1.定義
“Internet協議安全性(IPSec)”是一種開放標準的框架結構，通過使用加密的安全服務以確保在Internet協議(IP)網絡上進行保密而安全的通訊。IPSec基於端對端的安全模式，在源IP和目標IP地址之間建立信任和安全性。每臺計算機都假定進行通訊的媒體不安全，因此在各自的終端上實施安全設置。除非兩臺計算機之間正在進行防火牆類型的數據包篩選或網絡地址轉換，否則僅從源向目標路由數據的計算機不要求支持IPSec。
該模式允許爲下列企業方案成功部署IPSec：
局域網(LAN)：客戶端/服務器和對等網絡
廣域網(WAN)：路由器到路由器和網關到網關
遠程訪問：撥號客戶機和從專用網絡訪問Internet
通常，兩端都需要IPSec配置（稱爲IPSec策略）來設置選項與安全設置，以允許兩個系統對如何保護它們之間的通訊達成協議。Windows2000、WindowsXP和WindowsServer2003家族實施IPSec是基於“Internet工程任務組(IETF)”IPSec工作組開發的業界標準。IPSec相關服務部分是由Microsoft與CiscoSystems,Inc.共同開發的。
IPSec協議不是一個單獨的協議，它給出了應用於IP層上網絡數據安全的一整套體系結構，包括網絡認證協議AuthenticationHeader（AH）、封裝安全載荷協議EncapsulatingSecurityPayload（ESP）、密鑰管理協議InternetKeyExchange（IKE）和用於網絡認證及加密的一些算法等。這些協議用於提供數據認證、數據完整性和加密性三種保護形式。AH和ESP都可以提供認證服務，但AH提供的認證服務要強於ESP。而IKE主要是對密鑰進行交換管理，對算法、協議和密鑰3個方面進行協商。
IPSec規定了如何在對等層之間選擇安全協議、確定安全算法和密鑰交換，向上提供了訪問控制、數據源認證、數據加密等網絡安全服務。
安全特性
IPSec的安全特性主要有：
·不可否認性
"不可否認性"可以證實消息發送方是唯一可能的發送者，發送者不能否認發送過消息。"不可否認性"是採用公鑰技術的一個特徵，當使用公鑰技術時，發送方用私鑰產生一個數字簽名隨消息一起發送，接收方用發送者的公鑰來驗證數字簽名。由於在理論上只有發送者才唯一擁有私鑰，也只有發送者纔可能產生該數字簽名，所以只要數字簽名通過驗證，發送者就不能否認曾發送過該消息。但"不可否認性"不是基於認證的共享密鑰技術的特徵，因爲在基於認證的共享密鑰技術中，發送方和接收方掌握相同的密鑰。
·反重播性
"反重播"確保每個IP包的唯一性，保證信息萬一被截取複製後，不能再被重新利用、重新傳輸回目的地址。該特性可以防止***者截取破譯信息後，再用相同的信息包冒取非法訪問權（即使這種冒取行爲發生在數月之後）。
·數據完整性
防止傳輸過程中數據被篡改，確保發出數據和接收數據的一致性。IPSec利用Hash函數爲每個數據包產生一個加密檢查和，接收方在打開包前先計算檢查和，若包遭篡改導致檢查和不相符，數據包即被丟棄。
·數據可靠性（加密）
在傳輸前，對數據進行加密，可以保證在傳輸過程中，即使數據包遭截取，信息也無法被讀。該特性在IPSec中爲可選項，與IPSec策略的具體設置相關。
預置共享密鑰
IPSec也可以使用預置共享密鑰進行認證。預共享意味着通信雙方必須在IPSec策略設置中就共享的密鑰達成一致。之後在安全協商過程中，信息在傳輸前使用共享密鑰加密，接收端使用同樣的密鑰解密，如果接收方能夠解密，即被認爲可以通過認證。但在Windows2000IPSec策略中，這種認證方式被認爲不夠安全而一般不推薦使用。
公鑰加密
IPSec的公鑰加密用於身份認證和密鑰交換。公鑰加密，也被稱爲"不對稱加密法"，即加解密過程需要兩把不同的密鑰，一把用來產生數字簽名和加密數據，另一把用來驗證數字簽名和對數據進行解密。
使用公鑰加密法，每個用戶擁有一個密鑰對，其中私鑰僅爲其個人所知，公鑰則可分發給任意需要與之進行加密通信的人。例如：A想要發送加密信息給B，則A需要用B的公鑰加密信息，之後只有B才能用他的私鑰對該加密信息進行解密。雖然密鑰對中兩把鑰匙彼此相關，但要想從其中一把來推導出另一把，以目前計算機的運算能力來看，這種做法幾乎完全不現實。因此，在這種加密法中，公鑰可以廣爲分發，而私鑰則需要仔細地妥善保管。