IPSECIKE模式.docx
- 文档编号:29537112
- 上传时间:2023-07-24
- 格式:DOCX
- 页数:10
- 大小:147.54KB
IPSECIKE模式.docx
《IPSECIKE模式.docx》由会员分享,可在线阅读,更多相关《IPSECIKE模式.docx(10页珍藏版)》请在冰豆网上搜索。
IPSECIKE模式
IPSEC-IKE-模式
华为HCNAv2.0进阶(PDF247页笔记)
1.IPsec可以用来保证Ip数据报文在网络传输的机密性、完整性、防重放等功能
2.机密性---数据包加密完整性---防止报文被篡改防重放----防攻击
3.IPSec不是一单独的协议,是通过AH和ESP两个安全协议实现IP数据报的安全传送。
4.IKE协议提供密钥协商,建立和维护安全联盟SA等服务。
5.IPSec由AHESPIKE三个协议套件组成
6,SA安全联盟定义对等体间数据封装方式认证和加密算法SA是单向的两个对等体通信需要至少两个SA,SA由一个三元组来唯一的标识安全参数索引SPI目的IP安全协议(AH或ESP)构成
7.安全协议包括AS和ESP,两者可以单独或是一起使用。
(AH支持MD5和SHA-1认证算法),(ESP支持两种认证算法(MD5和SHA-1)还有其他三种加密算法DES3DES和AES)
8.IPsecproposal创建ipsec提议配置ipsec策略时必须引用ipsec提议来指定ipsec隧道两端使用的安全协议加密算法认证算法和封装方
9.
10.
11.
PCA--------------RA---G0/0/1--------------IPNetwork-------------G0/0/1--RB---------------PCB
10.1.1.1/2420.1.1.1/2420.1.1.2/2410.1.2.1/24
Router#iproute-static10.1.2.0255.255.255.020.1.1.2
Router#aclnumber3001
Router#rule5permitipsource10.1.1.00.0.0.255destination10.1.2.00.0.0.255
Router#ipsecproposaltran1//创建ipsec提议
Router#espauthentication-algorithmsha1//配置EPS协议使用的认证算法
Router#ipsecpolicyP110manual//创建策略
Router#securityacl3001
Router#proposaltran1
Router#tunnelremote20.1.1.2
Router#tunnellocal20.1.1.1
Router#saspioutboundesp54321
Router#saspiinboundesp12345
Router#sastring-keyoutboundespsimplehuawei
Router#sastring-keyinboundespsimplehuawei
Router#interfaceg0/0/1
Router#ipsecpolicyP1
Router#quit
企业数通产品特性描述-VPN06(PDFipsec部分135页笔记)
VPN的类型:
1、overlay的VPN,例如IPsec-VPN
2、peer-to-peer的VPN,例如MPLS-VPN
还可以分为二层VPN和三层VPN
IPsec-VPN是三层的VPN
IPsec-VPN的分类:
1、site-to-siteVPN也叫LAN-to-LANVPN(要求两个站点都要有固定的IP)
2、EASY-VPN也叫remoteVPN(通常用于连接没有固定IP的站点)
数据来源认证:
接收方认证发送方身份是否合法。
数据加密:
发送方对数据进行加密,以密文的形式在Internet上传送,接收方对接收
的加密数据进行解密后处理或直接转发。
数据完整性:
接收方对接收的数据进行认证,以判定报文是否被篡改。
抗重放:
接收方会拒绝旧的或重复的数据包,防止恶意用户通过重复发送捕获到的
数据包所进行的攻击。
IPSec包括认证头协议AH(AuthenticationHeader)、封装安全载荷协议ESP
(EncapsulatingSecurityPayload)、因特网密钥交换协议IKE(InternetKeyExchange),
用于保护主机与主机之间、主机与网关之间、网关与网关之间的一个或多个数据流。
其
中,AH和ESP这两个安全协议用于提供安全服务,IKE协议用于密钥交换。
IPSec通过在IPSec对等体间建立双向安全联盟,形成一个安全互通的IPSec隧道,来实现Internet上数据的安全传输。
建立安全联盟SA(SecurityAssociation)。
SA是出于安全
目的而创建的,是通信的对等体间对某些要素的约定,所有经过同一SA的数据流会得到相同的安全服务,如AH或ESP。
如果对同一个数据流同时使用AH和ESP服务,则针对每一种协议都会构建一个单独的SA。
数据的封装模式有(隧道模式)和(传输模式)两种
隧道模式适于转发设备对待保护流量进行处理的场景,建议用于两个安全网关之间的通讯。
传输模式适于主机到主机、主机到网关对待保护流量进行封装处理的场景。
IKE协议建立在Internet安全联盟和密钥管理协议ISAKMP(InternetSecurityAssociation
andKeyManagementProtocol)定义的框架上,是基于UDP的应用层协议。
它为IPSec提供了自动协商交换密钥、建立SA的服务,能够简化IPSec的使用和管理。
IPSec对等体之间建立一个IKESA完成身份验证和密钥信息交换后,在IKESA的保护下,根据配置的AH/ESP安全协议等参数协商出一对IPSecSA。
此后,对等体间的数据将在IPSec隧道中加密传输。
IKE协议分IKEv1和IKEv2两个版本。
IKEv1使用两个阶段为IPSec进行密钥协商并建立
IPSecSA。
IKEv2则简化了协商过程,在一次协商中可直接产生IPSec的密钥,生成IPSecSA。
IKE具有一套自保护机制,可以在不安全的网络上安全地认证身份、分发密钥。
身份认证:
确认通信双方的身份(对等体的IP地址或名称),包括预共享密钥PSK
(pre-sharedkey)认证、数字证书RSA(rsa-signature)认证和数字信封认证。
IKE支持的认证算法有:
MD5、SHA-1、AES-XCBC-MAC-96、SM3。
MD5算法使
用128位的密钥,SHA-1算法使用160位的密钥。
MD5算法的计算速度比SHA-1算法
快,而SHA-1算法的安全强度比MD5算法高。
AES-XCBC-MAC-96使用128位的密
钥。
SM3密码杂凑算法是中国国家密码管理局规定的IPSec协议规范。
IKE支持的加密算法有:
DES、3DES、AES-128、AES-192和AES-256。
其中高级加
密标准AES的密钥长度分别有128、192和256位密钥。
以上加密算法的安全性由低
到高依次排列,其计算速度随安全性的提高而减慢。
加密机制--密码学分为两类:
对称加密算法---使用一把密匙来对信息提供安全的保护。
只有一个密匙,即用来加密,也用来解密
非对称加密代表RSA--有一对密匙,一个公匙,一个私匙,私匙加密,公匙解密,或者公匙加密,私匙解密
对称加密代表:
DES、3DES、AES
3DES--有三个密匙,用第一个密匙加密,用第二个密匙解密,再用第三个密匙加密
非对称加密---有一对密匙,一个叫公匙,一个叫私匙,如果用其中一个加密,必须用另一个解密。
非对称加密的代表:
RSA、ECC
非对称加密代表RSA--有一对密匙,一个公匙,一个私匙,私匙加密,公匙解密,或者公匙加密,私匙解密
非对称加密可以有两种应用:
1、公钥加密,私钥解密,叫加密
2、私钥加密,公钥解密,叫数字签名
AR1上的配置:
IP地址配置省略
第一步:
IP地址配置省略,指缺省路由
[R1]iproute-static0.0.0.00.0.0.012.1.1.2
第二步:
配置IKE
[R1]ikepeerdasheng1v2
[R1-ike-peer-ikep1]pre-shared-keysimplecctv
[R1-ike-peer-ikep1]remote-address23.1.1.3
第三步:
使用ACL抓感兴趣流量
[R1]aclnumber3001
[R1-acl-adv-3001]rule5permitipsource192.168.1.00.0.0.255destination172.168.1.00.0.0.255
第四步:
配置安全提议
[R1]ipsecproposaldasheng1
[R1-ipsec-proposal-tran1]quit
第五步:
配置安全策略
[R1]ipsecpolicyfanfan110isakmp
[R1-ipsec-policy-isakmp-vpn1-10]securityacl3001
[R1-ipsec-policy-isakmp-vpn1-10]ike-peerdasheng1
[R1-ipsec-policy-isakmp-vpn1-10]proposaldasheng1
[R1-ipsec-policy-isakmp-vpn1-10]quit
第六步:
将策略应用到启用IPSECVPN的接口
[R1]interfaceGigabitEthernet0/0/0
[R1-GigabitEthernet0/0/0]ipsecpolicyfanfan1
[R1-GigabitEthernet0/0/0]quit
AR3上的配置(AR3与AR1四处配置不同的地方)
[R3]iproute-static0.0.0.00.0.0.023.1.1.2
[R3]aclnumber3001
[R3-acl-adv-3001]rule5permitIPsource172.168.1.00.0.0.255destination192.168.1.00.0.0.255
[R3]ikepeerdasheng1v2
[R3-ike-peer-ikep1]pre-shared-keysimplecctv
[R3-ike-peer-ikep1]remote-address12.1.1.1
[R3]interfaceGigabitEthernet0/0/1
[R3-GigabitEthernet0/0/0]ipsecpolicyfanfan1
[R3-GigabitEthernet0/0/0]quit
[AR1]disipsecsa
===============================
Interface:
GigabitEthernet0/0/0PathMTU:
1500
===============================
-----------------------------
IPSecpolicyname:
"fanfan1"
Sequencenumber:
10
AclGroup:
3001
Aclrule:
5
Mode:
ISAKMP
-----------------------------
ConnectionID:
9
Encapsulationmode:
Tunnel
Tunnellocal:
12.1.1.1
Tunnelremote:
23.1.1.3
Flowsource:
192.168.1.0/255.255.255.00/0
Flowdestination:
172.168.1.0/255.255.255.00/0
Qospre-classify:
Disable
[OutboundESPSAs]
SPI:
559575(0x889d7)
Proposal:
ESP-ENCRYPT-DES-64ESP-AUTH-MD5
SAremainingkeyduration(bytes/sec):
1887436800/3122
Maxsentsequence-number:
0
UDPencapsulationusedforNATtraversal:
N
[InboundESPSAs]
SPI:
2124138469(0x7e9bc7e5)
Proposal:
ESP-ENCRYPT-DES-64ESP-AUTH-MD5
SAremainingkeyduration(bytes/sec):
1887436800/3122
Maxreceivedsequence-number:
0
Anti-replaywindowsize:
32
UDPencapsulationusedforNATtraversal:
N
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- IPSECIKE 模式
![提示](https://static.bdocx.com/images/bang_tan.gif)