ipsec原理與實踐(編輯修改稿)
2025-07-26 07:31 本頁面
【文章內(nèi)容簡介】 以使用一些不同的算法。這意味著，如果出現(xiàn)了一個新的算法，它可以不作明顯改動地合成進IPSec標準中。目前，MD5和SHA是用來產(chǎn)生認證數(shù)據(jù)的兩種算法。ESP加密算法包括DES，3DES，RC5和IDEA。下面討論IPSec配置的步驟以及如何選取不同的算法?！ 。?）打開IPSec配置對話框 選擇開始|程序| 管理工具|本地安全策略菜單，打開本地安全設置對話框。單擊以選擇IP安全策略：在本地機器，如圖1所示?！ ? 圖1 本地安全設置對話框 最初的窗口顯示三種預定義的策略項：客戶端、服務器、安全服務器。在每個預定義的策略的描述中詳細解釋了該策略的操作原則。如果想要修改系統(tǒng)預定義的策略細節(jié)，可以右擊相應的策略并選擇屬性進行修改?！ ∠旅妫覀儗⑼ㄟ^新建一個策略對各種策略的屬性進行介紹。 ?。?）右擊IP安全策略，在本地機器，選擇創(chuàng)建IP安全策略，打開安全策略向?qū)?。單擊下一步繼續(xù)。如圖3所示?！ ? 圖2 創(chuàng)建IP安全策略 圖3 安全策略向?qū)А 。?）在彈出的對話框中為新的IP安全策略命名并填寫策略描述。如圖4所示?！ 。?）單擊下一步，接受對話框中默認的響應復選項，之后單擊下一步。如圖5所示?！ ? 圖4 安全策略名稱對話框 圖5 安全通訊請求對話框 （5）接受默認的選項Windows 2000 默認值Kerberos V5作為默認響應規(guī)則身份驗證方法，單擊下一步繼續(xù)。如圖6所示?！ 。?）保留編輯屬性的選擇并單擊完成按鈕完成IPSec的初步配置。如圖7所示?！ ? 圖6 設置身份驗證方法 圖7 完成IP安全策略向?qū)А 。?）完成初步配置后，將彈出新IP安全策略屬性對話框。如圖8所示。 圖8 IP安全策略屬性對話框 圖9 新規(guī)則屬性對話框 ?。?）接下來需要添加用戶自己定義的IP安全規(guī)則。這里，我們在不選擇使用39。添加向?qū)?9。情況下單擊添加按鈕。出現(xiàn)如圖9所示的新規(guī)則屬性對話框。在這里我們可以對新規(guī)則的各項屬性進行設置。其中包括： 1）IP篩選列表 在IP篩選列表標簽頁上單擊添加按鈕打開IP篩選器列表對話框。如圖10所示。 輸入新IP篩選器列表的名稱、描述信息并在不選擇使用39。添加向?qū)?9。情況下單擊添加按鈕。新彈出的篩選器屬性對話框如圖11所示，包含三個標簽頁： ●尋址：可以對IP數(shù)據(jù)流的源地址、目標地址進行規(guī)定，如圖11所示?！ 駞f(xié)議：可以對數(shù)據(jù)流所使用的協(xié)議進行規(guī)定，如果選擇了TCP或UDP協(xié)議還可以對源端和目的端使用的端口號作出規(guī)定，如圖12所示?！ 衩枋觯簩π潞Y選器作出簡單描述?！ ? 圖10 IP篩選器列表對話框 圖11 篩選器屬性對話框 圖12 篩選器屬性協(xié)議 標簽頁 圖13 確保選中新設置的IP篩選器 在完成對篩選器屬性的設置后，要確保選中新設置的IP篩選器，如圖13所示?！ ?）篩選器操作 篩選器操作標簽頁是整個IPSec設計的關(guān)鍵。它將對符合IP篩選器的數(shù)據(jù)流進行相應處理。如圖14所示。這里，我們在不選擇使用39。添加向?qū)?9。情況下單擊添加按鈕。出現(xiàn)如圖15所示的新篩選器操作 屬性對話框?！ ? 圖14 篩選器操作 標簽頁IPSec原理與實踐2－配置步驟下(一組圖) 圖15 新篩選器操作 屬性對話框 在這里我們可以對新篩選器操作的細節(jié)進行設置。其中，可以選擇許可、阻止對符合IP篩選器的數(shù)據(jù)流進行過濾?？梢园l(fā)現(xiàn)，實際上這就可以很簡單的實現(xiàn)一個普通防火墻的功能。除此之外，如果選擇協(xié)商安全還可以對允許的通信進行進一步的安全設置。可以單擊添加按鈕，添加相應的安全措施，如圖16所示。 圖16 安全措施 對話框 圖17 自定義安全措施設置對話框 安全措施包括： ●高：選擇以最高的安全級別來保護數(shù)據(jù)。使用封裝安全措施負載量(ESP) 來提供機密性（數(shù)據(jù)加密）、身份驗證、防止重發(fā)和完整性，使其適合于高的安全級別。ESP 不提供 IP 報頭（地址）的完整性。如果數(shù)據(jù)和地址均需要保護，可以創(chuàng)建自定義安全方法。如果不需要加密，可以使用中?！ 裰校菏褂抿炞C報頭（AH）協(xié)議來提供完整性、防止重發(fā)和身份驗證。這適合于安全計劃需要標準的安全級別時。AH 提供IP報頭和數(shù)據(jù)的完整性，但是不加密數(shù)據(jù)?！ 褡远x：如果需要加密和地址完整性、更強大的算法或密鑰壽命，可以指定自定義的安全方法。如圖17所示，其中包括： ■數(shù)據(jù)和地址不加密的完整性（AH）算
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1