網(wǎng)絡(luò)安全概述_07ipsec及fw-資料下載頁(yè)
2025-02-08 11:12本頁(yè)面
【正文】 串，由 ISAKMP交換的發(fā)起者生成167。 會(huì)話(huà)過(guò)程中保持不變，用于驗(yàn)證167。 生成的方法可不同，建議采用 MD SHA1或其它支持的雜湊函數(shù)利用通信方源地址、目的地址、 UDP/TCP源端口、目的端口、生成時(shí)間等生成167。 必須保證唯一83ISAKMP頭格式 Next payload84ISAKMP頭格式 Exchange type85ISAKMP頭格式 Flag 使用 8bit中的低 3位 1－加密比特 2－提交比特 3－僅認(rèn)證比特86ISAKMP載荷格式87SA數(shù)據(jù)屬性88ESP加密算法89ISAKMP載荷類(lèi)型167。 通用載荷167。 安全關(guān)聯(lián)載荷167。 建議載荷167。 變換載荷167。 密鑰交換載荷167。 標(biāo)識(shí)載荷167。 證書(shū)載荷167。 證書(shū)請(qǐng)求載荷167。 雜湊載荷167。 簽名載荷167。nonce載荷167。 通知載荷167。 刪除載荷167。 廠商 ID載荷90167。 交換階段167。 交換模式167。 生成密鑰信息167。 模式配置167。 混合認(rèn)證 Inter密鑰交換密鑰交換91IKE167。 IKE是一個(gè)混合協(xié)議，使用到三個(gè)不同協(xié)議的相關(guān)部分： － ISAKMP － Oakley密鑰確定協(xié)議 － SKEME167。 IKE實(shí)際定義了一個(gè)密鑰交換，而 ISAKMP僅僅提供了一個(gè)可由任意密鑰交換協(xié)議使用的通用密鑰交換框架92階段 1協(xié)商167。ISAKMP通信雙方建立一個(gè) ISAKMP SA，即用于保護(hù)雙方后面的協(xié)商通信的一個(gè)協(xié)定167。 然后用這個(gè) ISAKMP SA為保護(hù)其它協(xié)議 (如AH和 ESP)建立 SA的協(xié)商Inter 密鑰兩階段協(xié)商密鑰兩階段協(xié)商93階段 2協(xié)商167。 用于為其它安全服務(wù)，如 AH和 ESP建立 SA167。 一個(gè)階段 1的 SA可用于建立多個(gè)階段 2的 SA94167。 主模式167。 野蠻模式167。 快速模式Inter 密鑰交換模式密鑰交換模式95主模式167。 用于協(xié)商階段 1的 SA167。 這種交換模式被設(shè)計(jì)成將密鑰交換信息與身份、認(rèn)證信息相隔離，便于保護(hù)什么信息9697主模式1－發(fā)起者發(fā)送一個(gè)封裝有建議載荷的 SA載荷，而建議載荷重又封裝有變換載荷2－響應(yīng)者發(fā)送一個(gè) SA載荷，表明接受協(xié)商的 SA的建議 4－發(fā)起者和接受者交換 DH公開(kāi)值和各種輔助數(shù)據(jù)，如 nonce。 Nonce是計(jì)算共享密鑰（用來(lái)生成加密密鑰和認(rèn)證密鑰）所必須的 6－雙方交換標(biāo)識(shí)數(shù)據(jù)并認(rèn)證 DH交換。這兩個(gè)消息中傳遞的信息是加密的，用于加密的密鑰由消息 3－4中交換的密鑰信息生成，所以身份信息受到保護(hù) 98野蠻模式167。 在不需要保護(hù)身份信息時(shí)，用于協(xié)商階段 1的SA167。 這種交換模式允許同時(shí)傳送與 SA、密鑰交換和認(rèn)證相關(guān)的載荷。將這些載荷組合到一條消息中減少了消息的往返次數(shù)99100野蠻模式1－發(fā)起者發(fā)送一個(gè)封裝有單個(gè)建議載荷的 SA載荷，而建議載荷重又封裝有變換載荷。在野蠻模式中，只提供帶有一個(gè)變換的建議載荷，響應(yīng)者可以選擇接受或拒絕該建議。 DH公開(kāi)值、需要的隨機(jī)數(shù)和身份信息也在其中發(fā)送2－響應(yīng)者發(fā)送一個(gè) SA載荷，其中封裝有一個(gè)包含發(fā)起者的建議和推薦的變換的建議載荷。 DH公開(kāi)值、需要的隨機(jī)數(shù)和身份信息也在其中發(fā)送3－發(fā)送者發(fā)送應(yīng)用一致同意的認(rèn)證函數(shù)生成的結(jié)果101快速模式167。 用于協(xié)商階段 2的 SA，協(xié)商受到階段 1協(xié)商好的 ISAKMP SA的保護(hù)167。 這種交換模式下交換的載荷都是加密的1021035 小結(jié)? IPSec分析–協(xié)議復(fù)雜性，導(dǎo)致很難達(dá)到真正的安全性–管理和配置復(fù)雜，使得安全性下降–實(shí)現(xiàn)上的兼容性–攻擊： DOS，網(wǎng)絡(luò)層之下的協(xié)議、之上的協(xié)議的弱點(diǎn)–還在進(jìn)一步完善104? 思考題：–VPN關(guān)鍵技術(shù)是什么？–ESP提供什么樣的安全服務(wù)？– 討論 IPSec、數(shù)據(jù)包過(guò)濾和 NAT技術(shù)之間的關(guān)系。105演講完畢，謝謝觀看！
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1