安全通信时，则采用隧道模式。北电网络已解决了在ＩＰＳｅｃ隧道上实现安全路由的问题，为ＩＰＳｅｃ ＶＰＮ 的普及打下了坚实的基础。
安全路由技术
所谓的安全路由技术即如何在ＩＰＳｅｃ ＶＰＮ隧道上实现动态路由选择技术。
１．安全路由技术的实现
要在ＩＰＳｅｃ隧道上实现动态路由技术，必需找到两个通信端点的ＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ，如果该ＳＡ不存在，则启动ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ 来为该通信端点建立ＳＡ。一旦该ＳＡ建立，就只允许这两个通信端点相互交流，其余数据均被禁止（除非通过ＩＫＥ建立新的ＳＡ）。
假设ＩＰＳｅｃ ＶＰＮ隧道已建立，并且由ＩＫＥ为动态路由协议（ＯＳＰＦ， ＲＩＰ， Ｅｔｃ． 建立了允许动态路由协议包通过的ＳＡ，ＶＰＮ两端的路由信息通过该ＳＡ互相学取，建立了动态路由表，那么当两端的用户根据该路由信息通信时，又需要通过ＩＫＥ为各自通信的端点重新建立ＳＡ，而如果网络状态有变导致某网段消失，则又需要通过ＩＫＥ删除相关的ＳＡ，工作过程非常复杂，开销太大，不能接受，并且目前ＩＰＳｅｃ规范中没有该标准。有的厂家为了解决该问题，只好把数据额外封装到ＧＲＥ（Ｇｅｎｅｒａｌ Ｒｏｕｔｉｎｇ Ｅｎｃａｐｓｕｌａｔｉｏｎ 隧道页码：[1] [2] [3] [4] [5] [6] [7] [8] 第2页、共8页 |
