240.如下图所示,IPSec采用隧道模式,则ESP认证的范围是?

**解析：** 在 IPSec 协议中，ESP（Encapsulating Security Payload，封装安全载荷）提供了机密性、数据源认证、无连接完整性、抗重放服务和有限的数据流机密性。ESP 的认证范围取决于其工作模式（传输模式或隧道模式）。 1. **理解图示结构**： 通常这类题目中的图示会展示一个完整的数据包结构，包含以下几个部分（从外到内或从左到右）： * **新 IP 头**（Outer IP Header）：隧道模式下新增的 IP 头部。 * **ESP 头**（ESP Header）：包含 SPI 和序列号。 * **原始 IP 头**（Inner IP Header）：被封装的原始数据包 IP 头部。 * **上层协议数据**（Payload）：如 TCP/UDP 数据段。 * **ESP 尾**（ESP Trailer）：包含填充字段、填充长度和下一个头字段。 * **ICV**（Integrity Check Value，完整性校验值）：用于认证的数据摘要。 根据常见的 IPSec 隧道模式 ESP 数据包结构示意图标注习惯： * 区域 **1** 通常指 **新 IP 头**。 * 区域 **2** 通常指 **ESP 头 + 原始 IP 头 + 上层数据 + ESP 尾**（即除了新 IP 头和 ICV 之外的中间部分，或者是 ESP 保护的核心载荷部分）。*注：不同教材图示编号可能略有差异，需结合 ESP 认证定义判断。* * 区域 **3** 通常指 **ICV** 或者 **ESP 尾** 的一部分。 * 区域 **4** 可能指整个数据包或其他部分。 **关键知识点：ESP 认证的范围** * **ESP 加密范围**：包括上层协议数据（Payload）、ESP 尾部（Padding, Pad Length, Next Header）。在某些实现中，ESP 头也可能被加密，但标准规定 ESP 头不加密。 * **ESP 认证范围**：包括 **ESP 头**、**上层协议数据（Payload）**、**ESP 尾部**。 * **注意**：ESP **不认证** 外部 IP 头（因为在传输过程中，TTL、Checksum 等字段会发生变化，如果认证外部 IP 头会导致校验失败）。 * 在**隧道模式**下，ESP 认证的范围包括：**ESP 头**、**内部 IP 头（原始 IP 头）**、**上层协议数据**、**ESP 尾**。 2. **分析选项对应的区域**： 虽然无法直接看到图片，但根据标准考题的逻辑： * **区域 1**：通常是外部 IP 头。**ESP 不认证外部 IP 头**。 * **区域 2**：通常涵盖 **ESP 头 + 内部 IP 头 + 数据 + ESP 尾**。这正是 ESP 认证计算 ICV 时所覆盖的数据范围。 * **区域 3**：可能是指 ICV 本身，或者仅指数据部分。ICV 是认证的结果，不是被认证的范围；仅数据部分则不完整。 * **区域 4**：可能是指整个包。 因此，ESP 认证的范围是 **ESP 头、内部 IP 头、高层协议数据、ESP 尾**。在大多数此类示意图中，这部分内容被标记为 **2**。 3. **结论**： ESP 在隧道模式下，认证范围不包括外部 IP 头，但包括 ESP 头、内部 IP 头、数据和 ESP 尾。图中编号 **2** 对应这一范围。 故正确答案为 **C**。