TCP/IP协议簇供给了一个开放式协议渠道，正将越来越多的部分和人员用网络衔接起来，网络正在快速地改动着咱们作业和日子的方法，可是安全性的缺少现已减慢了联网的发展速度。现在网络面对的各种要挟包含保密数据的走漏、完整性的损坏、身份假装和拒绝服务等。
首要是保密数据的走漏。一个罪犯或许会在公网上偷听保密性数据。这个或许是现在相互通讯之间的最大妨碍。没有加密，每个发送的信息或许被一个未被授权的安排所偷听。因为前期协议对安全考虑的匮乏，各种用户验证信息如用户名或口令均以明码在网络上传输。偷听者能够很简略得到用户的帐户信息。
其次是数据完整性的损坏。即便数据不是保密的，还要保证数据完整性。或许你不在乎他人看见你的买卖过程，但你必定介意买卖是否被篡改。假如一旦你能用向银行验证你的身份，你必定想保证买卖自身的内容不会被以某种方法被修正，如存款数额不会被修正。
再次是身份假装。除了维护数据自身以外，你必定还要维护自己的身份。一个聪明的入侵者或许会假造你的有用身份，存取只限于你自己可存取的保密信息。现在许多安全体系依赖于IP地址来仅有地辨认用户。不幸的是，这种体系很简略被诈骗并导致侵入。
另一种要挟是拒绝服务。一旦联网之后，有必要保证体系随时能够作业。在曩昔数年内，进犯者已在TCP/IP协议簇及其详细完成中发现若干缺点，以使他们可形成某些计算机体系溃散。
关于反抗上述要挟保证网络安全并没有一个简略的答案。加密和验证是反抗上述要挟保证的要害服务。很明显，假如数据在传输过程中加密，那么sniffer就不能侦听和篡改。而网络层验证能够避免身份假装和拒绝服务。假如设备能正确辨认数据的来历，那么就很难仿照一个友爱的设备去完成拒绝服务的进犯。
为完成IP网络上的安全，IETF建立了一个Internet安全协议作业组担任IP安全协议和密钥办理机制的拟定。经过几年的尽力，该作业组提出一系列的协议，构成一个安全体系，总称为IP Security Protocol，简称为IPSec。
IPSec首要包含两个安全协议AH（Authentication Header）和ESP（Encapsulating Security Payload）及密钥办理协议IKE（Internet Key Exchange）。AH供给无衔接的完整性、数据建议验证和重放维护。ESP 还可别的供给加密。密钥办理协议IKE 供给安全可靠的算法和密钥洽谈。这些机制均独立于算法，这种模块化的规划答应只改动不同的算法而不影响完成的其它部分。协议的运用与详细加密算法的运用取决于用户和运用程序的安全性要求。
IPSec能够为IP供给根据加密的互操作性强高质量的通讯安全，所支撑的安全服务包含存取操控、无衔接的完整性、数据建议方认证和加密。这些服务在IP上完成，供给IP层或IP层之上的维护。完成网络层的加密和验证能够在网络结构上供给一个端到端的安全解决方案。这样终端体系和运用程序不需求任何改动就能够运用强有力的安全性保证用户的网络内部结构。因为加密报文类似于一般IP报文，因而能够很简略经过恣意IP网络，而无须改动中心的网络设备。只要终端网络设备才需求了解加密，这能够大大减小完成与办理的开支。因为IPSec的完成坐落网络层上，完成IPSec的设备仍可进行正常的IP通讯，这样能够完成设备的长途监控和装备。
