ipsecvpn兩個階段協(xié)商過程分析-李心春-全文預覽
【正文】 個對等體上都生成該DH公共值后，它們會在接下來的消息3和消息4中傳送給對方，打個比方，A收到了B的DH公共值，B收到了A的DH公共值。消息2：由響應(yīng)者（即對端設(shè)備）回應(yīng)，內(nèi)容基本一樣，主要與發(fā)起者比較，是否與發(fā)起者的IKE策略匹配，不匹配則進行下一組比較，如果最終都找不到匹配，隧道就停止建立；（note：發(fā)起者將其所有IKE策略發(fā)給接受者，接受者則在自己的策略中尋找與之匹配的策略；對比順序從優(yōu)先級號小的到大的；默認策略實際就是個模板沒作用，如果認證只配置預共享的話，其他參數(shù)就會copy默認策略里的）報文如下： 由上圖可知，接受端回應(yīng)的消息中，匹配了發(fā)送端的一條策略，如果有一條匹配，則不需要匹配其他策略。 （f）定時發(fā)送keepalive報文（不是必須攜帶）：IKE通過ISAKMP SA向?qū)Χ硕〞r發(fā)送KeepAlive報文維護該條ISAKMP SA的鏈路狀態(tài)。 （d）DiffieHellman組標識（DH）：用戶可以選擇Group 1即768bit 或 Group 2即1024bit。IKE野蠻模式相對于主模式來說更加靈活，可以選擇根據(jù)協(xié)商發(fā)起端的IP地址或者ID來查找對應(yīng)的身份驗證字，并最終完成協(xié)商。2消息：消息1：由發(fā)送方（協(xié)商發(fā)起端）發(fā)起，攜帶一些參數(shù)，發(fā)送方向接收方發(fā)送一條包含一組或多組策略提議（Raise工業(yè)路由器中是多組），在策略提議中包括5元組信息： 加密算法——DES； 散列算法——MD5HMAC； DH——DiffieHellman組2； 認證方式——預共享； IKE SA壽命。6條消息如下：（1）準備工作：在前2條消息發(fā)送之前，發(fā)送者和接受者必須先計算出各自的cookie（可以防重放和DOS攻擊），這些cookie用于標識每個單獨的協(xié)商交換消息。 （a3）第一階段幫助在對等體之間創(chuàng)建了一條安全通道，使后面的第二階段過程協(xié)商受到安全保護。 （c）對等體的驗證，如何才能知道對端就是我要與之通信的對端。而野蠻模式由于受到交換次數(shù)的限制，ID消息在“消息1amp。（一） IPSec VPN隧道的建立過程分為兩個階段：第一個階段：分為兩種模式主模式（Main Mode和野蠻模式（又稱主動模式Aggressive）第二個階段：快速模式（Quick Mode）區(qū)別：主模式與野蠻模式的區(qū)別： （1）野蠻模式協(xié)商比主模式協(xié)商更快。消息6”中對ID信息進行了加密。（二） 兩個階段分別完成任務(wù)：（1）第一個階段IKE設(shè)置，有三個任務(wù)需要完成： （a）協(xié)商一系列算法和參數(shù)（這些算法和參數(shù)用于保護隧道建立過程中的數(shù)據(jù)）； （b）必須計算出兩邊使用的加密KEY值，例如，兩邊使用3DES算法加密，3DES算法則需要一個密碼，這個密碼兩端必須一樣，但又不能在鏈路上傳遞。對于第一階段需要注意以下幾點： （a1）只有remote vpn和easy vpn是積極模式的，其他都是用主模式來協(xié)商的； （a2）讓IKE對等體彼此驗證對方并確定會話密鑰，這個階段用DH進行密鑰交換，創(chuàng)建完IKE SA后，所有后續(xù)的協(xié)商都將通過加密和完整性檢查來保護。（三） 綜上，有如下結(jié)論：第一階段作用：對等體之間彼此驗證對方，并協(xié)商出IKE SA，保護第二階段中IPSec SA協(xié)商過程；第二階段作用：協(xié)商IPSec單向SA，為保護IP數(shù)據(jù)流而創(chuàng)建；（四） 舉例驗證
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號-1