IPv6 和 IPSec - 为什么我需要外部守护进程？

Question

我读到 IPSec 对于 IPv6 实现是强制性的。这是否意味着它应该由操作系统处理并且 IPSec 配置应该是 IPv6 工作所必需的？如果是这样，为什么不是这样？我在两台 Ubuntu 机器之间设置了一个工作的 6 合 4 隧道，如果没有 IPSec 配置/工作，IPv6 似乎非常满意。

另外，我读到对于 Ubuntu，可以使用外部软件（racoon？）配置 IPv6 的 IPSec。为什么不强制 IPSec 与 Ubuntu 的 IPv6 实现一起使用？

Answer 1

实现必须支持IPv6 的 IPSec，但不强制启用它。在最新的 RFC 更新中，即使是强制性的（必须在 IETF 语言中）也被更改为非常强烈的建议（应该在 IETF 语言中，即实施，除非你有很好的理由不这样做）。

安全性的大问题是不可能完全自动完成。如果是，那么任何人都可以自动加入 ;-) 建立一个系统来管理公钥/私钥、证书等（PKI：公钥基础设施）在执行此类安全时始终是一个挑战。

PS：需要 IPSec 并没有说明它在何处实现。在单独的包中实现 IPSec 仍然意味着整体符合标准。