第十一章安全管理(參考版)
2025-01-25 22:54本頁面
【正文】 VPN是保障通信安全的有效手段，本章講述了 VPN的 4中使用形式，并給出了 H2H設(shè)置實(shí)例。 可以用如下命令行來啟動(dòng) H2H和 N2N連接： [rootlocalhost~]/sbin/ifup nickname nickname為創(chuàng)建 IPsec連接時(shí)為連接設(shè)置的標(biāo)識(shí)，本書的例子 :/sbin/ifup Ipsec0 停止 Ipsec連接，可以用如下命令行： [rootlocalhost ~]/sbin/ifdown nickname 本書的例子 :/sbin/ifdown Ipsec0 小 結(jié) 本章主要關(guān)注 Linux上的安全機(jī)制。在 /etc/raccoon/remouteip.conf文件中 ,對(duì)于本例文件名為 。 /sbin/racoon進(jìn)行 IKE密鑰管理，用來進(jìn)行安全聯(lián)盟的參數(shù) (Security Association， SA)和不同系統(tǒng)之間的共享密鑰的管理。 隨后在另一臺(tái)計(jì)算機(jī) Linux Server B上做相似的設(shè)置，其中的密鑰值雙方必須保持一致。 圖 1123 核對(duì)用戶設(shè)置的 VPN參數(shù) （ 11）全部設(shè)置完成后的狀態(tài)如圖 1124所示，選擇“文件” | “保存”命令，保存所作的各項(xiàng)設(shè)置。再設(shè)置全部完成以后，可以單擊“網(wǎng)絡(luò)配置”對(duì)話框工具欄的【編輯】按鈕來修改各個(gè)參數(shù)。 1121（ a）認(rèn)證和加密密鑰生成對(duì)話框 圖 1121（ b） 輸入簡單口令句來生成密鑰 若分別用“ a”和“ b”作為種子，密鑰生成完成后的狀態(tài)如圖 1122所示。 圖 1120 設(shè)置 VPN連接的遠(yuǎn)程地址和連接參數(shù) （ 9）輸入認(rèn)證密鑰和加密密鑰，密鑰最好由數(shù)字和字符組成，并且要有足夠的長度，也可以單擊【生成】按鈕，而后在彈出的對(duì)話框中輸入一個(gè)簡單密鑰，由程序自動(dòng)產(chǎn)生一個(gè)復(fù)雜的密鑰，這樣更方便用戶使用。 圖 1119 設(shè)置 VPN的認(rèn)證和加密參數(shù) （ 8）輸入“遠(yuǎn)程 IP地址”和安全參數(shù)。 圖 1118 選擇加密密鑰管理方式 （ 7）輸入安全參數(shù)，包含認(rèn)證密鑰和加密密鑰，輸入的數(shù)值必需在 256 和 4 294 967 295之間。如果單擊了【使用固定密鑰手工加密】按鈕，則在后續(xù)步驟中需要輸入一個(gè)加密密鑰，本例就是選擇了此選項(xiàng)；如果單擊了【通過 IKA(racoon)的加密模式自動(dòng)選擇】按鈕，則racoon后臺(tái)進(jìn)程會(huì)自動(dòng)管理加密密鑰，前提是系統(tǒng)中必需安裝ipsectools包。 圖 1116 為 IPsec連接設(shè)置標(biāo)識(shí)名 （ 5）選擇 VPN的類型，本節(jié)實(shí)例單擊【主機(jī)到主機(jī)加密】按鈕，如圖 1117所示。H2H VPN通信的主機(jī)不要求該名字是相同的。 圖 1114 IPsec狀態(tài)顯示界面 （ 3）從“網(wǎng)絡(luò)配置”工具欄中單擊【新建】按鈕，開始新建一個(gè)VPN連接，如圖 1115所示。 也可以在終端窗口中輸入“ systemconfigwork”命令來打開該窗口。 VPN的設(shè)置要在物理機(jī)器上進(jìn)行，不要遠(yuǎn)程進(jìn)行。 在設(shè)置 VPN之前，通訊雙方要事先商定好采用的密鑰，雙方配置的密鑰必需相同。 H2H VPN如圖 1110所示： 計(jì) 算 機(jī) A 計(jì) 算 機(jī) B路 由 器 BI n t e r n e t路 由 器 A虛 線 所 示 為 V P N 連 接 范 圍圖 1110 Host to Host VPN N2N VPN如圖 1111所示 計(jì) 算 機(jī) A 計(jì) 算 機(jī) B路 由 器 BI n t e r n e t路 由 器 A虛 線 所 示 為 V P N 連 接 范 圍圖 1111 Network to Network VPN 1. 主機(jī)到主機(jī)的 VPN的設(shè)置 H2H VPN可以在兩個(gè)系統(tǒng)之間建立加密連接，兩個(gè)系統(tǒng)之間必需使用相同的認(rèn)證密鑰，否則連接不能建立。除了TCP/IP協(xié)議外， IPSec不支持其他協(xié)議；除了包過濾之外，它沒有指定其他的訪問控制方法。支持一系列加密算法如 DES、三重 DES(3DES)、Blowfish和 IDEA等；檢查傳輸?shù)臄?shù)據(jù)包的完整性，確保數(shù)據(jù)沒有被修改；用來在多個(gè)防火墻和服務(wù)器之間提供安全性；可確保運(yùn)行在 TCP/IP協(xié)議上的 VPNs之間的互操作性。 I P報(bào) 頭I P 載 荷T C P 報(bào) 文 、 U D P 報(bào) 文 和 I C M P 報(bào) 文身 份 驗(yàn) 證 報(bào)頭 ( A H )由 身 份 驗(yàn) 證 報(bào) 頭 簽 名I P 數(shù) 據(jù) 報(bào)I P報(bào) 頭I P報(bào) 頭I P 載 荷T C P 報(bào) 文 、 U D P 報(bào) 文 和 I C M P 報(bào) 文E S P 頭由 E S P 報(bào) 頭 加 密E S P報(bào) 尾E S P A U T H報(bào) 尾I P 數(shù) 據(jù) 報(bào)I P報(bào) 頭由 E S P 報(bào) 尾 簽 名圖 118 AH隧道模式 圖 119 ESP隧道模式 IPsec協(xié)議的作用：一是保護(hù) IP數(shù)據(jù)包的內(nèi)容，二是通過數(shù)據(jù)包篩選并實(shí)施受信任通訊來防御網(wǎng)絡(luò)攻擊。外部 IP報(bào)頭的 IP地址是隧道終結(jié)點(diǎn)，封裝的 IP報(bào)頭的 IP地址是最終源地址與目標(biāo)地址。使用 IPSec 隧道模式時(shí)， IPSec對(duì) IP報(bào)頭和有效負(fù)載進(jìn)行加密，而傳輸模式只對(duì) IP有效負(fù)載進(jìn)行加密。如圖117所示。在這種模式下，鑒別的部分僅為數(shù)據(jù)， IP地址無法得到保護(hù)，有受到重播攻擊的危險(xiǎn)。 IPsec有兩種使用形式： （ 1）傳送模式。 IPSec是 Inter Protocol Security的縮寫，是 IETF（因特網(wǎng)任務(wù)工作組）制訂的安全標(biāo)準(zhǔn)，它把幾種安全技術(shù)結(jié)合在一起形成一個(gè)較為完整的體系，受到了眾多廠商的關(guān)注和支持。以 IP為主要通訊協(xié)議的 V
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1