網(wǎng)絡(luò)安全協(xié)議課程設(shè)計(jì)-ipsec隧道協(xié)議的安全分析與改進(jìn)-wenkub.com
2025-05-31 11:57 本頁(yè)面
【正文】 小組人員的配合﹑相處，以及自身的動(dòng) 腦和努力，都是以后工作中需要的。通過(guò)這次課程設(shè)計(jì)我也發(fā)現(xiàn)了自身存在的不足之處，雖然感覺(jué)理論上已經(jīng)掌握，但在運(yùn)用到實(shí)踐的過(guò)程中仍有意想不到的困惑，經(jīng)過(guò)一番努力才得以解決。發(fā)現(xiàn)、提出、分析、解決問(wèn)題和實(shí)踐能力的提高都會(huì)受益于我在以后的學(xué)習(xí)、工作和生活中。本文對(duì) GRE 從原理到報(bào)文封裝都進(jìn)行了詳細(xì)的介紹，并且給出了相關(guān)配置。 IPsec 在安全加密方面應(yīng)用比較廣泛，而且不同的產(chǎn)品為了適應(yīng)客戶大量的安全加密需求，將IPsec 的安全加密功能進(jìn)行硬件實(shí)現(xiàn)，很好的緩解了加密 /解密對(duì)轉(zhuǎn)發(fā)性能的影響。還原出一個(gè)加密前的報(bào)文，格式如下： (5) 當(dāng)報(bào)文到達(dá) NE16B 時(shí)，即將出 GRE tunnel 接口時(shí)， NE16B 會(huì)將單播的 IP 包頭和 GRE 頭去掉，還原出一個(gè)組播報(bào)文，格式如下： (6) NE16B 將還原出來(lái)的組播報(bào)文，轉(zhuǎn)發(fā)給組播源。 (2) 組播客戶端發(fā)出的組播報(bào)文，到達(dá) NE16A 后，進(jìn)入 GRE tunnel 前，分別要封裝兩個(gè)報(bào)文頭： GRE 和 IP 報(bào)文頭。分支機(jī)構(gòu)也有兩臺(tái)路由器，分別是 NE16A 和 NE08A，組播客戶端下掛在 NE16A 下。 一個(gè)封裝好的報(bào)文的形式如下： 舉例來(lái)說(shuō)，一個(gè)封裝在 IP Tunnel 中的 IP 傳輸報(bào)文的格式如下： 一個(gè)封裝好的報(bào)文的形式 如下： 舉例來(lái)說(shuō)，一個(gè)封裝在 IP Tunnel 中的 IP 傳輸報(bào)文的格式如下： 8 GRE 實(shí)現(xiàn)流程分析 通過(guò)上面的分析，解決 的方案就很清晰了：將 GRE 與 IPsec 結(jié)合使用，彌補(bǔ) IPsec不能保護(hù)組播數(shù)據(jù)的缺陷。但是由于 IPSEC 協(xié)議目前只能 對(duì)單播報(bào)文進(jìn)行加密和保護(hù)，不能對(duì)組播報(bào)文進(jìn)行加密和保護(hù)，所以人么 迫切希望能不能采用其他的方法來(lái)實(shí)現(xiàn)這方面的需求。對(duì)于外出通信，若 SA 不存在，則通過(guò) Inter密鑰交換動(dòng)態(tài)創(chuàng)建。 SA 是兩個(gè)通信實(shí)體經(jīng)協(xié)商建立起來(lái)的一種協(xié)定，該協(xié)定決定了用來(lái)保護(hù)數(shù)據(jù)包安全的 IPSec 協(xié)議、轉(zhuǎn)碼方式、密鑰及密鑰的有效存活時(shí)間等。進(jìn)人或離開 IP 堆棧的每個(gè)數(shù)據(jù)包都必須檢索 SPD 數(shù)據(jù)庫(kù)，調(diào)查可能的安全應(yīng)用。運(yùn)行在網(wǎng)絡(luò)層上，所以屬于第三層隧道協(xié)議。 IPSec 確保端到端的數(shù)據(jù)安全。由上述的 GRE 協(xié)議處理過(guò)程可以看出，GRE 協(xié)議只提供了數(shù)據(jù)包的封裝，并沒(méi)有提供增強(qiáng)安全性的加密功能 。之后將封裝好的報(bào)文通過(guò) GRE 隧道接口發(fā)送出去。有效載荷數(shù)據(jù)包是被封裝的其他協(xié)議的數(shù)據(jù)包，若被封裝的協(xié)議為 IP 數(shù)據(jù)包，則有效載荷數(shù)據(jù)包就是一個(gè) IP 數(shù)據(jù)包。如圖 1 所示，這就是一個(gè)非常典型的利用 GRE隧道協(xié)議來(lái)實(shí)現(xiàn) VPN 網(wǎng)絡(luò)的模型，本文中所描述的各種情況均以該網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)為基礎(chǔ)。因?yàn)?GRE 可以封裝組播數(shù)據(jù)并在 GRE 隧道中傳輸，所以對(duì)于諸如路由協(xié)議、語(yǔ)音、視頻等組播3 數(shù)據(jù)需要在 IPsec 隧道中傳輸?shù)那闆r，可以通過(guò)建立 GRE 隧道，并對(duì)組播數(shù)據(jù)進(jìn)行 GRE 封裝，然后再對(duì)封裝后的報(bào)文進(jìn)行 IPSec 的加密處理，就實(shí)現(xiàn)了組播數(shù)據(jù)在 IPsec 隧道中的加密傳輸。 GRE 隧道不能配置二層信息，但可以配置 IP 地址。 GRE（ Generic Routing Encapsulation，通用路由封裝）協(xié)議是由 Cisco 和 Netsmiths 等公司于 1994 年提交給 IETF（ Inter Engineering Task Force，網(wǎng)絡(luò)工程工作小組）的，標(biāo)號(hào)為 RFC1701 和 RFC1702。 伴隨著網(wǎng)絡(luò)的誕生近幾年頻繁出現(xiàn)的安全事故引起了各國(guó) 計(jì)算機(jī)安全 界的高度重視，計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)也因此出現(xiàn)了日新月異的變化。而網(wǎng)絡(luò)協(xié)議（ Network Protcol）是控制計(jì)算機(jī)在網(wǎng)絡(luò)介質(zhì)上進(jìn)行信息交換的規(guī)則和約定。網(wǎng)絡(luò)協(xié)議通常會(huì)被按 OSI 參考模型的層次進(jìn)行劃分。安全核心系統(tǒng)、 VPN 安全隧道、 身份認(rèn)證 、網(wǎng)絡(luò)底層 數(shù)據(jù)加密 和網(wǎng)絡(luò)入侵主動(dòng)監(jiān)測(cè)等越來(lái)越高深復(fù)雜的安全技術(shù)極大地從不同層次加強(qiáng)了計(jì)算機(jī)網(wǎng)絡(luò)的整體安全性。GRE 協(xié)議規(guī)定了如何用一種網(wǎng)絡(luò)協(xié)議去封裝另一種網(wǎng)絡(luò)協(xié)議的方法，是一種最簡(jiǎn)單的隧道封裝技術(shù)，它提供了將一種協(xié)議的報(bào)文在另一種協(xié)議組成的網(wǎng)絡(luò)中傳輸?shù)哪芰Α１疚膹?GRE 協(xié)議的工作原理入手，從安全性角度出發(fā)， 詳細(xì)分析了 GRE 隧道協(xié)議的 不足與缺陷 ，最后提出了相關(guān)的安全防護(hù)方案。 課程設(shè)計(jì)的要求 GRE是傳統(tǒng) IP網(wǎng)絡(luò)中最常用的 VPN技術(shù) 。 (2) GRE協(xié)議數(shù)據(jù)包結(jié)構(gòu) GRE 協(xié)議可以實(shí)現(xiàn)對(duì) IP、 IPX、 AppleTalk 等協(xié)議數(shù)據(jù)包的封裝，本文以使用最為廣泛的 IP 協(xié)議為例。 (3) GRE 協(xié)議報(bào)文處理過(guò)程 GRE 協(xié)議報(bào)文在隧道中傳輸時(shí)，必須要經(jīng)過(guò)加封裝與解封裝兩個(gè)過(guò)程。 器 B 從 GRE 隧道接口收到路由器 A 發(fā)送的經(jīng)過(guò)封裝的 GRE 報(bào)文后， 檢查目 的地址，發(fā)現(xiàn)目的地就是此路 由器時(shí)，先去掉外部 IP 報(bào)頭，將剩下的報(bào)文交由GRE 協(xié)議處理。 IPsec 協(xié)議分析 IPsec 協(xié)議是目前用于所有 Inter_通信的唯一的一種安 全協(xié)議。 IPSe。IPSec 是一組協(xié)議套件，包括 AH(驗(yàn)證頭 ),ESP(封裝安全載荷 )、 IKE (Inter密鑰交換 )、 ISAKMP/Oakley 以及轉(zhuǎn)碼。每一個(gè) SPD 條目定義的行為是丟棄、繞過(guò)或應(yīng)用中的一
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號(hào)-1