ipsecvpn培訓教程ppt課件(編輯修改稿)
2025-02-06 14:29 本頁面
【文章內容簡介】 欺騙攻擊及重播攻擊。 ?AH頭插在 IP頭和上層協(xié)議頭（如 TCP或 UDP頭）之間。 驗證頭 (AH) IPsec協(xié)議棧組成 ?封裝安全載荷 (Encapsulating Security Payload)也是一個安全協(xié)議頭； ?采用加密和驗證機制，為 IP數據報提供數據源驗證、數據完整性、抗重播和機密性安全服務； ?可在傳輸模式和隧道模式下使用； ?ESP頭插在 IP頭和上層協(xié)議頭（如 TCP或 UDP頭）之間，隧道模式下，要對整個 IP包封裝， ESP頭位于內外 IP頭之間。 封裝安全載荷（ ESP） IPsec協(xié)議棧組成 IPsec的密鑰管理包括密鑰的確定和分配，有 手工 和 自動 兩種方式。 IPsec默認的自動密鑰管理協(xié)議是 IKE。 IKE規(guī)定了自動驗證 IPsec對等實體、協(xié)商安全服務和產生共享密鑰的標準。 RFC2409對 Inter密鑰交換即 IKE進行了描述 。 密鑰交換（ IKE） IPsec協(xié)議棧組成 RFC2411對 IPsec AH和 ESP使用的加密和驗證算法的規(guī)范進行了描述，并在其他一些文檔中對 DES、 HMACMD HMAC SHA 1等算法標準進行了描述。 IPsec加密算法用于 ESP。目前的 IPsec標準要求任何 IPsec實現都必須支持 DES。另外，IPsec標準規(guī)定可使用 3DES、 RC IDEA、3IDEA、 CAST 和 Blowfish 。 加密和驗證算法 IPsec協(xié)議棧組成 IPsec的工作模式 IPsec使用傳輸模式和隧道模式保護通信數據。 IPsec協(xié)議和模式有 4種可能的組合： ? AH傳輸模式； ? AH隧道模式； ? ESP傳輸模式； ? ESP隧道模式。 傳輸模式 ? 傳輸模式用于 兩臺主機之間 ， 保護傳輸層協(xié)議頭 ，實現 端到端的安全 。 ? 它所保護的數據包的通信終點也是 IPsec終點。 ? 實施點：當數據包從傳輸層遞給網絡層時， AH和 ESP會進行 “ 攔截 ” ，在 IP頭與上層協(xié)議頭之間需插入一個 IPsec頭（ AH頭或 ESP頭）。 ? 實施順序：當同時應用 AH和 ESP傳輸模式時，應先應用 ESP，再應用 AH，這樣數據完整性可應用到 ESP載荷。 隧道模式 ? 實施場景：隧道模式用于主機與路由器或兩部路由器之間，保護整個 IP數據包。 ? 處理：它將整個 IP 數據包（稱為內部 IP頭）進行封裝，然后增加一個 IP頭（稱為外部 IP頭），并在外部與內部 IP頭之間插入一個 IPsec頭。 ? 該模式的通信終點由受保護的內部 IP頭指定，而 IPsec終點則由外部 IP頭指定。如果 IPsec終點為安全網關，則該網關會還原出內部 IP包，再轉發(fā)到最終的目的地。 ? IPsec支持嵌套隧道，即對已隧道化的數據包再進行隧道化處理。 保留 負載長度 認證數據 （完整性校驗值 ICV）變長 序列號 安全參數索引（ SPI） 下一頭部 負 載 AH頭部 IP頭部 ?認證數據：一個變長字段，也叫 Integrity Check Value，由 SA初始化時指定的算法來計算。長度 =整數倍 32位比特 保留負載長度認證數據（完整性校驗值 ）變長序列號安全參數索引（ ）下一頭部? 下一頭部： 8比特，標識認證頭后面的下一個負載類型 ? 負載長度： 8比特，表示以 32比特為單位的 AH頭部長度減 2， Default=4 ?保留字段： 16比特，保留將來使用， Default=0 ?SPI： 32比特，用于標識有相同 IP地址和相同安全協(xié)議的不同 SA。由 SA的創(chuàng)建者定義，只有邏輯意義 ?序列號： 32比特，一個單項遞增的計數器，用于防止重放攻擊， SA建立之初初始化為 0，序列號不允許重復 32位 認證頭部（ AH） Inter 負 載 IP頭部 Host A Host B VPN網關 VPN網關 負 載 AH頭部 IP頭部 負 載 AH頭部 IP頭部 負 載 IP頭部 經過 IPSec 核心處理以后 經過 IPSec 核心處理以后 負 載 AH頭部 IP頭部 傳輸模式下的 AH認證工作原理 Inter 負 載 IP 頭 Host A Host B VPN網關 1 VPN網關 2 負 載 IP 頭 經過 IPSec 核心處理以后 經過 IPS
環(huán)評公示相關推薦
鄂ICP備17016276號-1