安全vpn及撥號(hào)業(yè)務(wù)故障排除(已修改)
2025-01-29 05:44 本頁(yè)面
【正文】 華為 3Com培訓(xùn)中心 華為 3Com公司版權(quán)所有，未經(jīng)授權(quán)不得使用與傳播 第 6章 安全 VPN及撥號(hào)業(yè)務(wù)故障排除 ISSUE 2 學(xué)習(xí)目標(biāo) ? 掌握 VPN相關(guān)技術(shù)的故障排除方法 ， 包括 L2TP， GRE， IPSec和 IKE； ? 掌握防火墻故障排除方法和流程； ? 掌握 DCC故障排除的流程 ， 并理解教材所列舉的案例分析 。 學(xué)習(xí)完本課程 ， 您應(yīng)該能夠： 3 課程內(nèi)容 包過(guò)濾防火墻故障排除 IPSec和 IKE故障排除 GRE故障排除 L2TP故障排除 DCC、 ISDN故障排除 4 IPSec和 IKE故障排除 ? IPSec和 IKE故障排除綜述 ? display、 debugging命令介紹 ? IPSec和 IKE故障案例分析 5 IPSec和 IKE故障排除綜述 ? IPSec和 IKE知識(shí)簡(jiǎn)介 ? IPSec和 IKE配置的一般步驟 ? 手工方式下 IPSec功能和性能的常見(jiàn)問(wèn)題 ? 協(xié)商方式下 IPSec、 IKE功能和性能的常見(jiàn)問(wèn)題 ? IPSec和 IKE配置過(guò)程的注意事項(xiàng) 6 IPSec簡(jiǎn)介 ? IPSec提供如下安全服務(wù) : ? 完整性 ? 真實(shí)性 ? 機(jī)密性 ? 防重放 ? IPSec安全協(xié)議 : ? AH協(xié)議 ? ESP協(xié)議 ? IPSec加密驗(yàn)證算法 : ? 驗(yàn)證算法： MD SHA1 ? 加密算法： DES、 3DES、 AES 7 IKE簡(jiǎn)介 ? IKE全稱： Inter Key Exchange ? IKE用于 IPSec安全聯(lián)盟及密鑰的自動(dòng)化管理 ， 定時(shí)為 IPSec協(xié)商密鑰 ， 創(chuàng)建 、 刪除安全聯(lián)盟等 ? IKE采用兩個(gè)階段的 ISAKMP： ? 協(xié)商認(rèn)證通信信道 ， 為第二階段的通信提供安全保證 ， 即建立IKE SA。 ? 使用 IKE SA 協(xié)商建立 IPSec SA， 用于 IPSec通信 。 8 IPSec 與 IKE IKE TCP UDP IPSec IKE TCP UDP IPSec encrypted ip packet IP IKE SA Negotiation SA SA 9 IPSec和 IKE配置的一般步驟 ? IPSec和 IKE配置的一般步驟 ： what， where， how ? 手工模式 IPSec基本配置 ? 明確要保護(hù)什么 （ what） ， 也就是定義 ACL ? 明確實(shí)施保護(hù)的位置 （ where） ? 明確如何保護(hù) （ how） ， 定義 proposal ? 定義安全策略 （ ipsec policy） ， 定義安全策略的模式為 manual ? 定義安全聯(lián)盟所用的密鑰 ? 在合適的接口上應(yīng)用安全策略 ? 協(xié)商模式 IPSec基本配置 ? What， where， how， ipsec policy ? 配置 IKE的參數(shù) （ IKE的 proposal和共享密鑰 ） ? 在合適的接口上應(yīng)用安全策略 10 手工方式下 IPSec功能和性能的常見(jiàn)問(wèn)題 ? 手工方式下安全聯(lián)盟不能建立 ? 相 應(yīng)的安全策略是否應(yīng)用到了接口上 ? 檢查安全策略是否設(shè)置了要保護(hù)的數(shù)據(jù)流 ? 檢查安全策略是否設(shè)置了安全提議 ? 檢查安全策略是否設(shè)置了隧道端點(diǎn) ? 檢查安全聯(lián)盟的 SPI ? 檢查安全聯(lián)盟的密鑰是否設(shè)置正確 ? 檢查密鑰的長(zhǎng)度是否與算法要求的相同 11 手工方式下 IPSec功能和性能的常見(jiàn)問(wèn)題（續(xù)） ? 手工方式下建立了安全聯(lián)盟 ， 但不能通信 ? 安全聯(lián)盟兩端的配置的 ACL是否互為鏡像 ? 選用的安全協(xié)議是否一樣 ? 選用的算法是否一致 ? SPI是否匹配 ? 密鑰是否匹配 ? 定義的隧道端點(diǎn)是否相同 ? 手工方式下建立了安全聯(lián)盟 ， 部分?jǐn)?shù)據(jù)流能通信 ， 部分不能通信 ? 安全聯(lián)盟兩端的配置的 ACL是否互為鏡像 12 協(xié)商方式下 IPSec和 IKE功能和性能常見(jiàn)問(wèn)題 ? 協(xié)商方式的 IPSec安全聯(lián)盟是由 IKE協(xié)商生成的 。 要診斷此類故障 ， 首先要清楚安全聯(lián)盟的建立過(guò)程 。 第一步 第二步 第三步 第四步 合適的數(shù)據(jù)流從應(yīng)用 IPSec的接口轉(zhuǎn)發(fā)出去 第一步觸發(fā) IKE協(xié)商階段 1的 SA 第三步在階段 2安全聯(lián)盟的保護(hù)下進(jìn)行通信 Router A Router B Router A Router A Router A Router B Router B Router B 在 IKE階段 1安全聯(lián)盟的保護(hù)下協(xié)商階段 2的 IPSec SA 13 協(xié)商方式下 IPSec和 IKE功能和性能常見(jiàn)問(wèn)題（續(xù)） ? 階段一的 SA沒(méi)有建立 ? 接口是否應(yīng)用了安全策略 ? 是否有匹配的數(shù)據(jù)流觸發(fā) ? 是否為對(duì)方配置了共享密鑰 ， 以及共享密鑰是否一致 ? 階段二的 SA沒(méi)有建立 ? ACL是否匹配 ? 安全提議是否一致 ? 設(shè)置的隧道對(duì)端地址是否匹配 ? 應(yīng)用的接口是否正確 ? 兩個(gè)階段的 SA都成功建立 ， 但不能通信 ? 一般都是由于 ACL的配置不當(dāng)引起的 ， 檢查 ACL的配置是否符合要求 14 IPSec和 IKE配置過(guò)程的注意事項(xiàng) ? 確定要保護(hù)的數(shù)據(jù)流時(shí)的注意事項(xiàng) ? IPSec保護(hù)的數(shù)據(jù)流是雙向的 ? 所以定義的雙向數(shù)據(jù)流應(yīng)該保持完全重疊 ? 確定實(shí)施保護(hù)的位置時(shí)的注意事項(xiàng) ? 網(wǎng)關(guān)到網(wǎng)關(guān) ? 主機(jī)到網(wǎng)關(guān) ? 主機(jī)到主機(jī) ? 網(wǎng)關(guān)到主機(jī) 15 IPSec和 IKE配置過(guò)程的注意事項(xiàng)（續(xù)） ? 確定如何保護(hù)數(shù)據(jù)時(shí)的注意事項(xiàng) ? 安全協(xié)議選擇 ? 加密算法選擇 ? 驗(yàn)證算法選擇 ? 定義安全策略時(shí)的注意事項(xiàng) ? 選擇恰當(dāng)?shù)?ACL ? 選擇恰當(dāng)?shù)陌踩嶙h ? 正確配置實(shí)施安全策略的端點(diǎn) ? IKE的配置 ? IKE Proposal的全局性 （ 對(duì)整個(gè)路由器有效 ） ? 缺省 IKE Proposal的應(yīng)用 16 IPSec和 IKE配置過(guò)程的注意事項(xiàng)（續(xù)） ? 應(yīng)用所定義的安全策略 ? 應(yīng)用接口的選擇 ? 確保所有數(shù)據(jù)流出口都應(yīng)用安全策略 ? 確保對(duì)端也配置了安全策略 ? IPSec和 IKE的其它配置 ? IKE定時(shí)器參數(shù) （ interval和 timeout） 的匹配 17 display、 debugging命令介紹 ? display ipsec policy [ { brief | name policyname [ sequencenumber ] } ] ? display ipsec proposal [ proposalname ] ? display ipsec sa [ { brief | remote ipaddress | policy policyname [ sequencenumber ] | duration } ] ? display ike proposal ? display ike peer [ peername ] ? display ike sa [ verbose {connectionid id | remoteaddress ip address } ] ? debugging ipsec { all | misc | packet | sa } ? debugging ike { all | error | exchange | message | misc | transport } 18 IPSec和 IKE故障案例分析 （一） ? 兩端的 SPI不匹配導(dǎo)致 SA協(xié)商失敗 : ? 在 RouterA和 RouterB之間建立 IPSec隧道 ， 保護(hù) PC A和 PC B之間的通信 。 采用 ESP安全協(xié)議 ， 確保數(shù)據(jù)的完整性 、
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1