Windows上的LAN流量加密

Question

我正在研究一个项目，需要创建一个软件来加密Windows计算机之间的LAN流量。 因此，我需要捕获，加密和重新发送所有出站流量，并捕获和解密所有入站流量。 目前我看到两种方法：1）IP over UDP。 我需要加密IP数据包并通过UDP链接发送，接收和解密。 2）加密IP包的有效载荷并在另一侧解密。

我实际上不知道如何做得更好，从哪里开始。 所有建议/示例都会有所帮助。

Answer 1

如果您真的只需要加密流量，您只需安装“手动键控”的IPSec SA即可。 请参阅MSDN上的说明

话虽这么说，加密是容易的部分。 认证同行和关键协议是困难的部分。

密码学很难做到，所以你绝对不希望发明一个可能不安全的轮子，而是选择同行评审的标准解决方案，例如Internet密钥交换协议。 有一个（不幸停止的）最小IKE实现的互联网草案 。

请注意，使用IKEv2作为任何应用程序的密钥协议/身份验证协议是完全可以的 - 不仅仅是针对ESP。 但是如果你需要封装所有IP，隧道模式下的Encapsulating Security Payload是你的朋友，这里的幸运之处在于任何符合IPv6标准的操作系统都必须实现它，所以使用ESP实际上只是安装密钥材料的问题。到您的操作系统内核的IP堆栈。

如果您需要代码示例，我已经在Python中对IKEv2对等体的初始端进行了最小的概念验证级别实现 。 可以从这些IETF程序幻灯片中找到执行相同操作的Perl实现