《网络安全方案设计服务器模块》由会员分享，可在线阅读，更多相关《网络安全方案设计服务器模块（65页珍藏版）》请在金锄头文库上搜索。
1、在Windows Server 2003环境中规划IPSec,谢立靖 ,导入,为什么TCP/IP是不安全的？ 漏洞威胁风险 漏洞：硬件漏洞，操作系统漏洞，应用程序漏洞，管理漏洞 威胁 1）窃听 2）数据篡改 3）身份欺骗（IP地址欺骗） 4）盗用口令攻击（Password-Based Attacks） 5）拒绝服务攻击（Denial-of-Service Attack） 6）中间人攻击（Man-in-the-Middle Attack） 7）盗取密钥攻击（Compromised-Key Attack） 8）Sniffer 攻击（Sniffer Attack） 9）应用层攻击（Applicati
2、on-Layer Attack）,提要,默认 IPSec 策略 规划 IPSec IPSec 故障排除,Lesson:默认 IPSec 策略,默认 IPSec 策略 客户端（仅响应）服务器（请求安全）安全服务器（需要安全）IPSec 连接规则,对所有 IP 通讯总是使用 Kerberos 信任请求安全。允许与不响应请求的客户端的不安全通讯,正常通讯 (不安全的)。使用默认的响应规则与请示安全的服务器协商。只有与服务器的请求协议和端口通讯是安全的,对所有 IP 通讯总是使用 Kerberos 信任请求安全。不允许与不被信任的客户端的不安全通讯,IPSec 连接规则,练习：使用策略,练习中使用到的
3、拓扑图,以“客户端（仅响应）”为例，测试默认策略,开始管理工具本地安全策略,服 务 器 端 的 操 作,右键单击“客户端（仅响应）”指派,服 务 器 端 的 操 作,客 户 端 的 操 作,控制面板管理工具本地安全策略,客 户 端 的 操 作,右键单击“客户端（仅响应）”指派,在 客 户 端 的 测 试,使用Ping命令进行测试,自定义策略。可以完全自定义策略，也可在默认策略基础上自定义，以下练习中使用完全自定义策略,服 务 器 端 的 操 作,打开“本地安全设置”右键单击“IP安全策略，在本地计算机”创建IP安全策略,服 务 器 端 的 操 作,单击“下一步”,在“名称”栏内填写恰当的策略名
4、，在“描述栏内填写能够说明该策略功能的说明性文字，然后单击“下一步”,服 务 器 端 的 操 作,服 务 器 端 的 操 作,单击“下一步”,单击“下一步”,服 务 器 端 的 操 作,服 务 器 端 的 操 作,单击“是”,服 务 器 端 的 操 作,单击“完成”,服 务 器 端 的 操 作,单击“添加”,服 务 器 端 的 操 作,单击“下一步”,单击“下一步”,服 务 器 端 的 操 作,服 务 器 端 的 操 作,单击“下一步”,服 务 器 端 的 操 作,选中“控制139端口的访问”，然后单击“编辑”,在“描述”栏内填写能恰当描述筛选器功能的说明性文字，然后单击“编辑”,服 务 器
5、端 的 操 作,服 务 器 端 的 操 作,源地址：一个特定的IP地址，192.168.1.1 目标地址：我的IP地址 单击“协议”选项卡,服 务 器 端 的 操 作,选择协议类型：TCP 设置IP协议端口：从任意端口、到此端口（139） 单击“确定”,服 务 器 端 的 操 作,单击“确定”,服 务 器 端 的 操 作,单击“下一步”,服 务 器 端 的 操 作,然后单击“下一步”,服 务 器 端 的 操 作,选择“使用此字符串保护密钥交换（预共享密钥）”，在文本框中填入“123”，然后单击“下一步”,单击“完成”,服 务 器 端 的 操 作,服 务 器 端 的 操 作,将“”前的勾去掉，然
6、后单击“确定”,客 户 端 的 操 作,控制面板管理工具本地安全策略,客 户 端 的 操 作,右键单击“IP安全策略，在本地计算机”创建IP安全策略,客 户 端 的 操 作,单击“下一步”,客 户 端 的 操 作,在“名称”栏内填写适当的策略名称，在“描述”栏内填写可以说明该策略功能的文字，然后单击“下一步”,客 户 端 的 操 作,单击“下一步”,客 户 端 的 操 作,单击“下一步”,客 户 端 的 操 作,单击“是”,客 户 端 的 操 作,去掉“编辑属性”前的勾，然后单击“完成”,客 户 端 的 操 作,双击“访问139端口”,客 户 端 的 操 作,去掉“”前的勾，然后单击“添加”,
7、客 户 端 的 操 作,单击“添加”,客 户 端 的 操 作,按图所示填写，去掉“使用添加向导”前面的勾，然后单击“添加”,客 户 端 的 操 作,选择“协议”选项卡,客 户 端 的 操 作,按图所示选择、填写，然后“确定”,客 户 端 的 操 作,单击“确定”,客 户 端 的 操 作,选中“访问139端口”，然后选择“筛选器操作”,客 户 端 的 操 作,选中“需要安全”，然后选择“身份验证方法”选项卡,客 户 端 的 操 作,单击“编辑”,客 户 端 的 操 作,按图所示选择、填写，然后“确定”,客 户 端 的 操 作,单击“应用”，然后“确定”,单击“应用”，然后“确定”,客 户 端 的
8、 操 作,客 户 端 的 操 作,右键单击“访问139端口”，然后单击“指派”,测试,在命令提示符中输入命令：netstat -an，红框部分表示服务器在139端口侦听传入的连接,服 务 器 端 的 操 作,客 户 端 的 操 作,在命令提示符中输入命令：telnet 192.168.1.254 139，然后回车,客 户 端 的 操 作,如果如图显示，表示此时客户端已经通过139端口与服务器相连,服 务 器 端 的 操 作,在命令提示符中输入命令：netstat -an，红框部分表示服务器此时已经与192.168.1.1 建立了连接,Lesson: 规划 IPSec,确定 IPSec 策略部署
9、方式 确定验证模式 确定 IPSec 策略必要性 规划 IPSec 最佳方案 本地策略部署 IPSec 指导方针,确定 IPSec 策略部署方式,在一个异构环境中,Active Directory,Active Directory,使用本地策略,使用Active Directory,确定验证模式,确定 IPSec 策略必要性,确定企业的需要 评估潜在的安全风险以确定IPSec是否可以减轻这些风险 确定规则和策略 创建一个新策略或者修改一个已经存在的策略,规划 IPSec 最佳方案,最佳实践,评估发往网络上的信息类型,确定信息的存储地,评估网络攻击的弱点,设计企业网络安全规划,在安全规划下测试IPSec策略,本地策略部署 IPSec 指导方针,确定组策略是否是最佳的部署方式,确定需要安全的一组计算机,确定认证基础架构是否需要,评估安全风险,确定IPSec是否能够减少风险,确定策略如何被部署,Lesson: IPSec 故障排除,IPSec 排错工具 事件查看器,
