《neteye_firewall_5200_vpn剖析》由会员分享,可在线阅读,更多相关《neteye_firewall_5200_vpn剖析(141页珍藏版)》请在金锄头文库上搜索。
1、,VPN,Copyright 2008 By Neusoft Group. All rights reserved,网络安全产品营销中心 东软集团股份有限公司,课程目标,VPN概述和IPSec 证书管理 远程用户和地址池 客户端到网关的VPN 网关到网关VPN,基于策略的VPN 基于路由的VPN NAT穿越 L2TP over IPSec,VPN,虚拟专用网提供了一种在公共网络上实现网络安全保密通信的方法。 通过基于共享的IP网络,VPN为用户远程访问、外部网和内部网之间的通信提供了安全而稳定的VPN隧道,和传统专用网相比具有安全,成本低,可利用现有网络资源,扩展性好等优点。,VPN(续),虚
2、拟专用网分为两种: 连接网关和网关的虚拟专用网; 连接网关和远程访问用户的虚拟专用网。 VPN隧道可以提供以下安全服务: 抗重放攻击(可选) 私密性 (通过加密),VPN(续),内容完整性 (通过数据认证) 可靠性 (通过数据初始认证) VPN隧道实现以上服务的技术方案是互联网安全协议IPSec,该体系结构中包含了一系列协议用于实现隧道安全通信。,IPSec,IPSec协议是一种IP通信环境下实现的基于加密技术的安全机制,它的目的是实现网络间的安全通信。 IPSec协议主要包含两个安全协议和一个密钥管理协议,分别是AH协议,ESP协议和IKE协议,IPSec实现IP分组的安全传输基本上是由这三
3、个协议完成。 IPSec还定义了两种模式来实现AH或者ESP协议,它们是传输模式和隧道模式。,IPSec(续),IPSec的三个主要协议和两种隧道模式构成了IPSec体系结构。,IPSec工作模式,IPSec工作在两种模式下,它们分别是:传输模式和隧道模式。两种模式的区别是: 传输模式用于在主机或者安全网关上实施IPSec,能对IP分组的有效负载进行保护; 隧道模式只能用于在安全网关上实施IPSec,能对整个IP分组进行保护。,传输模式,在传输模式下,认证报头协议(AH)和封装安全载荷协议(ESP)只处理IP有效载荷,并不修改原来的IP协议报头。传输模式的优点是每个数据包只增加了少量的字节。,
4、隧道模式,在隧道模式下,原来的整个IP包都受到保护,并被当作一个新的IP包的有效载荷。隧道模式的优点是不用修改现有网络结构中的主机、服务器、PC上的操作系统或者任何应用程序就可以实现IPSec。,Internet安全关联和密钥管理协议(ISAKMP)也是IPSec体系结构中的一个协议,它定义了程序和信息包格式来自动协商建立IPSec SA。 ISAKMP提供一个通用的SA属性格式和支持不同密钥交换协议的框架,它与具体的密钥交换协议无关,并不受限于任何密钥交换协议、密钥生成技术、加密和认证算法。,ISAKMP框架协议,IPSec SA,安全联盟(SA)是一个单向“连接”,他使用安全协议 (RFC
5、2401 Security Architecture for the Internet Protocol)来为该连接上传输的数据包提供安全服务 (RFC2401)。如果要实现主机或者安全网关之间的双向安全通信,则需要两个SA。,IPSec SA(续),一个SA用一个三元组(SPI,IP目的地址,安全协议)来唯一标识。,IKE协议,互联网密钥交换协议(IKE)是IPSec的默认密钥交换协议,它基于ISAKMP框架协议并采用了ISAKMP协议的两阶段协商过程,来完成双方保密信息的交换。 VPN隧道由一对相对方向的SA构成,因此要建立一条隧道,必须在隧道的两端协定这两个SA。执行一次IKE协商即可建
6、立两个IPSec SA。,IKE协议(续),IKE协商的过程分为两个阶段: 阶段一:第一阶段协商要为通信双方建立一个安全关联,称之为IKE SA。该安全关联用于保护下一阶段协商IPSec SA。IKE定义的主模式和野蛮模式可以用于这一阶段信息交换,信息是通过ISAKMP通用负载携带传送的。阶段一交换如下信息:IKE SA参数:加密算法(DES、3DES、AES)、Hash算法(MD5、SHA-1)、DH组、认证方式(证书认证方式或者预共享密钥方式);DH组公开值和Nonce值;身份信息。,IKE协议(续),阶段二:IKE双方在阶段二协商IPSec SA。NetEye FW5200防火墙只支持快
7、速模式完成阶段二。阶段二的信息交换过程受IKE SA保护,所有交换信息均被加密。阶段二交换如下信息:IPSec SA,包括安全协议(AH或者ESP)、DH组(如果执行完美向前保护),加密算法,Hash算法;DH公开值,发起者和响应者身份信息(ID)(如果执行完美向前保护);认证码。,完美向前保护,完美向前保护通过在第二阶段执行一次DH交换,使双方产生新的DH共享值,双方使用这个DH共享值作为部分密钥材料来衍生IPSec SA的密钥。 完美向前保护增加IPSec SA隧道的安全性,但需要占用CPU资源来执行一次DH组算法的模运算。 NetEye FW5200支持完美向前保护功能,用户还可以在IK
8、E第二阶段自定义提议集来配置。,完美向前保护(续),NetEye FW5200规定在设置第二阶段提议集(最多可以设置4个)的时候,如果用户选择了完美向前保护的功能,那么必须为每个提议集设置相同的DH组值。 在设置第二阶段的提议集的时候,如果用户第一个提议集不执行完美向前保护,那么其他的提议集(如果选择了)也不可以设置完美向前保护功能。,抗重放攻击,在IKE协商过程中,攻击者有可能将截获的ISAKMP报文重复发送,攻击IKE的一方,使其忙于接受重复的报文而拒绝新报文。IKE协议通过检测每个ISAKMP报文是否重复来抵御这种攻击,保护IKE协商过程。,密钥管理,VPN的密钥管理可分为: 手动密钥。
9、 自动密钥。,密钥管理(续),NetEye FW5200 支持手动密钥方式,并且提供多种自动密钥方式管理VPN隧道.NetEye FW5200支持以下种自动密钥隧道端点类型: 静态IP地址; 动态IP地址; 拨号用户; 拨号用户组。,认证方式,在IKE协商建立IPSec隧道时,需要预先设置身份认证方式,包括如何证明自己的身份给对方和如何验证对方的身份。VPN支持的认证方式有两种: 预共享密钥; 证书认证。,NetEye FW5200支持的VPN网络拓扑,NetEye FW5200支持以下5种网络拓扑结构: 透明模式VPN:支持混合模式,可以通过将系统中所有二层接口划分到一个VLAN中来实现透明
10、模式,此时可以将该VLAN的IP地址作为VPN隧道的端点来实施IPSec VPN; 星型VPN:在VPN系统中,存在一个中心节点的VPN网关,其他VPN节点,包括VPN网关和远程访问用户都只和中心节点的VPN网关建立IPSec VPN隧道;,NetEye FW5200支持的VPN网络拓扑(续),链式VPN:在VPN系统中,各个VPN节点首尾相接形成一个VPN隧道链,除了VPN隧道链的两头外,链中的每个VPN节点和链的前后节点分别建立VPN隧道; 嵌套VPN:将VPN隧道嵌套在另一个VPN隧道中,相邻层次嵌套的VPN隧道的终点可以重叠; VPN全网访问:在一个VPN系统中,各个VPN节点的本地网
11、络之间都可以通过VPN隧道实现相互之间的访问。,NetEye FW5200的VPN高可用性,NetEye FW5200的VPN高可用性是指在主防火墙和备份防火墙之间保持VPN配置和SA的同步。 NetEye FW5200的SA同步的内容包括以下内容:协议、算法、密钥、抗重放攻击滑动窗口大小、SA生存时间。对于SA,只有主防火墙向备份防火墙同步。 当两台防火墙发生主备切换时,VPN隧道会随之断开并进行重新协商IKE SA,如果用户设置了L2tp或XAUTH认证,那么此时需要重新输入用户名和密码。,NetEye FW5200的VPN高可用性(续),VPN配置同步是双向的,即一方面主防火墙的VPN配
12、置会向备份防火墙同步,另一方面备份防火墙的VPN配置也会向主防火墙同步。 VPN配置同步的内容包括:证书,隧道配置,VPN策略配置,远程访问用户配置,远程访问用户组配置,地址池配置,隧道接口配置。,NetEye FW5200的加密方式,NetEye FW5200可以通过使用硬件加密卡来提升VPN的性能。通过以下方式可以启用加密卡:以管理员的身份登录防火墙,选择 “系统”“配置”“VPNS”“全局设置”,进入全局设置配置页面。如下图所示:,VPN调试,NetEye FW5200提供以下VPN调试功能: VPN Debug功能; VPN Monitor功能; VPN日志功能。,VPN Debug,
13、用户可以通过CLI查看自动密钥IKE协商过程和协商数据报文的内容。NetEye FW5200只在CLI上提供VPN自动密钥IKE的调试功能。 对于输出的调试信息,至少包含以下数据:隧道两端信息,预共享密钥或证书信息,协商第一阶段(主模式或野蛮模式)各个消息的具体信息,要解析出每个字段;协商第二阶段(快速模式)各个消息的具体信息,要解析出每个字段;第一阶段和第二阶段使用的提议集和协商的结果等。,VPN Debug,以CLI方式登录防火墙,进入普通配置模式,执行以下命令:debug vpn isakmp detail,可以查看所有以自动密钥方式创建的隧道的详细信息。输出如下图所示:,查看隧道状态,
14、可以通过命令show tunnels auto/manual来查看所有VPN隧道(包括手动隧道和自动隧道)的状态信息。如下图所示:,VPN日志,当VPN系统发生重要事件时, NetEye FW5200会发送日志到日志系统,用户可以通过查看日志来对VPN进行调试。,证书管理,数字证书(Digital Certificate)是由权威机构(CA)发行的一种特殊电子文档,该文档用于在网络中标识安全主体的身份,证书的合法性受权威机构保护。 数字证书可以用于IKE协商过程中的身份认证, NetEye FW5200 支持这种认证方式,但不支持证书颁发功能。,证书管理(续),NetEye FW5200支持的
15、证书格式:X509证书(V3)。对于X509证书认证,支持上载和使用多个本地证书,支持不同CA颁发的证书之间互通。 NetEye FW5200支持以下CA颁发的证书(对于X509证书认证):Baltimore,Entrust,Microsoft,Netscape,RSA Keon,Verisign。,证书管理(续),NetEye FW5200的证书可分为: 证书请求文件:用于向CA机构申请证书,公钥使用RSA或DSA非对称密钥,私钥文件格式使用PEM格式。 证书:设备自身证书,用于支持证书认证IKE隧道协商,它用来验证设备身份信息的签名。 CA证书:设备CA的证书,用于检验设备证书的CA身份。
16、 证书吊销列表(CRL):用于验证证书是否当前有效。如果在CRL中,则说明该证书无效。,证书管理(续),NetEye FW5200 实现证书认证,需要第三方证书机构协助,其工作过程如下: NetEye FW5200 首先使用公开密钥算法生成公钥/私钥对,将私钥进行保密管理,然后用公钥和设备的身份信息生成证书请求文件。 NetEye FW5200 提交证书请求文件到证书机构服务器,服务器审核通过后签发证书给 VPN 设备,同时将证书机构的证书(CA证书)也发送给 VPN 设备,CA证书用于验证VPN证书的真实性。,证书管理(续),IKE的发起者和响应者通过交换双方的本地证书,向对方证实自己的IKE身份。 只要IKE一方有另一方的证书,CA证书,证书吊销列表这三个对象,就可以对对方的身份信息和签名做完整性验证。,证书管理(续),CA证书上载:用户可以上载CA证书,并且可以根据需要上载多个CA证书。 本地证书上载:用户可以上载本地证书,并且可以上载多个本地证书。 本地PKCS12证书上载:支持上载PKCS12格式的本地证书,当使用PKCS12格式的本地证书时,不需要生成证书请求文