IPSec與網(wǎng)絡(luò)安全

1、IPSec 與與 網(wǎng)網(wǎng) 絡(luò)絡(luò) 安安 全全（IPSEC安全性通信協(xié)議）安全性通信協(xié)議）本章主題本章主題: IPSec概述概述 啟動啟動IPSEC 徹底了解徹底了解IPSEC策略策略1.IPSec概述概述:所提供的功能所提供的功能: 1、在開始傳送信息之前，雙方會相互驗證對方的身份。、在開始傳送信息之前，雙方會相互驗證對方的身份。 2、確認(rèn)數(shù)據(jù)是否在傳輸過程中被截獲并被修改過，確認(rèn)信息、確認(rèn)數(shù)據(jù)是否在傳輸過程中被截獲并被修改過，確認(rèn)信息的完整性。的完整性。 3、將傳送的信息加密。、將傳送的信息加密。 在傳輸之前兩臺計算機先協(xié)商出一個結(jié)果在傳輸之前兩臺計算機先協(xié)商出一個結(jié)果SA（安全關(guān)（安全關(guān)聯(lián)），

2、就好象一份合同書。其中包括用來驗證身份與信息加聯(lián)），就好象一份合同書。其中包括用來驗證身份與信息加密的密鑰、安全通信協(xié)議、密的密鑰、安全通信協(xié)議、SPI（安全參數(shù)索引）等信息，（安全參數(shù)索引）等信息，雙方按其內(nèi)容通信。協(xié)商的方法是標(biāo)準(zhǔn)的雙方按其內(nèi)容通信。協(xié)商的方法是標(biāo)準(zhǔn)的IKE（密鑰交換）。（密鑰交換）。完成后就可以通信了。完成后就可以通信了。注：如果一臺計算機同時與多臺計算機通信，那他將擁有多個注：如果一臺計算機同時與多臺計算機通信，那他將擁有多個SA結(jié)果。系統(tǒng)將利用結(jié)果。系統(tǒng)將利用SPI（安全參數(shù)索引）來區(qū)分是與那臺（安全參數(shù)索引）來區(qū)分是與那臺計算機通信。計算機通信。2.啟動啟動IPSe

3、c： 我們是通過我們是通過IPSEC策略來實現(xiàn)對他的管理的策略來實現(xiàn)對他的管理的 。2.1默認(rèn)的默認(rèn)的IPSEC策略：策略： 在在MMC中添加：中添加：“IP安全策略管理安全策略管理”安全服務(wù)器（需要安全）：主動要求必須使用安全服務(wù)器（需要安全）：主動要求必須使用IPSEC。通信雙方必。通信雙方必須使用須使用IPSEC，若對方無此功能，則無法通信。，若對方無此功能，則無法通信?？蛻舳耍▋H響應(yīng)）：被動使用客戶端（僅響應(yīng)）：被動使用IPSEC，只有其他計算機要求使用，只有其他計算機要求使用IPSEC時，你才會使用。時，你才會使用。服務(wù)器（請求安全）：主動的請求使用服務(wù)器（請求安全）：主動的請求使用

4、IPSEC。通信時你的計算機。通信時你的計算機會主動請求對方使用會主動請求對方使用IPSEC，但對方如沒有，但對方如沒有IPSEC，那你還是可以，那你還是可以接受的。接受的。2.2啟動啟動IPSEC策略：策略：2.3IPSEC測試：當(dāng)我們測試：當(dāng)我們PING對方的對方的IP時，可以。時，可以。 但用但用net view來通信時，不可以。來通信時，不可以。 3.徹底了解徹底了解IPSEC策略；策略；3.1 Internetr 密鑰交換：密鑰交換： 通信雙方必須先協(xié)商，而其結(jié)果叫通信雙方必須先協(xié)商，而其結(jié)果叫SA（安全關(guān)系）。這（安全關(guān)系）。這個協(xié)商工作是通過個協(xié)商工作是通過 .IKE 來完成的。

5、來完成的。 1、IKE兩階段式的協(xié)商：兩階段式的協(xié)商： 第一階段：這個階段產(chǎn)生的第一階段：這個階段產(chǎn)生的SA被稱為被稱為“主要模式主要模式SA”，又，又稱為稱為phase （分段引進）（分段引進）1SA，是兩臺計算機之間的一個，是兩臺計算機之間的一個安全的身份驗證的通信管道。安全的身份驗證的通信管道。 在這個階段，雙方經(jīng)過交換一些用來建立在這個階段，雙方經(jīng)過交換一些用來建立“主密鑰主密鑰”的的基本信息后，就會各自建立主密鑰?；拘畔⒑?，就會各自建立主密鑰。 第二階段：在這個階段將產(chǎn)生的第二階段：在這個階段將產(chǎn)生的SA被稱為被稱為“快速模式快速模式SA”，又稱為又稱為phase 2 SA，用來說

6、明雙方要如何建立，用來說明雙方要如何建立“會話密會話密鑰鑰”，要如何將所傳送的信息加密，要如何確認(rèn)信息是否來，要如何將所傳送的信息加密，要如何確認(rèn)信息是否來自對方。這個階段的傳輸受自對方。這個階段的傳輸受”主要模式主要模式SA “的保護。的保護。 注釋：注釋：“主要模式主要模式SA”是用于在兩臺計算機之間建立一是用于在兩臺計算機之間建立一個個 安全的、計算機身份經(jīng)過驗證的通信管道。安全的、計算機身份經(jīng)過驗證的通信管道。 而而“快速模式快速模式SA”是用來確保雙方所傳輸?shù)男畔⒛苁怯脕泶_保雙方所傳輸?shù)男畔⒛軌蚴艿奖Ｗo。夠受到保護。 2、密鑰交換設(shè)置：、密鑰交換設(shè)置： 他是通過他是通過IPSec策略完成的。比如說，在三個策略之中策略完成的。比如說，在三個策略之中“安全服務(wù)器（需要安全）安全服務(wù)器（需要安全）”中的中的“常規(guī)常規(guī)”標(biāo)簽。標(biāo)簽。如果計算機是隸屬于活動目錄的成如果計算機是隸屬于活動目錄的成員，則每員，則每180分鐘就向控制器查詢分鐘就向控制器查詢IPSEC策