ipv6技術(shù)(第6章)課件(編輯修改稿)
2025-09-01 01:20 本頁面
【文章內(nèi)容簡介】 安全 配置中也 會 存在錯誤和缺陷 ? 法律和規(guī)則上的 不健全和不規(guī)范 問題 IPv6的安全要素 ? IPsec協(xié)議的功能 ? IPsec的目標是提供既可用于 IPv4也可用于 IPv6的安全性機制。 IPsec提供的網(wǎng)絡(luò)安全功能包括： ?訪問控制 ?無連接的完整性 ?數(shù)據(jù)源身份認證 ?序列完整性中的抗重播保護 ?有限傳輸流的保密性 ? IPsec工作在主機、路由器、網(wǎng)關(guān)、防火墻等設(shè)備或安全位置上。 IPsec框架 ? IPsec框架由 6個截然不同的要素組成 : ? ⑴ IP安全體系結(jié)構(gòu) ， 對網(wǎng)絡(luò)層上安全需求和機制的一般性描述 。 ? ⑵ 封裝安全載荷 (ESP)， 專門用于加密的安全要素 ， 在RFC2406文檔中定義 。 ? ⑶ 身份認證首部 (AH)， 專門用于驗證的安全要素 ， 在 RFC 2402文檔中定義 。 ? ⑷ 加密算法 ， 對加密和驗證所使用的具體密碼算法的定義 。 ? ⑸ 身份認證算法 ， 對通信伙伴之間的安全策略和安全關(guān)聯(lián)的定義 。 ? ⑹ 密鑰交換協(xié)議 ， IPsec密鑰管理 ， 它 是 基于更一般的框架之上的密鑰管理 。 IPsec框架 組成部分及聯(lián)系 圖 IPsec框架 組成部分及聯(lián)系 IP安全體系結(jié)構(gòu) ESP協(xié)議 /首部 AH協(xié)議 /首部 加密算法 身份驗證算法 DOI 密鑰交換協(xié)議 IKE IPsec安全關(guān)聯(lián) SA ? SA是兩個通信實體經(jīng)協(xié)商建立起來的約定 ? 決定了用來保護數(shù)據(jù)包安全的 IPsec協(xié)議、轉(zhuǎn)碼格式、密鑰以及密鑰的有效存在時間等 ? 任何 SA實施方案都要構(gòu)建一個安全關(guān)聯(lián)數(shù)據(jù)庫 SAD . ? SA中用到的參數(shù)包括： ? ①序列號；②序列號溢出；③抗重播窗口；④生命期時間 (存活期 )；⑤模式；⑥隧道目的地。 ? IPsec有兩種不同類型的 操作模式 . 傳輸模式 主機 2 主機 1 安全網(wǎng)關(guān) 2 安全網(wǎng)關(guān) 1 Inter 安全關(guān)聯(lián) 1(AH或 ESP傳輸模式 ) 安全關(guān)聯(lián) 2(ESP或 AH傳輸模式 ) 圖 傳輸鄰接安全關(guān)聯(lián) 在傳輸模式下， SA在兩個端系 統(tǒng)之間定義 傳輸鄰接 是指 對同一個 IP數(shù)據(jù)報多次以傳輸模式使用 AH或者ESP進行加密， 即在同一個 IP數(shù)據(jù)報內(nèi)同時使用加密和驗證服務(wù) 隧道模式 主機 2 主機 1 安全網(wǎng)關(guān) 2 安全網(wǎng)關(guān) 1 Inter 安全關(guān)聯(lián) 1(AH或 ESP隧道模式 ) 安全關(guān)聯(lián) 2(ESP或 AH隧道模式 ) 圖 不同 SA的起點 、 終點相同迭代隧道安全關(guān)聯(lián) 主機 2 主機 1 安全網(wǎng)關(guān) 2 安全網(wǎng)關(guān) 1 Inter 安全關(guān)聯(lián) 1(AH或 ESP隧道模式 ) 安全關(guān)聯(lián) 2(ESP或 AH隧道模式 ) 圖 一個端點相同的迭代隧道安全關(guān)聯(lián) 隧道模式（ 2） 主機 2 主機 1 安全網(wǎng)關(guān) 2 安全網(wǎng)關(guān) 1 Inter 安全關(guān)聯(lián) 1(AH或 ESP隧道模式 ) 安全關(guān)聯(lián) 2(ESP或 AH隧道模式 ) 圖 起點 、 終點均不相同的 迭代隧道 安全關(guān)聯(lián) IPsec安全 策略 ? SA的實現(xiàn)涉及 到兩個 安全 數(shù)據(jù)庫 ： ? 安全關(guān)聯(lián)數(shù)據(jù)庫 (SAD) ? 安全策略數(shù)據(jù)庫 SPD (Security Policy Database) ? 在 IPsec實施中， SA必須有管理依據(jù)和規(guī)則 ?安全策略數(shù)據(jù)庫 SPD規(guī)定的策略決定著所有流 進 系統(tǒng)或從系統(tǒng)流出的 IP流量的處理方式 ? 所有定義好 的 SA都保存在一個安全關(guān)聯(lián)數(shù)據(jù)庫 (SAD)中 ?通過一個由安全參數(shù)索 引 SPI (Security Parameter Index) 、 IP目的地址和安全協(xié)議 (AH或 ESP) 標識符三部 分組 成的數(shù)值來識別 IPsec部署 ? IPsec可以在 ? 終端主機之間、網(wǎng)關(guān)之間和路由器之間，或者主機與網(wǎng)關(guān)和路由器之間進行實施和配置 ? IPs
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1