- 1、本文档共82页,可阅读全部内容。
- 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
查看更多
IPSec详介绍
10 IPSec 本章要点: IPSec的概念、功能和体系结构 AH机制和功能 ESP机制和功能 IKE机制和功能 IPSec安全体系结构 IPSec(IP Security)是一种由IETF设计的端到端的确保IP层通信安全的机制。 IPSec不是一个单独的协议,而是一组协议,IPSec协议的定义文件包括了12个RFC文件和几十个Internet草案,已经成为工业标准的网络安全协议。 IPSec在IPv6中是必须支持的,而在IPv4中是可选的。 IP通信可能会遭受如下攻击:窃听、篡改、IP欺骗、重放…… IPSec协议可以为IP网络通信提供透明的安全服务,保护TCP/IP通信免遭窃听和篡改,保证数据的完整性和机密性,有效抵御网络攻击,同时保持易用性。 IPSec协议族相关的RFC IPSec的功能 作为一个隧道协议实现了VPN通信 第三层隧道协议,可以在IP层上创建一个安全的隧道,使两个异地的私有网络连接起来,或者使公网上的计算机可以访问远程的企业私有网络。 保证数据来源可靠 在IPSec通信之前双方要先用IKE认证对方身份并协商密钥,只有IKE协商成功之后才能通信。由于第三方不可能知道验证和加密的算法以及相关密钥,因此无法冒充发送方,即使冒充,也会被接收方检测出来。 保证数据完整性 IPSec通过验证算法保证数据从发送方到接收方的传送过程中的任何数据篡改和丢失都可以被检测。 保证数据机密性 IPSec通过加密算法使只有真正的接收方才能获取真正的发送内容,而他人无法获知数据的真正内容。 IPSec体系结构图 AH(Authentication Header) AH为IP数据包提供如下3种服务: 数据完整性验证 通过哈希函数(如MD5)产生的校验来保证 数据源身份认证 通过在计算验证码时加入一个共享密钥来实现 防重放攻击 AH报头中的序列号可以防止重放攻击。 ESP(Encapsulating Security Payload ) ESP除了为IP数据包提供AH已有的3种服务外,还提供另外两种服务: 数据包加密 对一个IP包进行加密,可以是对整个IP包,也可以只加密IP包的载荷部分,一般用于客户端计算机 数据流加密。 一般用于支持IPSec的路由器,源端路由器并不关心IP包的内容,对整个IP包进行加密后传输,目的端路由器将该包解密后将原始包继续转发。 加密是ESP的基本功能,而数据源身份认证、数据完整性验证以及防重放攻击都是可选的。 AH和ESP可以单独使用,也可以嵌套使用。通过这些组合方式,可以在两台主机、两台安全网关(防火墙和路由器),或者主机与安全网关之间使用。 IKE(Internet Key Exchange) IKE协议负责密钥管理,定义了通信实体间进行身份认证、协商加密算法以及生成共享的会话密钥的方法。 IKE将密钥协商的结果保留在安全联盟(SA)中,供AH和ESP以后通信时使用。 解释域DOI定义IKE所没有定义的协商的内容; DOI为使用IKE进行协商SA的协议统一分配标识符。共享一个DOI的协议从一个共同的命名空间中选择安全协议和变换、共享密码以及交换协议的标识符等, DOI将IPSec的这些RFC文档联系到一起。 安全联盟&安全联盟数据库 SA(Security Association,安全联盟) 是两个IPSec实体(主机、安全网关)之间经过协商建立起来的一种协定,内容包括采用何种IPSec协议(AH还是ESP)、运行模式(传输模式还是隧道模式)、验证算法、加密算法、加密密钥、密钥生存期、抗重放窗口、计数器等,从而决定了保护什么、如何保护以及谁来保护。可以说SA是构成IPSec的基础。 AH和ESP两个协议都使用SA来保护通信,而IKE的主要功能就是在通信双方协商SA。 SA是单向的,进入(inbound)SA负责处理接收到的数据包,外出(outbound)SA负责处理要发送的数据包。因此每个通信方必须要有两种SA,一个进入SA,一个外出SA,这两个SA构成了一个SA束(SA Bundle)。 SA的表示方法 每个SA由三元组(SPI,IP目的地址,IPSec协议)来惟一标识 SPI(Security Parameter Index,安全参数索引)是32位的安全参数索引,用于标识具有相同IP地址和相同安全协议的不同的SA,它通常被放在AH或ESP头中 。 IP目的地址:IP目的地址,它是SA的终端地址。 IPSec协议:采用AH或ESP。 SA的管理(1) 创建:SA的创建分两步进行——先协商SA参数,再用SA更新SAD。 人工密钥协商:SA的内容由管理员手工指定、手工维护。 手工维护容易出错,而且手工建立的SA没有生存周期限制,永不过期,除非手工删除,因此有安全隐患。调
您可能关注的文档
- HLS和DAH流媒体服务全面对比.ppt
- HP12C计器 使用说明.ppt
- HR员工招聘选拔.ppt
- HR必看:超细的KPI指标的建立和分解方法.ppt
- HR高管试用工作报告.ppt
- I2SE2-行性分析.ppt
- IC3大赛练题(修改版).ppt
- IEC6035-1标准讲解(测试篇).ppt
- IEC6180模型介绍_-_副本.ppt
- IE七大浪费八大改善步骤.ppt
- 原电池电动势的测定实验报告.pdf
- 与业主、设计、总包、监理和他承包人的配合措施.pdf
- 公司管理流程.pptx
- 2024_2025学年新教材高中地理第1章地球的运动素养综合训练新人教版选择性必修1.doc
- 2024_2025学年新教材高中地理第3章大气的运动第1节常见天气系统第1课时锋与天气分层作业新人教版选择性必修1.doc
- 2024_2025学年新教材高中地理第1章地球的运动第2节地球运动的地理意义第4课时正午太阳高度的变化四季更替和五带划分分层作业课件新人教版选择性必修1.pptx
- 2024_2025学年新教材高中地理第2章地表形态的塑造第2节构造地貌的形成第1课时地质构造与地貌课件新人教版选择性必修1.pptx
- 2024_2025学年新教材高中地理第1章地球的运动问题研究人类是否需要人造月亮课件新人教版选择性必修1.pptx
- 五片小雪花课件.pdf
- 2024_2025学年新教材高中地理第3章大气的运动第2节气压带和风带第1课时气压带和风带的形成分层作业课件新人教版选择性必修1.pptx
最近下载
- Beautiful Ireland and Its Traditions优秀教学课件.pptx
- 2023年第二届新晨杯_B题.pdf VIP
- 光储柴一体化供电系统应用调研及系统方案.ppt
- 毕业设计(论文)某机械加工车间低压配电系统及车间变电所设计.doc
- 火锅店安全管理制度解析.docx
- 机械制图习题集(多学时)第4版课后习题答案.pdf VIP
- 《祝福》《林教头风雪山神庙》《装在套子里的人》联读课件 统编版高中语文必修下册.pptx
- 2020-2021学年广东省广州市天河区七年级(下)期末语文试卷.doc VIP
- 彩钢板屋面除锈及防水工程施工方案.doc VIP
- 肺隐球菌病病人的护理.pptx
文档评论(0)