第7章vpn技術(shù)與安全協(xié)議-預(yù)覽頁(yè)
【正文】 nel source RouterD(configif)endRouterD18缺點(diǎn)q管理費(fèi)用高、隧道的規(guī)模數(shù)量大等。q不適用遠(yuǎn)程訪問(wèn) VPN19 遠(yuǎn)程訪問(wèn) VPN中，多數(shù)用戶是采用撥號(hào)上網(wǎng)。 216。q可以在 任何提供面向分組的點(diǎn)對(duì)點(diǎn)連接上 建立隧道216。qL2TP主要用于比較集中的、固定的 VPN用戶qPPTP比較適合移動(dòng)的用戶。封裝安全有效載荷協(xié)議（ ESP）216。（ 4）透明性好。qIPSec聯(lián)合使用多種安全技術(shù)來(lái)為 IP數(shù)據(jù)包 提供 保密性 、 完整性 和 真實(shí)性 。qIPSec使用當(dāng)前流行的密碼學(xué)算法。它由兩個(gè)通信實(shí)體協(xié)商建立。 SA由一個(gè)三元組唯一標(biāo)識(shí)： SPI， DST， Protocol1） 安全參數(shù)索引 （ SPI）：存在于 IPSec協(xié)議頭內(nèi)；2） 目標(biāo) IP地址 ：它同時(shí)決定了關(guān)聯(lián)方向；3） 安全協(xié)議 （ AH、 ESP）標(biāo)識(shí)符。29SA管理q若用人工方式加以創(chuàng)建， SA便會(huì)一直存在下去，除非再用人工方式將其刪除。若超時(shí)使用一個(gè)密鑰，會(huì)為攻擊者侵入系統(tǒng)提供更多的機(jī)會(huì)。32IPSec模式qIPSec提供兩種操作模式（ 保護(hù)內(nèi)容不同 ）216。 AH不提供保密性服務(wù)，不需要加密算法（加密器），而需要一個(gè)認(rèn)證器（身份認(rèn)證器）。傳送模式下，將是處于保護(hù)中的上層協(xié)議的值，如 UDP或 TCP協(xié)議的值。qSPI和外部 IP頭的目的地址一起，用于識(shí)別對(duì)這個(gè)包進(jìn)行身份認(rèn)證的 SA。輸出結(jié)果長(zhǎng)度為 96比特。 AH頭插在數(shù)據(jù)包中實(shí)現(xiàn)數(shù)據(jù)包的安全保護(hù)。216。44輸出處理q創(chuàng)建一個(gè)外出 SA時(shí)可通過(guò)手工或 IKE將序列號(hào)計(jì)算器初始化成 0。 SPI字段分配的值是取自 SA的 SPI；下一個(gè)頭字段分配的是跟在AH頭之后的協(xié)議數(shù)據(jù)類型值；載荷長(zhǎng)度分配的是“32位字減 2”； “身份認(rèn)證數(shù)據(jù) ”字段設(shè)成 0。IPv4它的不定字段包括 Type of service（服務(wù)類型）、 Flags（標(biāo)志）、 Fragment offset(分段偏移 )、 Time to live(存活時(shí)間 )和 Header checksum(頭校驗(yàn)和 )。46輸出處理q根據(jù)身份驗(yàn)證器的要求，可能需要 適當(dāng)填充 。216。47輸出處理q根據(jù) SA指定的身份驗(yàn)證算法、密鑰和整個(gè)IP包（包括 AH頭） ,計(jì)算出相應(yīng)的 ICV。48輸入處理q如果一個(gè)受安全保護(hù)的包在被收到之前被分了片，就要在 AH輸入處理前對(duì)這些 分片進(jìn)行重組 。q找到 SA之后，進(jìn)行 序列號(hào)檢查 。首先將 AH頭的 “驗(yàn)證數(shù)據(jù) ”字段中的 ICV保存，清零。相符， IP包就通過(guò)了身份認(rèn)證；216。51ESP頭格式52ESP格式q安全參數(shù)索引 SPI：它和 IP頭之前的目標(biāo)地址以及協(xié)議結(jié)合在一起，用來(lái)標(biāo)識(shí)用于處理數(shù)據(jù)包的特定的SA。某些加密算法要用到初始化向量（ IV），它也受到保護(hù)。54加密與認(rèn)證q由于 ESP同時(shí)提供了機(jī)密性以及身份認(rèn)證機(jī)制，所以在其 SA中必須同時(shí)定義兩套算法 —— 用來(lái)確保機(jī)密性的算法叫作 cipher（加密器），而負(fù)責(zé)身份認(rèn)證的叫作authenticator（認(rèn)證器）。隧道模式q其差別決定了 ESP保護(hù)的真正對(duì)象是什么。56ESP傳輸模式qESP插在 IP頭之后，上層協(xié)議之前，或者在任何已經(jīng)插入的 IPSec頭之前，如果選擇的身份驗(yàn)證，則 IPv4分組中 ESP傳輸模式如下圖所示：57qIPv6分組中 ESP傳輸模式如下圖所示：58ESP隧道模式q隧道模式 ESP可以在 主機(jī) 或者 安全網(wǎng)關(guān) 上實(shí)現(xiàn)。q對(duì)于 ESP來(lái)說(shuō)， 密文是得到驗(yàn)證的 ， 驗(yàn)證數(shù)據(jù)則是未加密的 。SPI字段：來(lái)自 SAD的、用來(lái)對(duì)這個(gè)包進(jìn)行處理的特定SA的 SPI；216。IP頭的協(xié)議字段得到的是 ESP的值， 50。216。隨后，在 ESP頭的前面 新增了一個(gè) IP頭 ，并對(duì)相應(yīng)的字段進(jìn)行填充（賦值）：216。其他字段的值則參照本地的 IP處理加以填充63處理外出包q不管哪種模式下，接下去的步驟都是相同的。q對(duì)外出數(shù)據(jù)包進(jìn)行處理的最后一步是： 重新計(jì)算 位于 ESP前面的 IP頭的 校驗(yàn)和 。q如果收到的 IPSec包是一個(gè) 分段 ，必須把它保留下來(lái)，直到這個(gè)包的其他部分收完為止。q首先 檢查序列號(hào) 。q身份認(rèn)證和解密檢查成功之后，就可對(duì)結(jié)果數(shù)據(jù)包進(jìn)行初步的 有效性檢驗(yàn) 。對(duì)于傳送模式，上層協(xié)議頭與 IP頭是同步的， ESP頭的下一個(gè)頭字段被復(fù)制到 IP頭的協(xié)議字段中，并計(jì)算出一個(gè)新的 IP校驗(yàn)和；216。68組合安全關(guān)聯(lián)qAH協(xié)議和 ESP協(xié)議可以單獨(dú)使用，也可以組合使用，因?yàn)槊恳环N協(xié)議都有兩種使用的模式，這樣組合使用就有多種可能的組合方式。外出包：加密 ?認(rèn)證216。q標(biāo)準(zhǔn)并沒(méi)有規(guī)定具體的嵌套級(jí)別，但通常不會(huì)超過(guò) 3級(jí)。 qIKE協(xié)議是 Oakley和 SKEME協(xié)議的混合，并在由ISAKMP規(guī)定的一個(gè)框架內(nèi)運(yùn)作。75Inter密鑰交換IKE的用途Oakley和 SKEME定義了通信雙方建立共享密鑰的步驟。q階段 2：對(duì) SA可提供的服務(wù)及所需密鑰進(jìn)行協(xié)商。它匯集了與互聯(lián)網(wǎng)架構(gòu)演化和互聯(lián)網(wǎng)穩(wěn)定運(yùn)作等業(yè)務(wù)相關(guān)的網(wǎng)絡(luò)設(shè)計(jì)者、運(yùn)營(yíng)者和研究人員，并向所有對(duì)該行業(yè)感興趣的人士開(kāi)放。q需要說(shuō)明的是，僅僅為成為 Inter Draft毫無(wú)意義。通常，當(dāng)某家機(jī)構(gòu)或團(tuán)體開(kāi)發(fā)出了一套標(biāo)準(zhǔn)或提出對(duì)某種標(biāo)準(zhǔn)的設(shè)想，想要征詢外界的意見(jiàn)時(shí)，就會(huì)在 Inter上發(fā)放一份RFC，對(duì)這一問(wèn)題感興趣的人可以閱讀該 RFC并提出自己的意見(jiàn)；8081
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1