ipsecvpn培訓(xùn)教程ppt課件(編輯修改稿)
2025-02-06 14:29 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 欺騙攻擊及重播攻擊。 ?AH頭插在 IP頭和上層協(xié)議頭（如 TCP或 UDP頭）之間。 驗(yàn)證頭 (AH) IPsec協(xié)議棧組成 ?封裝安全載荷 (Encapsulating Security Payload)也是一個(gè)安全協(xié)議頭； ?采用加密和驗(yàn)證機(jī)制，為 IP數(shù)據(jù)報(bào)提供數(shù)據(jù)源驗(yàn)證、數(shù)據(jù)完整性、抗重播和機(jī)密性安全服務(wù)； ?可在傳輸模式和隧道模式下使用； ?ESP頭插在 IP頭和上層協(xié)議頭（如 TCP或 UDP頭）之間，隧道模式下，要對(duì)整個(gè) IP包封裝， ESP頭位于內(nèi)外 IP頭之間。 封裝安全載荷（ ESP） IPsec協(xié)議棧組成 IPsec的密鑰管理包括密鑰的確定和分配，有 手工 和 自動(dòng) 兩種方式。 IPsec默認(rèn)的自動(dòng)密鑰管理協(xié)議是 IKE。 IKE規(guī)定了自動(dòng)驗(yàn)證 IPsec對(duì)等實(shí)體、協(xié)商安全服務(wù)和產(chǎn)生共享密鑰的標(biāo)準(zhǔn)。 RFC2409對(duì) Inter密鑰交換即 IKE進(jìn)行了描述 。 密鑰交換（ IKE） IPsec協(xié)議棧組成 RFC2411對(duì) IPsec AH和 ESP使用的加密和驗(yàn)證算法的規(guī)范進(jìn)行了描述，并在其他一些文檔中對(duì) DES、 HMACMD HMAC SHA 1等算法標(biāo)準(zhǔn)進(jìn)行了描述。 IPsec加密算法用于 ESP。目前的 IPsec標(biāo)準(zhǔn)要求任何 IPsec實(shí)現(xiàn)都必須支持 DES。另外，IPsec標(biāo)準(zhǔn)規(guī)定可使用 3DES、 RC IDEA、3IDEA、 CAST 和 Blowfish 。 加密和驗(yàn)證算法 IPsec協(xié)議棧組成 IPsec的工作模式 IPsec使用傳輸模式和隧道模式保護(hù)通信數(shù)據(jù)。 IPsec協(xié)議和模式有 4種可能的組合： ? AH傳輸模式； ? AH隧道模式； ? ESP傳輸模式； ? ESP隧道模式。 傳輸模式 ? 傳輸模式用于 兩臺(tái)主機(jī)之間 ， 保護(hù)傳輸層協(xié)議頭 ，實(shí)現(xiàn) 端到端的安全 。 ? 它所保護(hù)的數(shù)據(jù)包的通信終點(diǎn)也是 IPsec終點(diǎn)。 ? 實(shí)施點(diǎn)：當(dāng)數(shù)據(jù)包從傳輸層遞給網(wǎng)絡(luò)層時(shí)， AH和 ESP會(huì)進(jìn)行 “ 攔截 ” ，在 IP頭與上層協(xié)議頭之間需插入一個(gè) IPsec頭（ AH頭或 ESP頭）。 ? 實(shí)施順序：當(dāng)同時(shí)應(yīng)用 AH和 ESP傳輸模式時(shí)，應(yīng)先應(yīng)用 ESP，再應(yīng)用 AH，這樣數(shù)據(jù)完整性可應(yīng)用到 ESP載荷。 隧道模式 ? 實(shí)施場(chǎng)景：隧道模式用于主機(jī)與路由器或兩部路由器之間，保護(hù)整個(gè) IP數(shù)據(jù)包。 ? 處理：它將整個(gè) IP 數(shù)據(jù)包（稱(chēng)為內(nèi)部 IP頭）進(jìn)行封裝，然后增加一個(gè) IP頭（稱(chēng)為外部 IP頭），并在外部與內(nèi)部 IP頭之間插入一個(gè) IPsec頭。 ? 該模式的通信終點(diǎn)由受保護(hù)的內(nèi)部 IP頭指定，而 IPsec終點(diǎn)則由外部 IP頭指定。如果 IPsec終點(diǎn)為安全網(wǎng)關(guān)，則該網(wǎng)關(guān)會(huì)還原出內(nèi)部 IP包，再轉(zhuǎn)發(fā)到最終的目的地。 ? IPsec支持嵌套隧道，即對(duì)已隧道化的數(shù)據(jù)包再進(jìn)行隧道化處理。 保留 負(fù)載長(zhǎng)度 認(rèn)證數(shù)據(jù) （完整性校驗(yàn)值 ICV）變長(zhǎng) 序列號(hào) 安全參數(shù)索引（ SPI） 下一頭部 負(fù) 載 AH頭部 IP頭部 ?認(rèn)證數(shù)據(jù)：一個(gè)變長(zhǎng)字段，也叫 Integrity Check Value，由 SA初始化時(shí)指定的算法來(lái)計(jì)算。長(zhǎng)度 =整數(shù)倍 32位比特 保留負(fù)載長(zhǎng)度認(rèn)證數(shù)據(jù)（完整性校驗(yàn)值 ）變長(zhǎng)序列號(hào)安全參數(shù)索引（ ）下一頭部? 下一頭部： 8比特，標(biāo)識(shí)認(rèn)證頭后面的下一個(gè)負(fù)載類(lèi)型 ? 負(fù)載長(zhǎng)度： 8比特，表示以 32比特為單位的 AH頭部長(zhǎng)度減 2， Default=4 ?保留字段： 16比特，保留將來(lái)使用， Default=0 ?SPI： 32比特，用于標(biāo)識(shí)有相同 IP地址和相同安全協(xié)議的不同 SA。由 SA的創(chuàng)建者定義，只有邏輯意義 ?序列號(hào)： 32比特，一個(gè)單項(xiàng)遞增的計(jì)數(shù)器，用于防止重放攻擊， SA建立之初初始化為 0，序列號(hào)不允許重復(fù) 32位 認(rèn)證頭部（ AH） Inter 負(fù) 載 IP頭部 Host A Host B VPN網(wǎng)關(guān) VPN網(wǎng)關(guān) 負(fù) 載 AH頭部 IP頭部 負(fù) 載 AH頭部 IP頭部 負(fù) 載 IP頭部 經(jīng)過(guò) IPSec 核心處理以后 經(jīng)過(guò) IPSec 核心處理以后 負(fù) 載 AH頭部 IP頭部 傳輸模式下的 AH認(rèn)證工作原理 Inter 負(fù) 載 IP 頭 Host A Host B VPN網(wǎng)關(guān) 1 VPN網(wǎng)關(guān) 2 負(fù) 載 IP 頭 經(jīng)過(guò) IPSec 核心處理以后 經(jīng)過(guò) IPS
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1