網(wǎng)絡(luò)安全概述_07ipsec及fw-文庫吧資料
2025-02-12 11:12本頁面
【正文】 ……SA3SA2SA158安全關(guān)聯(lián)－ SA167。0被保留用于本地實(shí)現(xiàn)SAn……SA3SA2SA157安全關(guān)聯(lián)－ SA167。32位整數(shù)，唯一標(biāo)識 SA167。 終止的 SA將從 SAD中刪除55安全關(guān)聯(lián)－ SASAn……SA3SA2SA156安全關(guān)聯(lián)－ SA167。 當(dāng)一個(gè) SA協(xié)商完成后，兩個(gè)對等方都在其安全關(guān)聯(lián)數(shù)據(jù)庫 (SAD)中存儲該 SA參數(shù)167。 用于保護(hù)數(shù)據(jù)流的密鑰的生存期54安全關(guān)聯(lián)－ SA167。 密碼算法167。 IPSec協(xié)議167。加密算法 － 3DES、 RC IDEA、 3IDEA、 CAST、 Blowfish167。無連接的完整性167。有限的數(shù)據(jù)流保密性167。 兩種模式：傳輸模式和隧道模式44ESP服務(wù)提供的服務(wù)包括167。 將需要保密的用戶數(shù)據(jù)進(jìn)行加密后再封裝到一個(gè)新的 IP包中， ESP只鑒別 ESP頭之后的信息167。克服了傳輸模式的一些缺點(diǎn)4142AH輸出－輸入處理流程 43 ESP167。保護(hù)點(diǎn)到點(diǎn)通信167。保護(hù)端到端通信167。 生成 ICV的算法由 SA指定，具體視 IPSec的具體實(shí)現(xiàn)而定167。具體的滑動(dòng)窗口因 IPSec的實(shí)現(xiàn)而異35AH頭說明－ Authentication Data167。 AH規(guī)范強(qiáng)制發(fā)送者必須發(fā)送 SN給接收者，而接收者可以選擇不使用抗重放特性，這時(shí)它不理會該 SN167。 SA建立時(shí)，發(fā)送方和接收方 SN初始化為 0167。32bit167。可選的抗重放服務(wù)167。數(shù)據(jù)源認(rèn)證167。 鑒別算法由 SA指定 － 鑒別的范圍：整個(gè)包167。 為 IP包提供數(shù)據(jù)完整性和鑒別功能167。– 其他：解釋域 DOI－ RFC240 IPComp－ RFC239 Roadmap－ RFC2411。25IPSec體系結(jié)構(gòu)26? IPSec協(xié)議主要內(nèi)容包括：– 協(xié)議框架－ RFC2401；– 安全協(xié)議： AH協(xié)議－ RFC240 ESP協(xié)議－RFC2406；– 密鑰管理協(xié)議： IKE － RFC2409 、 ISAKMP－RFC240 OAKLEY協(xié)議－ RFC2412。 兩個(gè)數(shù)據(jù)庫：安全策略數(shù)據(jù)庫 SPD，安全關(guān)聯(lián)數(shù)據(jù)庫 SAD167。 兩種操作模式：傳輸模式，隧道模式167。24IPSec體系167。–VPN系統(tǒng)中常用的幾種密鑰管理協(xié)議包括：IKE協(xié)議、 SKIP協(xié)議、 Kerberos協(xié)議。21? 密鑰管理–VPN技術(shù)的開放性預(yù)示著必須采用各種公開密碼算法， 這樣算法的安全強(qiáng)度不能僅依賴于算法本身，只能依靠密鑰的機(jī)密性。這里協(xié)議 X稱作被封裝協(xié)議，協(xié)議 Y稱為封裝協(xié)議。– 隧道使用隧道協(xié)議來封裝數(shù)據(jù)。– 虛擬：– 專用網(wǎng)：封閉的用戶群、安全性高 、服務(wù)質(zhì)量保證 ? IETF對基于 IP的 VPN定義：使用 IP機(jī)制仿真出一個(gè)私有的廣域網(wǎng)。11Inter周邊網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)……外部路由器堡壘主機(jī)內(nèi)部路由器12網(wǎng)絡(luò)隔離? 物理隔離的指導(dǎo)思想與防火墻絕然不同：防火墻的思路是在保障互聯(lián)互通的前提下，盡可能安全，而物理隔離的思路是在保證必須安全的前提下，盡可能互聯(lián)互通。周邊網(wǎng)絡(luò)的作用：即使堡壘主機(jī)被入侵者控制，它仍可消除對內(nèi)部網(wǎng)的偵聽。堡壘主機(jī)位于周邊網(wǎng)絡(luò)上，周邊網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)被內(nèi)部路由器分開。? 堡壘主機(jī)配置在內(nèi)部網(wǎng)絡(luò)上，是外部網(wǎng)絡(luò)主機(jī)連接到內(nèi)部網(wǎng)絡(luò)主機(jī)的橋梁，它需要擁有高等級的安全。– 典型構(gòu)成：包過濾路由器＋堡壘主機(jī)。Inter防火墻雙重宿主主機(jī)內(nèi)部網(wǎng)絡(luò)…… 9? 屏蔽主機(jī)體系– 屏蔽主機(jī)體系結(jié)構(gòu)由防火墻和內(nèi)部網(wǎng)絡(luò)的堡壘主機(jī)承擔(dān)安全責(zé)任。? 必須支持很多用戶的訪問（中轉(zhuǎn)站），其性能非常重要。 這種情況主要是因?yàn)楝F(xiàn)在的 IP地址不夠用，要申請到足夠多的合法 IP地址很難辦到，因此需要翻譯 IP地址。這樣互聯(lián)網(wǎng)上的主機(jī)無法判斷內(nèi)部網(wǎng)絡(luò)的情況。? 數(shù)據(jù)包過濾優(yōu)點(diǎn)：– 速度快，性能高– 對用戶透明? 數(shù)據(jù)包過濾缺點(diǎn)：– 維護(hù)比較困難 (需要對 TCP/IP了解）– 安全性低（ IP欺騙等）– 不提供有用的日志，或根
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1