OSG9第12章 安全通信与网络攻击-上

第12章 安全通信与网络攻击-上，CISSP（Certification for Information System Security Professional）即信息系统安全专业认证，这一证书代表国际信息系统安全从业人员的权威认证

第十二章 安全通信与网络攻击-上

• 12.1 协议安全机制
  • TCP/IP(Transmission Control Protocol/Internet Protocol, 传输控制协议／互联网协议）是互联网及大多数网络中使用的主要协议族
  • 12.1.1 身份认证协议
    • 点对点协议(Point-to-Point Protocol, PPP)：是一种封装协议，旨在支持通过拨号或点对点链路传输 IP 流量。 PPP 是数据链路层协议，允许支持串行链路的 WAN 设备的多供应商互操作
    • PPP 是 RFC 1661 中记录的互联网标准。它取代了串行线路网间协议(SLIP) 。
    • SLIP不供身份认证，只支持半双工通信，没有错误检测功能，并且需要手动建立和拆卸链路
    • PPP支待自动连接配置、错误检测、全双工通信和身份认证选项
    • 用于身份认证的 PPP 选项
      • PAP(Password Authentication Protocol, 密码身份认证协议）： PAP 使用明文传输用户名与密码
      • CHAP (Challenge Handshake Authentication Protocol, 征询/握手身份认证协议）： CHAP采用无法重放的挑战－应答对话进行验证。挑战是服务器发出的随机数，客户端使用该随机数和密码哈希来计算单向函数产生的响应，基于MD5不安全
      • EAP(Extensible Authentication Protocol, 可扩展身份认证协议）： EAP 是一种身份认证框架不是真实的协议，EAP 支持可定制的身份认证安全解决方案，如智能卡、令牌和生物身份认证。 EAP 最初用于物理隔离通道，因此采用安全通道。一些 EAP 方案使用加密，但另一些不使用。目前人们定义了 40 多种 EAP 方案，包括 LEAP、 PEAP、 EAP-SIM、 EAP-FAST、EAP-MD5、 EAP-POTP、 EAP-TLS 和 EAP-TTLS 。
    • IEEE 802.1X 定义了封装 EAP 的使用，以支待 LAN 连接的广泛身份认证选项。基于端口的网络访问控制
    • 802.IX 不是一种无线技术（即 IEEE 802.11)——它是一种认证技术，可以在需要认证的任何地方使用，包括 WAP、防火墙、路由器、交换机、代理、 VPN 网关和远程访问服务器(RAS)／网络访间服务器(NAS) 。
    • 802.lX 容易受到中间人(MlTM)攻击（也称为路径攻击）和劫持攻击
  • 12.1.2 端口安全
    • IT 中的端口安全意味着几件事。它可以表示对所有连接点的物理控制，如 RJ-45 墙壁插孔或设备端口（如交换机、路由器或配线架上的端口），以使未经授权的用户或设备无法尝试连接到开放端口
    • 端口安全的另一个含义是管理 TCP 和 UDP 端口
    • 为了确保端口安全性，在允许通过端口或跨端口通信之前，还需要对端口进行身份认证。IEEE 802.1X
  • 12.1.3 服务质量
    • 服务质量(Quality of Service，QoS)是对网络通信效率和性能的监督和管理。要测虽的项目包括吞吐量、比特率、数据包丢失、延迟、抖动、传输延迟和可用性
• 12.2 语音通信的安全
  • 电讯：是向组织提供电话服务的方法的集合，或组织使用电话服务进行语音和／或数据通信的机制的集合
  • 电讯包括公共交换电话网(PSTN)（又名普通老式电话服务，或POTS)、专用交换机(PBX)、移动／蜂窝服务（参见第 9 章）
  • 12.2.1 公共交换电话网
    • PBX 和 PSTN 语音通信易受到拦截、窃听、 tapping 及其他破解技术的攻击，要通过物理安全来保护语音通信的安全
  • 12.2.2 VOIP
    • VOIP(Voice over Internet Protocol, 网络电话）:是一种将语音封装在 IP 包中的技术，该技术支持在 TCP/IP 网络中打电话。
    • VOIP 也是许多结合音频、视频、聊天、文件交换、白板和应用程序协作的多媒体消息服务的基础。
    • 可以使用安全实时传输协议(SRTP)来提供加密
    • 攻击包括所有标准网络攻击，如中间人／路径攻击、劫持、域欺骗和拒绝服务(DoS) 。此外，还存在着对语音钓鱼、电话飞客、欺骗和滥用的担忧
    • VOIP通信的保护
      • 使用强密码和双因素身份认证。
      • 记录通话日志并检查是否有异常活动。
      • 阻止国际电话。
      • 将VOIP外包给受信任的 Saas
      • 更新VOIP 设备固件。
      • 限制对VOIP 相关网络设备的物理访问。
      • 就VOIP安全最佳实践培训用户。
      • 通过阻止不存在或无效的原始号码，防止 IP 电话上的幽灵呼叫。
      • 部署带有VOIP评估功能的 NIPS
  • 12.2.3 语音钓鱼和电话飞客
    • 心怀恶意的个人能通过“社会工程”来攻击语音通信。社会工程能让陌生的、不可信的 或未授权的个人获取组织内部人员的信任，进而获取访问信息或系统的权限
    • 被称为电话飞客(pbreaker) 的恶意攻击者滥用电话系统的方式与攻击者滥用计算机网络 的方式大致相同(“ph” 代表“电话”)
    • 防止语音钓鱼的方法
      • 要一直对任何看起来奇怪的、来历不明的或意外的语音通信倍加小心。
      • 在继续进行涉及敏感、个人、财务或机密信息的通话之前，要一直进行身份认证。
      • 对于所有单一语音请求的网络变更行为，要进行“回叫“授权。
      • 对信息（用户名、密码、 IP 地址、经理姓名、拨入号码等）进行分级，并渚楚地标识出可通过语音通信讨论或确认的信息。
      • 如果有人通过电话索要特权信息，而且此人应该知道此种行为是违反公司安全策略你应询问此人请求信息的原因，并再次检验他的身份，还应将此种活动报告给安全管理员
      • 严禁通过单一语音通信交出或更改密码
      • 阻止与语音钓鱼关联的号码。
      • 要假设显示的来电 ID 是有效的。应该利用来电 ID 标示你不想和谁说话，而不是确认谁在打电话。
  • 12.2.4 PBX 欺骗与滥用
    • 另一种语音通信威胁是专用交换机(private branch exchange, PBX)：欺骗与滥用。专用交换 机是一种部署在私人组织中的电话交换系统，用于支持多台电话使用少量外部 PSTN 线路，不安全
    • PBX 可以允许办公室中的 150 部电话共享 20 条租用的 PSTN 线路的访问权
    • 许多 PBX 系统受到恶意攻击，攻击目的是逃避电话费用或隐藏身份。
    • PBX 安全方案
      • 考虑用信任卡或呼叫卡系统来替代通过 PBX 进行的远程访问或长距离呼叫。
      • 只向工作中需要该类业务的合法用户提供拨入及拨出的功能
      • 如果仍然使用拨入调制解调器，应使用未公布的电话号码，号码的前缀区号要与现在使用的不同
      • 保护 PBX 的管理员接口
      • 阻止或停用任何未分配的访问码或账户。
      • 制订切实可行的用户策略，并教用户如何正确使用系统。
      • 记录并审计 PBX 上的所有活动，并通过审计踪迹发现安全及使用上的违规行为。
      • 用维护调制解调器（即厂商用于远程管理、更新、调试产品的远程访问调制解调器）和I 或任何形式的远程管理访问
      • 更改默认配置，尤其是密码及有关管理或特权特点的功能。
      • 阻止远程呼叫。
      • 用供应商服务提供商更新来保持系统的更新。
      • 采用 DISA(direct inward system access ，直接拨入系统访问）技术，减少外部实体对 PBX的欺骗
    • 要保证对所有 PBX 连接中心、电话门户以及配线间进行物理访问控制，以防外部攻击者的直接入侵
• 12.3 远程访问安全管理
  • 远程访问可能采取下列形式：
    • 在互联网上通过VPN 接入网络。
    • 连接到 WAP（本地环境将其视为远程访问）。
    • 通过瘦客户端连接接入终端服务器系统、大型机、虚拟私有云(VPC)端点、虚拟桌面接口或虚拟移动接口。
    • 用远程桌面服务，如 Microsoft 的 Remote Desktop 、 TeamViewer、 GoToMyPC、LogMeIn、 CitrixWorkspac-e 或邓C，按入位丁办公区的个人计绊扒。
    • 使用基于云的桌面解决方案，如 Amazon Workspace、 Amazon AppStream、 V2 Cloud和 Microsoft Azure
    • 使用调制解调器直接拨入远程访问服务器
    • 前 3 个例子使用完整的客户机。建立的连接就像直接接入局域网(LAN) 。后 3 个例子中，所有计算活动都发生在连接的中央系统中，而不是在远程客户端上
  • 12.3.1 远程访问与远程办公技术
    • 特定服务:特定服务类型的远程访问，为用户提供远程接入和使用单一服务（如邮件）的功能
    • 远程控制 ：远程控制类型的远程访问使远程用户能够完全控制物理上相距遥远的系统。
    • 远程节点操作 ：远程节点操作只是远程客户端与 LAN 建立直接连接时的另一个名称，例如使用无线、 VPN 或拨号连接
    • 抓屏／录屏： 这个术语应用在两个不同场合
  • 12.3.2 远程连接安全
    • 远程访问保护措施
      • 远程用户应该经过严格的身份认证才能获得访问权限
      • 只有那些工作中需要远程访问的特定用户，才有权建立远程连接。
      • 所有远程通信都要防止被拦截和窃听
    • 远程连接可能带来几个潜在的安全问题
      • 任何具备远桯连接的人员，如果企图破坏组织的安全，物理安全的防护效果会降低。
      • 远程办公人员可能使用不安全或低安全的远程系统来访问敏感数据，这样会给数据带来巨大的丢失、破坏与泄露风险。
      • 远程系统可能遭受恶意代码攻击，并可能成为恶意代码传入专用网络的载体。
      • 远程系统可能在物理上不够安全，因而也存在被非法实体滥用或偷窃的风险。
      • 远程系统可能难以进行故障定位，尤其是出现有关远程连接的问题时
      • 远程系统可能难以升级或打补丁，原因在于其较少的连接或较慢的连接速度
  • 12.3.3 规划远程访问安全策略
    • 远程连接技术：每种连接都有其独特的安全问题。要对所选连接的各个方面进行全面的 检查。
    • 传输保护 ：有几种形式的加密协议、加密连接系统以及加密网络服务或应用
    • 身份认证保护： 除了要保护数据流量，还要确保所有登录凭证的安全
    • 远程用户助手：远程访问用户有时可能需要技术上的协助。
    • 必须在安全策略中明确的是，未授权的调制解调器不能接入专用网络的任何系统
• 12.4 多媒体协作
  • 多媒体协作就是使用多种支持多媒体的通信方法，以加强远距离的合作（身处不同地方的 人参与同一个项目）。
  • 12.4.1 远程会议
    • 任何支持不同用户之间进行通信、交换数据、协作完成材料／数据I文档以及其他合作的服务，都可被视为远程会议技术服务
    • 数字合作、虚拟会议、视频会议、软件或应用合作、共享白板服务、虚拟培训方案等
    • 安全性的问题
      • 服务是否使用了强身份认证技术？
      • 通信是否采用了开放协议或加密通道？
      • 加密是从端点到中心服务器，还是端到端？
      • 是否允许真正删除会议内容？
      • 否对用户活动进行审计与日志记录？
      • 未经授权的实体能否参加私人会议？
      • 与会者能否通过语音、图像、视频或文件共享插入会议？
      • 平台是否将广告／垃圾邮件集成到界面中，是否可以禁用？
      • 使用了什么跟踪机制？可以禁用跟踪吗？收集的数据是用于什么的？
      • 会议被记录下来了吗？谁有权接触这些记录？它们可以被导出和分发吗？
  • 12.4.2 即时通信和聊天（Instant Messaging，IM）
    • IM(instant messaging, 即时通信，实时消息或聊天）：是一种实时通信工具，能为互联网上任何地方的两个或更多用户提供基于文字的聊天功能。
• 12.5 负载均衡
  • 负载均衡的目的是获得更优化的基础设施利用率，最小化响应时间，最大化吞吐量，减少过载和消除瓶颈。负载均衡器用于在多个网络链路或网络设备上分散或分配网络流星负载。
  • 常见的负载均衡调度技术
  • 12.5.1 虚拟 IP 和负载持久性
    • 虚拟 IP 地址有时用于负载均衡；客户端可以感知 IP 地址，甚至可以将其分配给域名， 但该 IP 地址实际上并没有被分配给物理机器
    • 与负载均衡相关的待久性也被称为一致性。持久性被定义为：当客户端和负载均衡集群 的成员之间建立会话时，来自同一客户端的后续通信将被发送到同一服务器，从而支持通信的持久性或一致性。
  • 12.5.2 主动－主动与主动－被动
    • 主动－主动(active-active)：系统是一种负载均衡形式，在正常操作期间使用所有的可用路径或系统。如果一个或多个通路发生故障，剩余的活动通路必须支持之前由通路处理的所有负载
    • 主动－被动(active-passive)系统：是另一种负载均衡形式，它在正常操作期间使某些路径或系统处于未使用的休眠状态。如果其中一个主动元素出现故障，则被动元素将联机并接管故障元素的工作负载
• 12.6 管理电子邮件安全
  • 邮件服务器，使用 SMTP(Simple Mail Transfer Protocol, 简单邮件传输协议， TCP25 端口）接收来自客户的邮件
  • 客户端使用 POP3(Post Office Protocol version 3, TCP 110 端口）或 IMAP(Internet Message Access Protocol, V4, TCP 143 端口）从邮件服务器的收件箱中查收邮件
  • 公司邮件的另一个选择是 SaaS 邮件解决方案。云邮件或托管邮件的实例有 Gmail（谷歌Workspace)及 Outlook/Exchange Online 。
  • 12.6.1 电子邮件安全目标
    • 消息只有收件人可以访问（即隐私与保密性）。
    • 维护消息的完整性。
    • 身份认证和验证消息源。
    • 提供不可否认性。
    • 验证消息的传递。
    • 消息或附件中的敏感内容进行分级。
  • 12.6.2 理解电子邮件安全问题
    • 邮件是较常见的传播病毒、蠕虫、特洛伊木马、文档宏病毒及其他恶意代码的途径。
    • 邮件很少进行本地源验证，假冒邮件地址对于黑客新手来说也不是难事。
    • 拒绝服务(DoS)攻击
    • 类似的 DoS 问题被称为邮件风暴。如果一封邮件的收件人(To:）和抄送人(CC:)行中有大量其他收件人，那么当某人使用“回复全部”(Reply All)进行回应时，则会发生邮件风暴。
    • 与邮件洪水及恶意代码附件类似，垃圾邮件也被视为一种攻击。发送无用的、不合适的或无关的邮件的行为被称为垃圾邮件(spamming)攻击
  • 12.6.3 电子邮件安全解决方案
    • 邮件安全
      • 安全／多用途互联网邮件扩展(Secure Multipurpose Internet Mail Extensions, S/MIME)：是一种邮件安全标准，通过公钥加密、数字信封及数据签名为邮件提供身份认证和保密性保护
      • MOSS
      • 良好隐私(Pretty Good Privacy, PGP) ：PGP 是一种基于点对点对称密钥的邮件系统，使用大量的加密算法加密文件及邮件消息
      • PEM
      • 域名关键字标识邮件(Domain Keys Identified Mail, DKIM)： DKlM 通过验证域名标识确定来自组织的邮件是否有效
      • 发件人策略框架(Sender Policy Framework, SPF) ：组织可通过为 SMTP 服务器配置 SPF来防止垃圾邮件及邮件欺骗
      • 域消息身份认证报告和一致性(Domain Message Authentication Reporting and Conformance, DMARC) ： DMARC 是一个基于 DNS 的电子邮件身份认证系统。防止商业电子邮件泄露（BEC）、网络钓鱼和其它电子邮件欺诈行为
      • STARTTLS ： 现在大量组织都在通过TLS 使用安全 SMTP; STARTTLS（又名显式 TLS 或 SMTP 的投机 TLS)将尝试在支持 TLS 的情况下与目标电子邮件服务器建立加密连接。 STARTTLS 不是一个协议，而是一个 SMTP 命令
      • 隐式 SMTPS 它是 SMTP 的 TLS 加密形式，假定目标服务器支持 TLS，如果不支持，因为明文不被接受，连接将终止。 SMTPS 通信使用 TCP 465
    • 通过在网络邮件网关系统上拦截附件，能消除来自恶意附件的威胁
    • 未知邮件可能制造麻烦，带来安全风险并浪费系统资源
    • 还可通过邮件信誉过滤器来管理未知邮件。多种服务维护了一套邮件服务的分级系统， 该系统用于确定哪些是标准／正常的通信，以及哪些是垃圾邮件
• 12.7 虚拟专用网
  • VPN(virtual private network, 虚拟专用网）：是两个实体之间跨越不可信网络建立的通信通道
  • VPN 可以提供几个关键的安全功能
    • 访问控制
    • 身份认证
    • 机密性和完整性
  • VPN 使用加密来保护封装的流量，但加密并非 VPN 的必要元素。VPN是虚拟化网络的一个例子
  • VPN 最常见的应用是在远距离网络间，通过互联网建立起安全的通信通道。
  • VPN 集中器：是一种专用硬件设备，用于支持大量同步VPN 连接（通常是数百或数千个）。
  • 12.7.1 隧道技术
    • 隧道技术(tunneling)：是一种网络通信过程，通过将协议数据包封装到另一种协议报文中，对协议数据内容进行保护
    • 当数据通过 VPN 链路从一个系统传输到另一个系统时，正常的 LAN TCP/IP 流量被封装在 VPN 协议中。 VPN 协议的作用类似于一个安全信封，它提供了特殊的传递能力（例如通过Internet) 以及安全机制（例如数据加密）
    • 隧道技术也常用于其他非互联系统间的通信
    • 隧道技术通过采用中间网络对合法通过的协议进行封装，以保护内部协议及流量数据的安全
    • 在封装协议过程中会用到加密技术，所以借助隧道技术，能通过不可信网络来传输敏感数据，而不必担心数据泄露或被篡改
  • 12.7.2 VPN 的工作机理
    • 例子包括典型的 LAN 电缆连接、无线 LAN连接、远程访问的拨号连接、 WAN 链路，甚至包括利用互联网连接接入办公网络的客户端。
    • VPN 能连接两个单独的系统或两个完整的网络。唯一的差别在于传输的数据只有在 VPN 隧道中才能得到保护
    • VPN两种模式
      • 传输模式
        • 传输模式链路或VPN 被锚定或终止于连接在一起的各个主机。
        • 在传输模式下， IPsec 仅为有效负载提供加密保护，并使原始消息头保持不变，为主机到主机 VPN 或端到端加密 VPN,最好仅在单个系统之间的可信网络中使用。
      • 隧道模式
        • 隧道模式链路或 VPN 在连接网络（或一个远程设备）边界上的 VPN 设备处终止（即被锚定或终止）
        • 隧道模式下， IPsec 通过封装整个原始 LAN 协议数据包并添加自己的临时 IPsec头，为有效负载和消息头提供加密保护（见图 12.2) 。
        • 远程访问 VPN)
  • 12.7.3 始终在线 VPN
    • 始终在线 VPN(always-on VPN)：是指每当网络链接处于活动状态时，尝试自动连接到 VPN服务的 VPN。始终在线的 VPN 主要与移动设备相关
    • 若能拥有一个始终在线的 VPN, 将确保在每次尝试使用在线资源时建立安全连接。
  • 12.7.4 分割隧道与全隧道
    • 分割隧道(split tunnel)：是一种 VPN 配置，允许 VPN 连接的客户端系统（即远程节点）同时通过 VPN 和互联网直接访问组织网络，存在安全风险
    • 全隧道(full tunnel)：是另一种 VPN 配置，在该配置中，客户端的所有流量都通过 VPN 链路发送到组织网络，然后任何以互联网为目的地的流呈从组织网络的代理或防火墙接口路由到互联网，安全-经过防火墙
  • 12.7.5 常用的 VPN 协议
    • 常用的 VPN 协议，即 PPTP、 L2TP 、 SSH、 OpenVPN（即 TLS) 以及 IPsec
    • 1. 点对点隧道协议(PPTP)
      • PPTP(Point-to-Point Tunneling Protocol, 点对点隧道协议）：是一种在拨号点对点协议基础上开发的淘汰的封装协议
      • 运行在 OSI 参考模型的数据链路层（第 2 层），用于 IP 网络。PPTP 使用 TCP 1723 端口。
      • PPTP 的初始隧道协商过程是不加密的
      • 身份认证协议
        • 密码身份认证协议(PAP)
        • 征询握手身份认证协议(CHAP)
        • 可扩展身份认证协议(EAP)
        • 微软的征询握手身份认证协议(MS-CHAPv2)
      • 现在使用 PPTP 协议时，大都采用微软定制的版本（MS-CHAPv2) ，使用微软点对点加密(MPPE)进行数据加密，并支持多种安全身份认证选项。
    • 2. 第 2 层隧道协议(L2TP)
      • 第 2 层隧道协议(Layer 2 Tunneling Protocol, L2TP)：是结合 PPTP 和 Cisco 的第 2 层转发(L2F)VPN 协议的特点开发的。
      • L2TP 自开发以来已成为一种互联网标准(RFC 2661)
      • L2TP 在第 2 层运行，因此几乎可以支持任何第 3 层网络协议。 L2TP 使用 UDP 1701 端口。
      • IEEE 802.lX 使 L2TP 能够利用或借用网络上任何可用的 AAA 服务器的身份认证服务如 RADIUS 或 TACACS+。 L2TP 不提供本地加密，但它支持有效负载加密协议的使用，通常使用 IPsec 的 ESP 进行有效负载加密
    • 3. SSH
      • Secure Shell(SSH)：是－Telnet(TCP23端口）和许多UMX行“工具（如－rlogin 、 rshrexec 和rep) 的安全替代品。第7层
      • SSH 通过TCP22 端口运行。SSH 经常与终端仿真器程序（如Minicom 或PuTTY)一起使用
      • 作为 VPN, SSH 仅限于传输模式（即单个主机之间的端到端加密，也被称为链路加密和主机到主机VPN) 。 OpenSSH 工具是实现 SSHVPN 的一种手段
    • 4. OpenVPN(TLS)
      • OpenVPN： 基于 TLS（正式的 SSL)提供了一个易于配置但安全可靠的 VPN 选项，第4层
      • OpenVPN是一种开源实现，基于 OpenSSL 库的应用层 VPN 实现，可以使用预共享密码或证书进行身份认证。许多无线应用协议 (Wireless Application Protocol,WAP )支持 OpenVPN，用于将家庭或商业 WAP 用作 VPN 网关
    • 5. IP 安全协议（IPsec）
      • 互联网协议安全(Internet Protocol Security, IPsec)： 是 IP 安全扩展的标准，被用作 IPv4的附加组件，并集成到 IPv6 中，第3层
      • IPsec 仅在 IP 网络上工作，并提供安全身份认证和加密数据传输。
      • IPsec 有时与L2TP 配对，组成 L2TP/IPsec(VPN) 。 IPsec 不是单个协议，而是一组协议，包括 AH、 ESP 、 HMAC、IPComp 和 IKE
      • IPsec
        • 身份认证头(Authentication Header, AH)： 提供消息完整性和不可否认性保护。 AH 还为IPsec提供主要身份认证功能，实现会话访问控制，并防止重放攻击
        • 封装安全载荷(Encapsulating Security Payload, ESP) ：可提供有效负载内容的保密性和完整性。它提供加密、有限的身份认证，并防止重放攻击，使用AES加密，ESP 可以在传输模式或隧道模式下运行
        • 基于哈希的消息身份认证码(Hash-based Message Authentication Code, HMAC)： 是 IPsec使用的主要哈希校验或完整性检查机制
        • IP 有效负载压缩(IP Payload Compression, IPComp)： 是 IPsec 使用的一种压缩工具，用于在 ESP 加密数据之前对其进行压缩，以提升传输速率
        • IPsec 管理加密密钥的机制是互联网密钥交换(Internet Key Exchange, IKE)
        • IKE 由三个元素组成
          • OAKLEY:是一种密钥生成和交换协议，类似于Diffe-Hellman
          • 安全密钥交换机制（Secure Key Exchange Mechanism,SKEME）:是一种安全的交换密钥的方法，类似于数字信封，也可以使用ECDHE交换
          • 互联网安全关联和密钥管理协议（Intemet Secmity Association and Key Management Protocol, ISAKMP)：用于组织和管理 OAKLEY和SKEME生成和交换的加密密钥
      • 每个 IPsec VPN 使用两个安全关联：一个用于发送加密，另一个用于接收加密。
      • 每个 IPsecVPN 由两个独立加密的单工通信信道组成
      • ISAKMP 在每个 VPN 中使用了两个安全关联，这使得 IPsec 能够支持来自每个主机的多个并发 VPN