ipsec原理.pptVIP

* * * * * * * * * * * * * * * 主要模式受系统的IPSec策略规则的控制，只使用规则中的筛选器中的源地址和目标地址。一旦协商成功，IKE SA默认将持续8个小时。如果在8个小时结束时仍在传输数据，那么将自动重新协商主要模式的安全关联。 在入站SA上空闲5分钟之后，两个IPSec SA被清除。如果再发送要求IPSec安全的通信，那就再进行IKE快速协商，以重新建立两个新的IPSec安全关联。这两个安全关联将使用新密钥。默认每隔1小时或在传输100M之后，快速模式的IPSec安全关联就需要重新协商。如果在过期前5分钟内持续地传输数据，那么IPSec安全关联将自动在过期之前重新协商。传输更多数据的一方，或启动了以前的快速模式SA的一方，将启动新的快速模式SA。 * 使用 IPSec 配置网络安全 今日议题 课程导入 IPSec概述 IPSec的初步实现 IPSec工作原理 IPSec策略祥解 IPSec验证方法祥解 IPSec监控与排错 QA 1 课程导入 为什么TCP/IP是不安全的？ 风险＝漏洞＋威胁 漏洞：硬件漏洞，操作系统漏洞，应用程序漏洞，管理漏洞， 威胁 1）窃听 2）数据篡改 3）身份欺骗（IP地址欺骗） 4）盗用口令攻击（Password-Based Attacks） 5）拒绝服务攻击（Denial-of-Service Attack） 6）中间人攻击（Man-in-the-Middle Attack） 7）盗取密钥攻击（Compromised-Key Attack） 8）Sniffer 攻击（Sniffer Attack） 9）应用层攻击（Application-Layer Attack） 2 IPSec概述 什么是IPSec IPSec (Internet 协议安全)是一个工业标准网络安全协议，为 IP 网络通信提供透明的安全服务，保护 TCP/IP 通信免遭窃听和篡改，可以有效抵御网络攻击，同时保持易用性。 IPSec的作用 1）保护IP数据包安全；2）为抵御网络攻击提供防护措施。 IPSec的优点 过滤每一个访问计算机的数据包，并可根据数据报的源IP地址、协议和端口进行过滤 对应用程序完全透明，应用程序无需任何调整 三种身份验证 对数据包进行加密，以防止数据包在网络传输中被截取 使用HASH算法保障数据包在传输过程中保持完整性 确保每个IP数据包的唯一性 3 IPSec的初步实现 基本组件 筛选器：过滤规则 筛选器操作：允许，阻止，协商安全 身份验证方法 Kerberos V5 协议：适用于由 Windows 2000 或者 Windows Server?2003 域或者受信任的 Active Directory 域进行身份验证的计算机 证书：需要证书授权中心 预共享密钥：预共享的密钥以明文方式存储，因此安全性较差 4 IPSec的工作原理 IPSec 协议不是一个单独的协议，它给出了应用于IP层上网络数据安全的一整套体系结构，包括网络认证协议 Authentication Header（AH）、封装安全载荷协议Encapsulating Security Payload（ESP）、密钥管理协议Internet Key Exchange （IKE）和用于网络认证及加密的一些算法等。 IPSec 规定了如何在对等层之间选择安全协议、确定安全算法和密钥交换，向上提供了访问控制、数据源认证、数据加密等网络安全服务。 4 IPSec的工作原理 SA安全关联SA（Security Association）是单向的，在两个使用 IPSec的实体（主机或路由器）间建立的逻辑连接，定义了实体间如何使用安全服务（如加密）进行通信。它由下列元素组成：1）安全参数索引SPI；2）IP目的地址；3）安全协议。 AH协议为IP通信提供数据源认证、数据完整性和反重播保证，它能保护通信免受篡改，但不能防止窃听，适合用于传输非机密数据。 ESP为IP数据包提供完整性检查、认证和加密，可以看作是“超级 AH”， 因为它提供机密性并可防止篡改。ESP服务依据建立的安全关联（SA）是可选的。 IKE（Internet密钥交换）负责这些任务，它提供一种方法供两台计算机建立安全关联 (SA)。SA 对两台计算机之间的策略协议进行编码，指定它们将使用哪些算法和什么样的密钥长度，以及实际的密钥本身。包括ISAKMP和OKD。 4 IPSec的工作原理 TCP 层 IPSec 驱动程序 TCP 层 IPSec 驱动程序 加密的 IP 数据包 3 安全关联协商（ISAKMP） 2 IPSec 策略 IPSec 策略 1 Active Directory 4 IPSec的工作原理 模式 传输模式