引 言 

　　IPSe[1]作為一種實現VPN的安全協議體系，目前已在VPN設備中廣泛使用。但是，隨著千兆位高速網絡的技術發展，對VPN設備在時效性等方面提出了更高的要求。 因此，必須從體系結構等方面，研究新的技術方法實現IPSec。在IPSec安全設備中，SoC技術將是一種較好的選擇。soC將系統的CPU、I/O接口、存儲器、算法、協議處理等模塊全部集成到單一半導體芯片上，實現IPSec協議的全部功能，成為構筑IPSec安全設備的核心部件，極大地提高了高速V。PN網絡的安全性、可靠性、時效性以及較高的性能價格比。

　　1 IPSec協議 

　　IPSec協議是因特網工程任務組(IETF)針對TCP/IP協議沒有安全機制的嚴重缺陷而專門制定的IP安全標準，用以在IP層實現訪問控制、無連接完整性、數據源驗證、抗重播、數據加密和有限的業務流機密性等多種安全服務。該標準由一系列協議組成，各協議之間的關系如圖1所示。 

　　*基金項目：“十五”期間國家密碼發展基金密碼理論研究課題“密碼soc芯片的體系結構和安全性研究”。 

　　有關協議的解釋如下： 

　　①AH[2] (Authentication Header)是一個安全協議頭，在傳輸模式下為IP層數據流提供數據完整性、數據源身份認證、一些可選的和有限的抗重播服務。 
　　②EsP[3] (Encapsulating Security Payload)是一個插入到IP數據報內部的協議頭，為IP層流量數據提供機密性、數據源身份認證、抗重播以及數據完整性等安全服務。 
　　③認證與加密算法是IPSec實現安全數據傳輸的核心，其中，加密算法用于ESP，可以采用DES、IDEA等密碼算法；認證算法用于AH，可以采用3DES、RC5等算法。 
　　④IKE[4](Internet Key Exchange)是密鑰交換協議，用于在IPSec通信雙方建立共享安全參數及驗證過的密鑰，以建立一種安全關聯關系。 
　　⑤DoI(Domain of Interpretation)是一個單獨的文檔，用于存放IKE協商的參數。 
　　⑥SA(Security ASSOCiation)是安全關聯協議，是主機、路由器兩個應用IPS ec實體之間的一種單向邏輯連接。sA有安全策略庫(sPDB)和安全關聯庫(sADB)，存儲了安全策略的具體細節，包括保護的內容、保護的方式、保護通信數據的主體等策略。

　　2 SoC技術 

　　目前，SoC平臺主要用于CSoC、SoPC、EPGA等芯片開發。其中，CSoC稱為可配置系統級芯片，一般包括1個處理器內核、可編程邏輯陣列和其它一些通用部件；SoPC是可編程的單芯片系統，如Altera的Nios內核模塊；EPGA是以FPGA為主體的SoC芯片。使用這些SoC開發平臺，可以充分利用系統級芯片集成度高和性能優越的特點，靈活設計開發各種專用Soc芯片。

　　(1)開發平臺的選擇 

　　SoC平臺開發套件包括：各種工具與資源軟件、可以重構的硬件電路結構驗證平臺和使用說明書等。其可用軟件資源包括：供選用的多種嵌入式處理器核，硬件模塊設計語言及其編譯器，仿真、綜合和布局、布線工具等；設計語言包括HDL、C/C++等。開發平臺的選擇取決于器件的來源：當選用商品化器件時，可以選擇Altera的SOPC開發環境QUARTUSII；當選擇自主研發Soc時，應使用相關的專用開發平臺。

希望與更多計算機等級考試的網友交流，請進入計算機等級考試論壇

更多信息請訪問：考試吧計算機等級考試欄目