網(wǎng)絡(luò)安全協(xié)議課程設(shè)計-ipsec隧道協(xié)議的安全分析與改進-文庫吧資料
2025-06-12 11:57本頁面
【正文】 B 和 NE16B 的互連 IP 地址為 ，NE08B 連接 Inter 的接口 IP 地址為 。因為 GRE 可以封裝組播數(shù)據(jù)并在 GRE 隧道中傳輸，所以對于諸如路由協(xié)議、語音、視頻等組播數(shù)據(jù)需要在 IPSec 隧道中傳輸?shù)那闆r，可以通過建立 GRE 隧道，并對組播數(shù)據(jù)進行 GRE 封裝，然后再對封裝后的報文進行 IPsec 的加密處理，就實現(xiàn)了組播數(shù)據(jù)在 IPsec 隧道中的加密傳輸。組播報文本身就是一個 IP 報文，采用上面的設(shè)想就等同于在一個 IP 報文前面再加上或者可以說是再封裝一個單播的 IP 報文頭，能夠?qū)崿F(xiàn)這種 IP 內(nèi)封裝 IP 的協(xié)議或者技術(shù)，我們可以采用 GRE。 四、協(xié)議完善具體實現(xiàn) 實現(xiàn)分析 既然 IPSEC 協(xié)議只能對單播數(shù)據(jù)報文進行加密，我們可以設(shè)想把組播源或者組 播客戶端發(fā)出的組播報文，采用某種技術(shù)或者協(xié)議在組播報文的前面封裝一個單播的 IP 報文頭，構(gòu)造一個普通的單播 IP 數(shù)據(jù)報文，組播報文可以看作是它的數(shù)據(jù)凈荷，那么這個構(gòu)造的報文在傳輸過程中，就可以使用 IPsec 協(xié)議對其進行加密了，這也意味著組播報文作為構(gòu)造的單播 IP 數(shù)據(jù)報文里“數(shù)據(jù)凈荷”被加密了。 隨著企業(yè)規(guī)模的擴大，現(xiàn)在需要開啟大量新業(yè)務(wù)，比如：語音、視頻等組播業(yè)務(wù)，組播服務(wù)器放在公司總部，組播客戶端位于分支機構(gòu)，網(wǎng)絡(luò)結(jié)構(gòu)如下 : 當(dāng)總部向分支機構(gòu)提供語音、視頻等組播業(yè)務(wù)時，組播數(shù)據(jù)流要通過 Inter進行傳輸，出于安全的需要，也要求使用 IPSEC 技術(shù)對客戶在 Inter 上傳送的語音、視頻等組播數(shù)據(jù)包進行加密，保證組播數(shù)據(jù)報文在 Inter 上傳輸時的私有性、完整性和真實性。 三、協(xié)議漏洞 協(xié)議漏洞解決措施 GRE over IPsec，是將整個已經(jīng)封裝過的 GRE 數(shù)據(jù)包進行加密 ， 于 IPsec 不支持對多播和廣播數(shù)據(jù)包的加密，這樣的話，使用 IPsec 的隧道中，動態(tài)路由協(xié)議等依靠多播和廣播的協(xié)議就不能進行正常通告，所以，這時候要配合 GRE 隧道， GRE隧道會將多播和廣播數(shù)據(jù)包封裝到單播包中，再經(jīng)過 IPsec 加密。在進人通信時，若 SA 不存在，則丟棄數(shù)據(jù)包 。 SA 是單向的，對于一個主機分別有 SA (in)和SA(out)處理進人和外出的數(shù)據(jù)包。實施方案都要構(gòu)建一個安全聯(lián)盟數(shù)據(jù)庫 (Security Association Database,SADB)來維護 SA 記錄。每一個 SPD 條目定義的行為是丟棄、繞過或應(yīng)用中的一種。在 SPD數(shù)據(jù)庫中，每個條目都定義了所要保護的通信類別、保護方法以及與誰共享這種保護。IPSec 是一組協(xié)議套件，包括 AH(驗證頭 ),ESP(封裝安全載荷 )、 IKE (Inter密鑰交換 )、 ISAKMP/Oakley 以及轉(zhuǎn)碼。 IPSe。 IPSe。提供了一種標(biāo)準(zhǔn)的、健壯的以及包容廣泛的機制，為運行于 IP 頂部的任何一種協(xié)議 (如 TCP,U DP,IC MP 等 )提供保護。 IPsec 協(xié)議分析 IPsec 協(xié)議是目前用于所有 Inter_通信的唯一的一種安 全協(xié)議。再將解封裝之后的 IP 報文交由 IP 報文處理進程象對待一般 IP 報文一樣對此報文進行處理，即將該 IP 數(shù)據(jù)包交給連接內(nèi)部網(wǎng)絡(luò)的接口，按照目的地址發(fā)送給主機 B。 器 B 從 GRE 隧道接口收到路由器 A 發(fā)送的經(jīng)過封裝的 GRE 報文后， 檢查目 的地址，發(fā)現(xiàn)目的地就是此路 由器時，先去掉外部 IP 報頭，將剩下的報文交由GRE 協(xié)議處理。由于其目的地址為總部網(wǎng)絡(luò)中的 IP 地址，則開始進行數(shù)據(jù)包的加封裝，即在該 IP 報文前加上新的 IP 報頭即外部 IP 報頭和 GRE 報頭。 (3) GRE 協(xié)議報文處理過程 GRE 協(xié)議報文在隧道中傳輸時，必須要經(jīng)過加封裝與解封裝兩個過程。 GRE 報頭部用來傳送與有效負載數(shù)據(jù)包有關(guān)的控制信息，用來在控制 GRE 數(shù)據(jù)包在隧道中的傳輸以及 GRE 報文加封裝和解封裝過程，其結(jié)構(gòu)如圖 3 所示。 (2) GRE協(xié)議數(shù)據(jù)包結(jié)構(gòu) GRE 協(xié)議可以實現(xiàn)對 IP、 IPX、 AppleTalk 等協(xié)議數(shù)據(jù)包的封裝，本文以使用最為廣泛的 IP 協(xié)議為例。 二、問題分析 系統(tǒng) 需求 實現(xiàn)這個需求首先要知道 IPSEC 協(xié)議只能對單播數(shù)據(jù)報文進行加密，我們可以設(shè)想把組播源或者組播客戶端發(fā)出的組播報文，采用某種技術(shù)或者協(xié)議在組播報文的前面封裝一個單播的 IP 報文頭，構(gòu)造一個普通的單播 IP 數(shù)據(jù)報文，組播報文可以看作是它的數(shù)據(jù)凈荷，那么這個構(gòu)造的報文在傳輸過程中，就可以使用IPsec 協(xié)議對其進行加密了，這也意味著組播報文作為構(gòu)造的單播 IP 數(shù)據(jù)報文里“數(shù)據(jù)凈荷”被加密了 . GRE 協(xié)議分析 (1) GRE 協(xié)議廣泛應(yīng)用于建立 VPN 網(wǎng)絡(luò)隧道，例如有一個大型企業(yè)需要利用 VPN將分布在兩地的總部 和辦事處網(wǎng)絡(luò)連接起來，在辦事處網(wǎng)絡(luò)路由器 A 與總部網(wǎng)絡(luò)路由器 B 之間建立一個 GRE 隧道，則辦事處網(wǎng)絡(luò)中的主機 A 和總部網(wǎng)絡(luò)中的主機B 可以通過該隧道進行網(wǎng)絡(luò)通信。 課程設(shè)計的要求 GRE是傳統(tǒng) IP網(wǎng)絡(luò)中最常用的 VPN技術(shù) 。 課程設(shè)計的內(nèi)容 將 GRE 與 IPsec 結(jié)合使用，彌補 IPsec 不能保護組播數(shù)據(jù)的缺陷。本文從 GRE 協(xié)議的工作原理入手，從安全性角度出發(fā)， 詳細分析了 GRE 隧道協(xié)議的 不足與缺陷 ，最后提出了相關(guān)的安全
畢業(yè)設(shè)計相關(guān)推薦
鄂ICP備17016276號-1