ipsecvpn兩個階段協(xié)商過程分析-李心春-資料下載頁
2025-08-04 23:45本頁面
【正文】 （當(dāng)通信點不等于加密點時使用隧道模式）；二者比較：從安全性來講，隧道模式優(yōu)于傳輸模式，隧道模式可以完全地對原始IP數(shù)據(jù)報進(jìn)行驗證和加密以及可以使用IPSec對等體的IP地址來隱藏客戶機的IP地址；從性能來講，隧道模式比傳輸模式占用更多帶寬，一個額外的IP頭；因此，到底使用哪種模式需要按照實際的應(yīng)用場景進(jìn)行權(quán)衡。（b）安全聯(lián)盟生存周期：所有在安全策略視圖下沒有單獨配置生存周期的安全聯(lián)盟，都采用全局生存周期。IKE（因特網(wǎng)密鑰交換協(xié)議）為IPSec協(xié)商建立安全聯(lián)盟（SA）時，采用本地設(shè)置的和對端提議的生存周期中較小的一個（即，當(dāng)兩端配置的生存周期不一致時，那么就用最小的那個值）。安全聯(lián)盟生存周期的輸入范圍：30～604800；所以，兩端設(shè)備配置的生存周期不一致不會導(dǎo)致隧道無法建立。（c）采用的安全協(xié)議：安全提議中需要選擇所采用的安全協(xié)議，用于為IP數(shù)據(jù)包提供安全。目前可選的安全協(xié)議有AH（驗證報頭）和ESP（封裝安全有效負(fù)載），也可以指定同時使用AH和ESP（AHESP）。安全隧道兩端所選擇的安全協(xié)議必須一致。所以，第二階段協(xié)商不起來，兩端協(xié)議是否一致是一個排查重點。AH協(xié)議：類似于ICMP、TCP、UDP的IP協(xié)議，分配給它的協(xié)議號為51。提供如下安全功能：數(shù)據(jù)完整性服務(wù)、提供抗數(shù)據(jù)回放攻擊、不提供數(shù)據(jù)加密性（不加密）。（note：AH是不提供數(shù)據(jù)的加密的，所以在報文中可以看到完整的DATA部分）AH報文頭格式：AH在兩種模式下的封裝：ESP協(xié)議：協(xié)議號為50，提供如下功能：提供數(shù)據(jù)加密性（支持加密）、提供數(shù)據(jù)完整性、提供抗回放攻擊能力；ESP的數(shù)據(jù)驗證和完整性服務(wù)只包括ESP的頭和有效載荷（不包括外部的IP頭部）（note：ESP是提供加密的，所以抓取的ESP報文，是看不到原來被封裝的數(shù)據(jù)部分）ESP在兩種模式下的封裝：AHESP共用：隧道模式下：（d）ESP協(xié)議加密算法：ESP能夠?qū)P報文內(nèi)容進(jìn)行加密保護，防止報文內(nèi)容在傳輸過程中被窺探。加密算法的實現(xiàn)主要通過對稱密鑰系統(tǒng)，即使用相同的密鑰對數(shù)據(jù)進(jìn)行加密和解密。一般來說IPSec使用兩種加密算法：DES和3DES。（e）ESP協(xié)議即AH協(xié)議的驗證算法：AH和ESP都能夠?qū)P數(shù)據(jù)包的完整性進(jìn)行驗證，以判別報文在傳輸過程中是否被篡改。一般來說IPSec使用兩種驗證算法：MD5和SHA1MD5：MD5輸入任意長度的消息，產(chǎn)生128bit的消息摘要；SHA1：SHA1輸入長度小于2的64次方比特的消息，產(chǎn)生160bit的消息摘要。SHA1的摘要長于MD5，因而是更安全的。（f）使用NAT穿越：在IPSec/IKE組建的VPN隧道中，若存在NAT安全網(wǎng)關(guān)設(shè)備，則必須配置IPSec/IKE的NAT穿越功能。消息2：響應(yīng)者向發(fā)起者發(fā)送第二條消息，同意第一條消息中的屬性，同時，也能起到確認(rèn)收到對端消息的作用。在消息1和消息2中報錯可能出現(xiàn)的原因：（1）雙方的模式不匹配（即，可能一端用傳輸模式，另一端用隧道模式）；（2）感興趣流不對稱（如上述消息1中的（d））；消息3：發(fā)送方發(fā)送第三條消息，其中包含一個HASH，其作用是確認(rèn)接收方的消息以及證明發(fā)送方處于Active狀態(tài)（表示發(fā)送方的第一條消息不是偽造的）這一步一旦完成，隧道就建立起來了，用戶的數(shù)據(jù)就能被放入隧道中傳遞。本文參考資料：
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號-1