ipsecvpn详解及其配置.pdfVIP

3 ipsev-vpn 3 ipsev-vpn 第33章 iippsseevv--vvppnn原理及其配置 3.1 ipsec-vpn 3.1 ipsec-vpn 33..11iippsseecc--vvppnn的概述 3.1.1 ipsec-vpn 3.1.1 ipsec-vpn 33..11..11iippsseecc--vvppnn简介 IPSec (IPSECURITY)是为实现VPN 功能而最普遍使用的协议。通过相应的隧道 技术，可实现VPN。IPSec 有两种模式：隧道模式和传输模式。 IPSec 不是一个单独的协议，它给出了应用于IP 层上网络数据安全的一整套体 系结构。该体系结构包括认证头协议（Authentication Header，简称为AH）、 封装安全负载协议（EncapsulatingSecurity Payload，简称为ESP）、密钥管 理协议（Internet Key Exchange，简称为IKE）和用于网络认证及加密的一些 算法等。IPSec 规定了如何在对等体之间选择安全协议、确定安全算法和密钥交 换，向上提供了访问控制、数据源认证、数据加密等网络安全服务。 3.1.2 ipsec-vpn 3.1.2 ipsec-vpn 33..11..22iippsseecc--vvppnn的工作原理 ♦ 认证头协议（AH）：IPsec 体系结构中的一种主要协议，它为IP 数据包提供 无连接完整性与数据源认证，并提供保护以避免重播情况。AH 尽可能为IP头和 上层协议数据提供足够多的认证。 ♦ IPsec 封装安全负载（ESP）：IPsec 体系结构中的一种主要协议。ESP 加密 需要保护的数据并且在IPsec ESP 的数据部分进行数据的完整性校验，以此来 保证机密性和完整性。ESP 提供了与AH 相同的安全服务并提供了一种必威体育官网网址性 （加密）服务，ESP 与AH 各自提供的认证根本区别在于它们的覆盖范围。 ♦ 密钥管理协议（IKE）：一种混合型协议，由Internet 安全联盟（SA）和密 钥管理协议（ISAKMP）这两种密钥交换协议组成。IKE 用于协商AH 和ESP所使 用的密码算法，并将算法所需的必备密钥放到恰当位置。 IPSec工作时，首先两端的网络设备必须就SA(securityassociation)达成一致， 这是两者之间的一项安全策略协定。 安全联盟（Security Association） IPSec 在两个端点之间提供安全通信，两个端点被称为IPSec ISAKMP 网关。安 全联盟（简称为SA）是IPSec 的基础，也是IPSec 的本质。SA 是通信对等体 间对某些要素的约定，例如使用哪种协议、协议的操作模式、加密算法（DES、 3DES、AES-128、AES-192 和AES-256）、特定流中保护数据的共享密钥以及SA 的 生存周期等。 安全联盟是单向的，在两个对等体之间的双向通信，最少需要两个安全联盟来分 别对两个方向的数据流进行安全保护。 SA 建立方式 建立安全联盟的方式有两种，一种是手工方式（Manual），一种是IKE 自动协 商（ISAKMP）方式。 手工方式配置比较复杂，创建安全联盟所需的全部信息都必须手工配置，而且 IPSec 的一些高级特性（例如定时更新密钥）不能被支持，但优点是可以不依赖 IKE而单独实现IPSec 功能。该方式适用于当与之进行通信的对等体设备数量较 少的情况，或是在小型静态环境中。 IKE 自动协商方式相对比较简单，只需要配置好IKE 协商安全策略的信息，由 IKE 自动协商来创建和维护安全联盟。该方式适用于中、大型的动态网络环境中。 该方式建立SA 的过程分两个阶段。第一阶段，协商创建一个通信信道（ISAKMP SA），并对该信道进行认证，为双方进一步的IKE 通信提供机密性、数据完整 性以及数据源认证服务；第二阶段，使用已建立的ISAKMP SA 建立IPsec SA。 分两个阶段来完成这些服务有助于提高密钥交换的速度。 第一阶段SA 第一阶段SA 为建立信道而进行的安全联盟。第一阶段协商的步骤是： 1. 参数配置。包括： • 认证方法：选择预共享密钥或数字证书认证 • Diffie-Hellm