《网络安全基础教程》由会员分享，可在线阅读，更多相关《网络安全基础教程（25页珍藏版）》请在金锄头文库上搜索。
1、使用使用 IPSec IPSec 配置网配置网络络安全安全 1今日议题1.课程导入2.IPSec概述3.IPSec的初步实现4.IPSec工作原理5.IPSec策略祥解6.IPSec验证方法祥解7.IPSec监控与排错8.Q&A21 课程导入为什么TCP/IP是不安全的？风险漏洞威胁漏洞：硬件漏洞，操作系统漏洞，应用程序漏洞，管理漏洞，威胁1）窃听 2）数据篡改 3）身份欺骗（IP地址欺骗） 4）盗用口令攻击（Password-Based Attacks） 5）拒绝服务攻击（Denial-of-Service Attack）6）中间人攻击（Man-in-the-Middle Attack） 7
2、）盗取密钥攻击（Compromised-Key Attack） 8）Sniffer 攻击（Sniffer Attack） 9）应用层攻击（Application-Layer Attack） 32 IPSec概述什么是IPSecIPSec (Internet 协议安全)是一个工业标准网络安全协议，为 IP 网络通信提供透明的安全服务，保护 TCP/IP 通信免遭窃听和篡改，可以有效抵御网络攻击，同时保持易用性。IPSec的作用1）保护IP数据包安全；2）为抵御网络攻击提供防护措施。IPSec的优点过滤每一个访问计算机的数据包，并可根据数据报的源IP地址、协议和端口进行过滤对应用程序完全透明，应用
3、程序无需任何调整三种身份验证对数据包进行加密，以防止数据包在网络传输中被截取使用HASH算法保障数据包在传输过程中保持完整性确保每个IP数据包的唯一性43 IPSec的初步实现基本组件筛选器：过滤规则筛选器操作：允许，阻止，协商安全身份验证方法Kerberos V5 协议：适用于由 Windows 2000 或者 Windows Server2003 域或者受信任的 Active Directory 域进行身份验证的计算机 证书：需要证书授权中心预共享密钥：预共享的密钥以明文方式存储，因此安全性较差54 IPSec的工作原理IPSec 协议不是一个单独的协议，它给出了应用于IP层上网络数据安全
4、的一整套体系结构，包括网络认证协议 Authentication Header（AH）、封装安全载荷协议Encapsulating Security Payload（ESP）、密钥管理协议Internet Key Exchange （IKE）和用于网络认证及加密的一些算法等。IPSec 规定了如何在对等层之间选择安全协议、确定安全算法和密钥交换，向上提供了访问控制、数据源认证、数据加密等网络安全服务。 64 IPSec的工作原理SA安全关联SA（Security Association）是单向的，在两个使用 IPSec的实体（主机或路由器）间建立的逻辑连接，定义了实体间如何使用安全服务（如加密
5、）进行通信。它由下列元素组成：1）安全参数索引SPI；2）IP目的地址；3）安全协议。AH协议为IP通信提供数据源认证、数据完整性和反重播保证，它能保护通信免受篡改，但不能防止窃听，适合用于传输非机密数据。ESP为IP数据包提供完整性检查、认证和加密，可以看作是“超级 AH”， 因为它提供机密性并可防止篡改。ESP服务依据建立的安全关联（SA）是可选的。IKE（Internet密钥交换）负责这些任务，它提供一种方法供两台计算机建立安全关联 (SA)。SA 对两台计算机之间的策略协议进行编码，指定它们将使用哪些算法和什么样的密钥长度，以及实际的密钥本身。包括ISAKMP和OKD。74 IPSec
6、的工作原理TCP 层层IPSec 驱动程序驱动程序TCP 层层IPSec 驱动程序驱动程序加密的加密的 IP 数据包数据包3安全关联协商安全关联协商（ISAKMP）2IPSec 策略策略IPSec 策略策略1Active Directory84 IPSec的工作原理模式传输模式 transportation mode：是在计算机之间使用IPSec来实现安全；是一种端对端 end to end的保护；是IPSec的缺省模式隧道模式 tunnel mode：是在网络之间使用IPSec实现安全；是一种点到点 point to point的保护；隧道是对数据包重新封装的过程，它将原始数据包封装在新的数
7、据包内部，从而改变数据包的寻址路径；通过新增IP包头的方法，将目的地址改变为隧道终点，对和隧道终点之间的传输设置加密等操作；通常，隧道终点即为安全性网关，也就是说此网关和目的主机之间的通信是安全的；其思想是先将数据包通过IPSec策略传送到安全性网关，再由安全性网关正常传送到目的主机。 94 IPSec的工作原理传输模式：当ESP在一台主机（客户机或服务器）上实现时使用，传送模式使用原始明文IP头，并且只加密数据，包括它的TCP和UDP头。IP地址TCP/UDP端口数据包内容新IP地址新TCP/UDP端口原IP地址原TCP/UDP端口数据包内容隧道模式：当ESP在关联到多台主机的网络访问介入装
8、置实现时使用，隧道模式处理整个IP数据包-包括全部TCP/IP或UDP/IP头和数据，它用自己的地址做为源地址加入到新的IP头。当隧道模式用在用户终端设置时，它可以提供更多的便利来隐藏内部服务器主机和客户机的地址。 104 IPSec的工作原理配置IPSec协议免除可保护数据通信，但有一些协议不受IPSec保护种类广播与多播资源保留协议 RSVP：IP协议 46IKEKerberos修改被免除的协议HK_L_MSYSTEMCurrentControlSetServicesIPSEC NoDefaultExempt=DWORD 建议为3115 IPSec策略祥解策略组件每一个IPSec poli
9、cy都对应一个规则 rule每个规则下放置着多个筛选器filter每个筛选器来启用筛选器操作每个规则含有验证方法125 IPSec策略祥解策略应用过程IP 数据报数据报IPSec 驱动程序驱动程序安全的数据报安全的数据报网络网络IPSec 筛选器筛选器列表列表检查是否匹配检查是否匹配135 IPSec策略祥解默认策略客户端（只响应）：只有当另一方计算机提出要求安全通信时，才应用IPSec策略来响应；服务器（请求安全设置）：当计算机收到数据时，会请求源计算机利用IPSec策略建立安全通道，若源计算机没有配置IPSec策略，则目的计算机也接受非安全通信；安全服务器（要求安全设置）：要求通信必须是安
10、全的，即基于IPSec策略。145 IPSec策略祥解策略协同工作原理155 IPSec策略祥解策略应用层次按以下顺序来起作用：本地计算机计算机所在站点计算机所在域计算机所属OU应用在后者上的策略覆盖应用在前者上的策略165 IPSec策略祥解策略应用演示独立机器之间的应用域成员机器之间的应用176 验证方法祥解Kerberos V5验证证书验证预共享密钥验证186 验证方法祥解Kerberos V5验证Kerberos是计算机网络中的验证服务请求的一种安全方法。Kerberos把用户的请求变成验证过程的一张加密的“入场券”，然后验证过程再向服务器提出特定服务的请求。用户的密码不一定要通过网络
11、。对于同一森林中的计算机之间的通信。Kerberos是活动目录中的一部分。196 验证方法祥解证书验证通过在两个IPSec主机之间使用从一个被信任的CA处获得证书作为验证方法可允许公司与其它信任相同CA的公司互相访问可使Windows路由和远程访问服务与Internet上支持IPSec的第三方路由器进行安全的通信证书颁发自动颁发手动颁发206 验证方法祥解证书验证的要求计算机账户的证书，而非用户账户证书证书包含一个RSA公钥，且具有可用来进行RSA签名的对应私钥通信双方都相互信任在有效期内IPSec不要求计算机证书是IPSec类型的证书，只要是计算机证书类型即可216 验证方法祥解预共享密钥两
12、台IPSec主机共同使用的一个随机文本字符串以明文的方式保存在IPSec策略中227 IPSec监控与排错启用计算机审核策略组策略中设置：审核登录事件，审核对象访问配置IP安全监视器Windows 2000：ipsecmonWindows 2003：MMC添加IP安全监视器主模式：执行身份验证，在计算机之间建立IKE安全关联（SA）快速模式：在主模式发生之后，根据策略规则中的数据报筛选器的源地址和目标地址（还有协议和端口）部分，建立IPSsec安全关联以保护特定通信的安全。有两个关联，一个用于入站通信，一个用于出站通信。主模式的SA时安全策略级别的，快速模式的SA针对IP安全规则的。237 IPSec监控与排错排错停止计算机里的 IPSec 策略代理，然后使用 Ping 命令验证计算机之间的通信重新启动 IPSec 策略代理服务并使用 IPSec 监视器来确认计算机间已建立了安全关联。确保 IPSec 有效 通过 IP 安全策略管理器验证策略已指派给计算机通过 IP 安全策略管理器回顾策略，并且确保它们之间是兼容的重启 IP 安全监视器确保所有更新已应用24今日回顾1.课程导入2.IPSec概述3.IPSec的初步实现4.IPSec工作原理5.IPSec策略祥解6.IPSec验证方法祥解7.IPSec监控与排错25
