IPsec框架DH秘钥交换-数字化学习门户.PPTVIP

* 7.3.2.2 Encryption Algorithms * 7.3.2.2 Encryption Algorithms * 7.3.2.3 Diffie-Hellman Key Exchange * 7.3.2.3 Diffie-Hellman Key Exchange * * 7.3.2.4 Integrity with Hash Algorithms * 7.3.2.4 Integrity with Hash Algorithms * 7.3.2.5 IPsec Authentication * 7.3.2.6 IPsec Protocol Framework ah比esp少了一个整体包的加密功能。而 ESP 与 AH 各自提供的认证其根本区别在于它们的覆盖范围。ipsec vpn包括三个部分：ah esp ike。ah关注ip包头的完整性，认证，而没有数据部分的加密。esp主要是完整性，认证，和数据部分的加密。但是esp不能针对ip包头。只针对数据部分。就像是一个火车。ah是火车司机长只负责火车头的安全。esp是列车长，负责除了火车头之外的整个车厢的安全。 所以，是不同的。 * 7.3.2.6 IPsec Protocol Framework * 7.3.2.6 IPsec Protocol Framework IPsec 框架IPsec 协议框架（继续） 7.4 远程访问Remote Access 远程访问VPN解决方案远程访问VPN类型 部署远程访问VPN有两种主要的方法： 安全套接层 (SSL) - Secure Sockets Layer IP 安全性 (IPsec) 二者都能提供对于任何网络应用和资源的访问。 远程访问VPN解决方案Cisco SSL VPN 两种主要的部署模式: 思科安全移动无客户端SSL VPN (Cisco Secure Mobility Clientless SSL VPN) - 需要互联网浏览器 思科AnyConnect安全移动SSL客户端 (Cisco AnyConnect Secure Mobility Client with SSL)? - 需要思科AnyConnect客户端 远程访问VPN解决方案Cisco SSL VPN 解决方案 思科AnyConnect安全移动SSL客户端 基于客户端的SSL VPN提供像局域网用户一样的验证，具有对于企业资源的完整访问。 远程设备需要安装客户端应用，比如Cisco VPN 客户端 或者较新的AnyConnect 客户端。 思科安全移动无客户端SSL VPN 能提供对于企业资源的访问，甚至包括不是企业管理的远程设备。 Cisco ASA 用来作为到网络资源的代理设备。 为远程设备提供了Web门户界面，使用端口转发功能浏览网络。 远程访问VPN解决方案Cisco SSL VPN 解决方案 思科AnyConnect安全移动SSL客户端 思科安全移动无客户端SSL VPN IPsec远程访问VPNIPsec 远程访问 Cisco Easy VPN 解决方案由三部分组成: Cisco Easy VPN 服务器?- Cisco IOS 路由器 或 Cisco ASA 防火墙作为站点到站点或远程访问VPN中的头端设备（总部）。 Cisco Easy VPN 远端?- Cisco IOS 路由器 或 Cisco ASA 防火墙作为远程VPN客户（分支）。 Cisco VPN 客户端 – 在PC上安装的一个应用，用来访问Cisco VPN 服务器。 对于站点到站点和远程访问IPsec VPN来说，Cisco Easy VPN 解决方案向二者都提供了使用的灵活性、可扩展性以及简易性。 IPsec远程访问VPNIPsec 远程访问（继续） Cisco Easy VPN 协商隧道参数 通过设置的参数建立隧道 通过用户名、组名和密码验证用户 管理加密和解密的安全秘钥 通过隧道验证、加密和机密数据 IPsec远程访问VPNCisco Easy VPN 服务器和远端 Cisco Easy VPN 远端 Cisco Easy VPN 服务器 IPsec远程访问VPNCisco Easy VPN 客户端 IPsec远程访问VPN比较IPsec和SSL SSL IPsec 应用 Web能够实现的应用、文件共享、电子邮件 所有基于IP的应用 加密级别 中等到强壮 秘钥长度从40位到256位 强壮 秘钥长度从56位到256位 验证级别 中等 单向或双向验证 强壮 使用共享秘钥或数字证书的双向验证 连接复杂度 低 只需要一个Web浏览器 中等 对于不懂技术的用户有难度 连接选项 任何设备都可以连接 只有指定设备并且有相关配置才能连接 总结 VPN用