网络安全与管理课程课件-unit5-VPN技术.pptVIP

（8）配置Xauth 在Cisco IOS 路由器上配置进行登录身份认证的操作为在全局配置模式下输入： crypto map 加密图名 client authentication list AAA身份认证策略名 2. EasyVPN客户端配置 （1）创建VPN连接配置项，并定义连接参数 （2）建立VPN连接 Page * 2. EasyVPN客户端配置 5.4 模拟公司网络安全通信配置方案 Page * ISAKMP策略 变换集参数 加密图参数 优先级：1 加密算法：3DES 散列算法：SHA D-H算法：2 认证方式：预共享密钥 预共享密钥：随机生成 变换集名：ts-vpn-公司机构代号 封装协议及加密算法：ESP-3DES 封装协议及认证算法：ESP-SHA-HMAC 加密图名：map-vpn 加密图条目序号：公司机构代号 ISAKMP策略 变换集参数 加密图参数 优先级：1 加密算法：3DES 散列算法：SHA D-H算法：2 认证方式：预共享密钥 预共享密钥：随机生成 变换集名：ts-rvpn 封装协议及加密算法：ESP-3DES 封装协议及认证算法：ESP-SHA-HMAC 加密图名：map-vpn 动态加密图名：dmap-rvpn 加密图条目序号：100 Page * 清华大学出版社 E-Mail: thsjzpc@ Thanks！ * * 3. IPSec密钥决策和密钥交换机制 IPSec VPN在IPSec VPN隧道建立前，使用ISAKMP和IKE两个协议来解决对等体识别、密钥协商和密钥交换问题。 Page * （1）ISAKMP Internet Security Association and Key Management Protocol Internet安全关联和密钥管理协议 描述了密钥管理的框架，并定义了建立、协商、修正和删除安全关联SA（Security Association）的程序和分组格式。 SA是VPN中两个对等体间使用的安全策略，包含对等体间传输安全协议报文所需的安全参数。 注意，ISAKMP提供了对等体识别和建立SA功能，但不提供密钥交换机制。 Page * （2）IKE Internet Key Exchange，Internet密钥交换 是一个组合了ISAKMP、Oakley密钥转换和SKEME等协议的混合型协议，定义了对等体识别和密钥交换机制。 IKE协议使用UDP 500端口通信。 IKE定义了一个两阶段工作模型。 第1阶段先在对等体间建立一个用来交换管理信息的安全通道ISAKMP SA； 第2阶段在第1阶段建立的安全通道上交换信息，并最终在对等体间建立真正用于传输业务数据的安全通道IPSec SA。 Page * （2）IKE 主模式协商过程示意 野蛮模式协商过程示意 Page * （2）IKE Page * 4. IPSec VPN运行步骤 （1）当被指定受VPN保护的流量经过网络设备时，网络设备被触发建立VPN安全隧道。 注意，由于加密、解密运算非常耗费网络通信设备的资源；加密、解密处理，也增加了通信处理环节，加大了数据传输时延，因此只加密、解密需要保护的数据，是规划和设计VPN实施方案时必须考虑的内容。 （2）网络设备根据VPN配置，作为对等体与另一远端对等体进行IKE第1阶段协商，建立一条ISAKMP SA安全连接通道，用于保护第2阶段IKE协商。 （3）网络设备作为对等体在已建立的ISAKMP SA安全连接通道上协商建立IPSec SA。 （4）网络设备作为对等体在已建立的IPSec SA上传输数据，按照协商的定义，使用ESP、AH协议处理通信数据。 （5）在IPSec隧道终结时，删除或终结IPSec SA，释放资源。 Page * 5.3 IPSec VPN配置 构建IPSec VPN，需要配置以下几项内容： 在哪些网络、主机间建立IPSec VPN安全隧道； 建立ISAKMP SA所需的各项参数； 建立IPSec SA所需的各项参数； 将IPSec SA与所要保护的网络、主机绑定在一起； 指定网络设备哪个接口来处理IPSec VPN。 Page * 5.3.1 站到站VPN配置 序号 操作 相关命令 必要 步骤1 检查网络访问控制，确保IPSec报文被允许通过。 show ip access-list 可选 步骤2 定义建立ISAKMP SA所需的各项参数。 crypto isakmp policy 及其子命令group、authentication、encryption 、hash、lifetime 是 步骤3 定义对等体间预共享密钥。 crypto isakmp key 是 步骤4 定义建立IPSec SA所需的各