ipsecvpn兩個階段協(xié)商過程分析-李心春-文庫吧資料
2024-08-17 23:45本頁面
【正文】 應(yīng)的預(yù)共享密鑰（此時，由于ID還沒到，彼此先用HASH來彼此驗證對方）HASH認(rèn)證成分——SKEYID_a、cookieA、cookieB、preshare_key、SA payload、轉(zhuǎn)換集和策略。消息4”生成的三個KEY，所以在后續(xù)的“消息5amp。由“于消息1amp。消息2”中協(xié)商的DH算法，以及接受端在消息4中給出的DH和nonce值來生成SKEYID_d、SKEYID_a、SKEYID_e三個密鑰；（3）5amp。因為有一個公式在數(shù)學(xué)中被論證成立，那么現(xiàn)在借助公式，就可以在兩個對等體上生成一個只有它們兩個對等體知道的相同的KEY，該公式為：發(fā)起者密鑰=(Xb)amod p = (Xa)bmod p=響應(yīng)者密鑰note：這個密鑰不是最終算法中使用的KEY，但兩個對等體通過該KEY材料來生成另外三個密鑰，分別是：SKEYID_d——此密鑰被用于計算后續(xù)IPSec密鑰資源；SKEYID_a——此密鑰被用于提供后續(xù)IKE消息的數(shù)據(jù)完整性以及認(rèn)證；SKEYID_e——此密鑰被用于對后續(xù)IKE消息進行加密；所以，由發(fā)起者發(fā)起的第三條消息主要是向?qū)Φ润w發(fā)送自己的DH公共值和Nonce隨機數(shù)；實際報文如下：由上述報文可知，發(fā)送方開始向接收方發(fā)送自己的DH公共值以及隨機數(shù)；對端收到后，可以根據(jù)“消息1amp。所以，該過程的目的是分別在兩個對等體間獨立地生成一個DH公共值，該公共值有什么作用？因為兩個對等體上都生成該DH公共值后，它們會在接下來的消息3和消息4中傳送給對方，打個比方，A收到了B的DH公共值，B收到了A的DH公共值。4消息：密鑰交換過程消息3：由發(fā)起者（即，隧道建立的發(fā)起者）發(fā)出，但是在發(fā)出消息3之前，有個過程必須要完成，就是DiffieHellman算法過程。消息2：由響應(yīng)者（即對端設(shè)備）回應(yīng)，內(nèi)容基本一樣，主要與發(fā)起者比較，是否與發(fā)起者的IKE策略匹配，不匹配則進行下一組比較，如果最終都找不到匹配，隧道就停止建立；（note：發(fā)起者將其所有IKE策略發(fā)給接受者，接受者則在自己的策略中尋找與之匹配的策略；對比順序從優(yōu)先級號小的到大的；默認(rèn)策略實際就是個模板沒作用，如果認(rèn)證只配置預(yù)共享的話，其他參數(shù)就會copy默認(rèn)策略里的）報文如下： 由上圖可知，接受端回應(yīng)的消息中，匹配了發(fā)送端的一條策略，如果有一條匹配，則不需要匹配其他策略。如下是抓包獲取到的信息（設(shè)備為Raise工業(yè)路由器）：由上圖可知，模式為主模式，載荷類型為SA。 （f）定時發(fā)送keepalive報文（不是必須攜帶）：IKE通過ISAKMP SA向?qū)Χ硕〞r發(fā)送KeepAlive報文維護該條ISAKMP SA的鏈路狀態(tài)。第一階段，通信各方彼此間建立了一個已通過身份驗證和安全保護的通道，即ISAKMP安全聯(lián)盟（ISAKMP SA）；第二階段，用在第一階段建立的安全通道為IPSec協(xié)商安全服務(wù)，即為IPSec協(xié)商具體的安全聯(lián)盟，建立IPSec SA，IPSec SA用于最終的IP數(shù)據(jù)安全傳送。 （d）DiffieHellman組標(biāo)識（DH）：用戶可以選擇Group 1即768bit 或 Group 2即1024bit。目前在IKE提議中，僅可用presharedkey（預(yù)共享密鑰）身份驗證方法，使用該驗證方法時必須配置身份驗證字，并且兩端的密鑰要完全一致。IKE野蠻模式相對于主模式來說更加靈活，可以選擇根據(jù)協(xié)商發(fā)起端的IP地址或者ID來查找對應(yīng)的身份驗證字，并最終完
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號-1