ipsecvpn兩個(gè)階段協(xié)商過(guò)程分析-李心春-全文預(yù)覽
【正文】 個(gè)對(duì)等體上都生成該DH公共值后，它們會(huì)在接下來(lái)的消息3和消息4中傳送給對(duì)方，打個(gè)比方，A收到了B的DH公共值，B收到了A的DH公共值。消息2：由響應(yīng)者（即對(duì)端設(shè)備）回應(yīng)，內(nèi)容基本一樣，主要與發(fā)起者比較，是否與發(fā)起者的IKE策略匹配，不匹配則進(jìn)行下一組比較，如果最終都找不到匹配，隧道就停止建立；（note：發(fā)起者將其所有IKE策略發(fā)給接受者，接受者則在自己的策略中尋找與之匹配的策略；對(duì)比順序從優(yōu)先級(jí)號(hào)小的到大的；默認(rèn)策略實(shí)際就是個(gè)模板沒(méi)作用，如果認(rèn)證只配置預(yù)共享的話，其他參數(shù)就會(huì)copy默認(rèn)策略里的）報(bào)文如下： 由上圖可知，接受端回應(yīng)的消息中，匹配了發(fā)送端的一條策略，如果有一條匹配，則不需要匹配其他策略。 （f）定時(shí)發(fā)送keepalive報(bào)文（不是必須攜帶）：IKE通過(guò)ISAKMP SA向?qū)Χ硕〞r(shí)發(fā)送KeepAlive報(bào)文維護(hù)該條ISAKMP SA的鏈路狀態(tài)。 （d）DiffieHellman組標(biāo)識(shí)（DH）：用戶可以選擇Group 1即768bit 或 Group 2即1024bit。IKE野蠻模式相對(duì)于主模式來(lái)說(shuō)更加靈活，可以選擇根據(jù)協(xié)商發(fā)起端的IP地址或者ID來(lái)查找對(duì)應(yīng)的身份驗(yàn)證字，并最終完成協(xié)商。2消息：消息1：由發(fā)送方（協(xié)商發(fā)起端）發(fā)起，攜帶一些參數(shù)，發(fā)送方向接收方發(fā)送一條包含一組或多組策略提議（Raise工業(yè)路由器中是多組），在策略提議中包括5元組信息： 加密算法——DES； 散列算法——MD5HMAC； DH——DiffieHellman組2； 認(rèn)證方式——預(yù)共享； IKE SA壽命。6條消息如下：（1）準(zhǔn)備工作：在前2條消息發(fā)送之前，發(fā)送者和接受者必須先計(jì)算出各自的cookie（可以防重放和DOS攻擊），這些cookie用于標(biāo)識(shí)每個(gè)單獨(dú)的協(xié)商交換消息。 （a3）第一階段幫助在對(duì)等體之間創(chuàng)建了一條安全通道，使后面的第二階段過(guò)程協(xié)商受到安全保護(hù)。 （c）對(duì)等體的驗(yàn)證，如何才能知道對(duì)端就是我要與之通信的對(duì)端。而野蠻模式由于受到交換次數(shù)的限制，ID消息在“消息1amp。（一） IPSec VPN隧道的建立過(guò)程分為兩個(gè)階段：第一個(gè)階段：分為兩種模式主模式（Main Mode和野蠻模式（又稱主動(dòng)模式Aggressive）第二個(gè)階段：快速模式（Quick Mode）區(qū)別：主模式與野蠻模式的區(qū)別： （1）野蠻模式協(xié)商比主模式協(xié)商更快。消息6”中對(duì)ID信息進(jìn)行了加密。（二） 兩個(gè)階段分別完成任務(wù)：（1）第一個(gè)階段IKE設(shè)置，有三個(gè)任務(wù)需要完成： （a）協(xié)商一系列算法和參數(shù)（這些算法和參數(shù)用于保護(hù)隧道建立過(guò)程中的數(shù)據(jù)）； （b）必須計(jì)算出兩邊使用的加密KEY值，例如，兩邊使用3DES算法加密，3DES算法則需要一個(gè)密碼，這個(gè)密碼兩端必須一樣，但又不能在鏈路上傳遞。對(duì)于第一階段需要注意以下幾點(diǎn)： （a1）只有remote vpn和easy vpn是積極模式的，其他都是用主模式來(lái)協(xié)商的； （a2）讓IKE對(duì)等體彼此驗(yàn)證對(duì)方并確定會(huì)話密鑰，這個(gè)階段用DH進(jìn)行密鑰交換，創(chuàng)建完IKE SA后，所有后續(xù)的協(xié)商都將通過(guò)加密和完整性檢查來(lái)保護(hù)。（三） 綜上，有如下結(jié)論：第一階段作用：對(duì)等體之間彼此驗(yàn)證對(duì)方，并協(xié)商出IKE SA，保護(hù)第二階段中IPSec SA協(xié)商過(guò)程；第二階段作用：協(xié)商IPSec單向SA，為保護(hù)IP數(shù)據(jù)流而創(chuàng)建；（四） 舉例驗(yàn)證
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號(hào)-1