【正文】 一月 2113:02:5013:02Jan2128Jan21w 1越是無(wú)能的人，越喜歡挑剔別人的錯(cuò)兒。 。w 載荷長(zhǎng)度載荷長(zhǎng)度 16bit，以字節(jié)為單位表示的載荷長(zhǎng)度（包括載荷頭部）。生成的方法可不同，建議采用 MD SHA1或其它支持的 Hash函數(shù)利用源 IP地址、目的 IP地址、 UDP/TCP源端口、 UDP/TCP目的端口、生成時(shí)間等生成。它所保護(hù)的 IP數(shù)據(jù)報(bào)的通信終點(diǎn)必須是 IPSec終點(diǎn)。3 之 11/28/2023 50傳輸模式目錄 認(rèn)證頭 AHAH使用模式原始 IP數(shù)據(jù)報(bào)加入 AH頭后的 IP數(shù)據(jù)報(bào)3 之 21/28/2023 51圖 示目錄 認(rèn)證頭 AHAH使用模式AH3 之 31/28/2023 52隧道模式目錄 認(rèn)證頭 AHAH使用模式 隧道模式用于主機(jī)隧道模式用于主機(jī) 路由器或路由器路由器或路由器 路由器之路由器之間的點(diǎn)間的點(diǎn) 點(diǎn)通信，點(diǎn)通信， 保護(hù)整個(gè) IP數(shù)據(jù)報(bào)。9 之 61/28/2023 43安全策略數(shù)據(jù)庫(kù)（ SPD）目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP)SPn……SP3SP2SP1 目的 IP地址源 IP地址傳輸層協(xié)議系統(tǒng)名用戶 ID上層端口標(biāo)志SA指針SP條目SPD 應(yīng)用端口。 IP數(shù)據(jù)報(bào)的進(jìn)出處理基于安全策略。僅用于進(jìn)入數(shù)據(jù)報(bào)。分配給這個(gè) SA的一個(gè)位串并且只有本地有效，用的一個(gè)位串并且只有本地有效，用于標(biāo)識(shí)同一個(gè)目的地的于標(biāo)識(shí)同一個(gè)目的地的 SA 。 AH:Authentication Header216。IP安全w TCP/IP協(xié)議w IPSec概述w 安全關(guān)聯(lián) (SA)和安全策略 (SP)w 認(rèn)證頭 (AH)w 封裝安全載荷 (ESP)w Inter密鑰交換協(xié)議 (IKE)w IPSec的實(shí)現(xiàn)1/28/2023 1TCP/IP協(xié)議w Inter概述w Inter安全w IP層安全目錄1/28/2023 2inter和 Inter inter（互聯(lián)網(wǎng)或互連網(wǎng)）（互聯(lián)網(wǎng)或互連網(wǎng)） 是一個(gè)通用名詞，它泛指由多個(gè)計(jì)算機(jī)網(wǎng)絡(luò)互連而成的虛擬網(wǎng)絡(luò)。 DOI:Domain Of Interpretation216。 SPI在在AH和和 ESP報(bào)頭中出現(xiàn)。僅用于進(jìn)入數(shù)據(jù)報(bào)。對(duì)于外出的 IP數(shù)據(jù)報(bào)，根據(jù) SA選擇器來(lái)查找 SPD中匹配的安全策略條目，它會(huì)指向 0個(gè)或多個(gè) SA，然后在 SAD中檢索這個(gè) SA， SA按指定順序依次對(duì)外出 IP數(shù)據(jù)報(bào)進(jìn)行處理。如無(wú)應(yīng)用端口。 隧道模式先將整個(gè) IP數(shù)據(jù)報(bào)（其 IP頭稱為內(nèi)部IP頭）進(jìn)行封裝，然后增加一個(gè) IP頭（稱為外部 IP頭），并在外部與內(nèi)部 IP頭之間插入 AH頭。 ESP頭被插在 IP數(shù)據(jù)報(bào)中，緊跟在 IP頭之后和需要保護(hù)的上層協(xié)議數(shù)據(jù)之前，對(duì) IP數(shù)據(jù)報(bào)中的載荷進(jìn)行保護(hù)（加密、認(rèn)證）。對(duì)于一個(gè) SA來(lái)說(shuō)必須保證唯一。目錄 IKEISAKMP協(xié)議 ISAKMP報(bào)文格式 2 之 21/28/2023 82ISAKMP協(xié)商階段目錄 IKEISAKMP協(xié)議 協(xié)商過(guò)程分為兩個(gè)階段：w 階段一階段一 兩個(gè)實(shí)體協(xié)商在它們之間如何保護(hù)之后的傳輸，并建立起一個(gè)主秘密，后續(xù)使用的任何秘密都將根據(jù)主秘密產(chǎn)生。 一月 211:02 下午 一月 2113:02January 28, 2023w 1行動(dòng)出成果，工作出財(cái)富。 13:02:5013:02:5013:02Thursday, January 28, 2023w 1知人者智，自知者明。 13:02:5013:02:5013:021/28/2023 1:02:50 PMw 1越是沒(méi)有本領(lǐng)的就越加自命不凡。 28 一月 20231:02:50 下午 13:02:50一月 21w 1比不了得就不比，得不到的就不要。w 保留保留 8bit，全 0。 ISAKMP報(bào)文格式為： ISAKMP報(bào)頭 + 一個(gè)或多個(gè)有效載荷1/28/2023 76ISAKMP報(bào)頭格式目錄 IKEISAKMP協(xié)議 ISAKMP報(bào)文格式 4 之 11/28/2023 77解 釋w 發(fā)起方發(fā)起方 Cookie 64bit，用于幫助通信雙方驗(yàn)證一個(gè) ISAKMP報(bào)文是否真的來(lái)自對(duì)方。1/28/2023 62ESP操作模式目錄 封裝安全載荷 (ESP)w 傳輸模式w 隧道模式1/28/2023 63傳輸模式目錄 封裝安全載荷 (ESP)ESP操作模式 傳輸模式用于兩臺(tái)主機(jī)之間實(shí)現(xiàn)端傳輸模式用于兩臺(tái)主機(jī)之間實(shí)現(xiàn)端 端端的安全的安全 。 AH頭被插在 IP數(shù)據(jù)報(bào)中，緊跟在 IP頭之后和需要保護(hù)的上層協(xié)議數(shù)據(jù)之前，對(duì) IP數(shù)據(jù)報(bào)中的不變部分進(jìn)行安全保護(hù)。9 之 51/28/2023 42安全策略數(shù)據(jù)庫(kù)（ SPD）目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP)SPn……SP3SP2SP1 目的 IP地址源 IP地址傳輸層協(xié)議系統(tǒng)名用戶 ID上層端口標(biāo)志SA指針SP條目SPD 完整的完整的 DNS用戶用戶名，如：名，如：，或，或 DN。策略保存在一個(gè)稱為安全策略數(shù)據(jù)庫(kù)（ SPD）中，可根據(jù) SA選擇器對(duì)數(shù)據(jù)庫(kù)進(jìn)行選擇。數(shù)據(jù)包是否是一個(gè)重放包。分配給這個(gè)安全參數(shù)索引。 ESP:Encapsulating Security Payload216。 Inter（因特網(wǎng)）（因特網(wǎng)） 是一個(gè)專用名詞，它特指當(dāng)前全球最大的、開(kāi)放的、由眾多網(wǎng)絡(luò)相互連接而成的特定計(jì)算機(jī)網(wǎng)絡(luò)，它采用TCP/IP協(xié)議簇，且前身是美國(guó)的 ARPANET。 IKE:Inter Key Exchange216。報(bào)頭中出現(xiàn)。16 之 10SPI源 /目的 IP地址IPSec協(xié)議SA標(biāo)識(shí)符1/28/2023 31安全關(guān)聯(lián)數(shù)據(jù)庫(kù)（ SAD）目錄 安全關(guān)聯(lián) (SA)和安全策略 (SP)SAn……SA3SA2SA1 序列號(hào)計(jì)數(shù)器序列號(hào)溢出抗重放窗口AH認(rèn)證信息ESP認(rèn)證信息ESP加密信息IPSec操作模式路徑 MTUSA生存期SAD SA參數(shù) 認(rèn)證算法、密鑰、密鑰生存認(rèn)證算法、密鑰、密鑰生存期、以及與期、以及與 AH一起使用的其它一起使用的其它參數(shù)。對(duì)于進(jìn)入的 IP數(shù)據(jù)報(bào)，首先要對(duì) IP數(shù)據(jù)報(bào)進(jìn)行安全處理。如無(wú)法訪問(wèn)，則使用通配法訪問(wèn)，則使用通配符。該模式的通信終點(diǎn)由受保護(hù)的內(nèi)部 IP頭指定，而 IPSec終點(diǎn)則由外部 IP頭指定，如果其終點(diǎn)是 IPSec網(wǎng)關(guān)，則該網(wǎng)關(guān)會(huì)還原出內(nèi)部 IP數(shù)據(jù)報(bào)，再轉(zhuǎn)發(fā)到最終目的地。3 之 11/28/2023 64傳輸模式目錄 封裝安全載荷 (ESP)ESP操作模式原始 IP數(shù)據(jù)報(bào)應(yīng)用 ESP后的 IP數(shù)據(jù)報(bào)3 之 21/28/2023 65傳輸模式的加密目錄 封裝安全載荷 (ESP)ESP操作模式 3 之 31/28/2023 66隧道模式目錄 封裝安全載荷 (ESP)ESP操作模式 隧道模式用于主機(jī)隧道模式用于主機(jī) 路由器或路由器路由器或路由器 路由器之路由器之間的點(diǎn)間的點(diǎn) 點(diǎn)通信，點(diǎn)通信， 保護(hù)整個(gè) IP數(shù)據(jù)報(bào)。w 接收方接收方 Cookie 64bit，作用同上。本階段的目的是在通信實(shí)體之間建立一個(gè)已經(jīng)通過(guò)身份驗(yàn)證和安全保護(hù)的通道。 2023/1/28 13:02:5013:02:5028 January 2023w 1做前，能夠環(huán)視四周；做時(shí)，你只能或者最好沿著以腳為起點(diǎn)的射線向前。勝人者有力，自勝者強(qiáng)。 一月 21一月 21Thursday, January 28, 2023w 閱讀一切好書(shū)