IPSec基础—预共享密钥与数字证书的区别

IPSec基础—预共享密钥与数字证书的区别
数字证书原理简介
IPsec 的密钥管理协议IKE RFC标准中对参与通讯的各方安全网关(或安全路由器)身份认证有3种方法：预共享密钥，公钥加密，数字签名。
数字证书称为数字标识 （Digital Certificate ，Digital ID）。它提供了一种在 Internet 上身份验证的方式，是用来标志和证明网络通信双方身份的数字信息文件，与司机驾照或日常生活中的身份证相似。数字证书它是由一个由权威机构即CA机构，又称为证书授权（Certificate Authority）中心发行的，人们可以在交往中用它来识别对方的身份。在网上进行电子商务活动时，交易双方需要使用数字证书来表明自己的身份，并使用数字证书来进行有关交易操作。通俗地讲，数字证书就是个人或单位在 Internet上的身份证。比较专业的数字证书定义是，数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。一般情况下证书中还包括密钥的有效时间，发证机关（证书授权中心）的名称，该证书的序列号等信息，证书的格式遵循相关国际标准。有了数字证书，我们在网络上就可以畅通无阻。
预共享密钥与数字证书的区别
IPsec 对参与通讯的各方安全网关(或安全路由器)身份认证有3种方法：预共享密钥，公钥加密，数字签名。

区别： 预共享密钥的认证方式，认证密钥易泄露。使用数字证书的认证，能够更有效保障身份认证的安全性。

各自适用的场景：
预共享密钥方式：预共享密钥身份验证要求在协商密钥前预先把参与通讯的各方安全网关对应的密钥先保存在安全网关上，在IP地址不固定的情况下只能采取所有的安全网关都用相同的密钥，这显然只能适合小型且对安全性要求不高的网络。共享密钥优点是软件实现起来比较容易，配置简单，且设备投资比较小。
数字证书方式：公钥加密身份验证利用非对称加密算法验证设备的身份，要求协商密钥前预先把参与通讯的各方对应的公钥配置到安全网关上，安全性有很大的提高，但管理起来还是不方便。

VPN配置案例汇总、VPN汇总（列表、list、全）vpnlist

http://www.zh-cjh.com/wenzhangguilei/1193.html

文章归类、所有文章列表、LISTLIST
http://www.zh-cjh.com/wangzhangonggao/2195.html