统各组件间的交互。两个数据库联合使用。对于发送方，每个SPD的元组都有指针指向相关的SAD的元组。如果一个SPD的元组没有指向适合发送包的SA，那么将会创建新的SA或SA束，并将SPD的元组和新的SA元组链接起来。对于接收方，通过包头信息包含的IP目的地址、IP安全协议类型(AH或ESP)和SPI(安全参数索引)在SAD中查找对应的SA。SA中其他字段为序列号、序列号溢出标志、Anti-replay窗口、AH认证算法和密钥、ESP加密算法和密钥及初始化矩阵、ESP认证算法及密钥等等。
因特网密钥交换(IKE)是IPsec最为重要的部分，在用IPsec保护一个IP包之前，必须先建立一个SA，IKE用于动态建立SA。IKE代表IPsec对SA进行协商，并对SAD数据库进行填充。RFC2409所描述的IKE是一个混合型的协议，它建立在由Internet安全联盟和密钥管理协议(ISAKMP)定义的一个框架上，见RFC2408。IKE使用了两个阶段的ISAKMP。第一阶段建立IKE安全联盟，第二阶段利用这个既定的安全联盟，为IPsec协商具体的安全联盟。
IPsec进程本身就是用来实现整个IPsec的守护进程，用户可以通过和这个进程打交道来管理自己的安全策略，实现适合自己需要的网络安全。当然，每个开发组织的源代码不一样，用户管理的界面和方式就不一样页码：[1] [2] [3] [4] [5] [6] [7] 第3页、共7页 |
