《IPSEC IKE 模式.docx》由会员分享，可在线阅读，更多相关《IPSEC IKE 模式.docx（8页珍藏版）》请在三一办公上搜索。
1、IPSEC IKE 模式 华为HCNAv2.0进阶 1.IPsec可以用来保证Ip数据报文在网络传输的机密性、完整性、防重放等功能 2.机密性-数据包加密 完整性-防止报文被篡改 防重放-防攻击 3.IPSec不是一单独的协议，是通过AH和ESP两个安全协议实现IP数据报的安全传送。 4.IKE协议提供密钥协商，建立和维护安全联盟SA等服务。 5.IPSec由AH ESP IKE 三个协议套件组成 6,SA安全联盟定义对等体间数据封装方式 认证和加密算法 SA是单向的两个对等体通信需要至少两个SA, SA由一个三元组来唯一的标识 安全参数索引SPI 目的IP 安全协议构成 7.安全协议包括AS
2、和ESP，两者可以单独或是一起使用。，还有其他三种加密算法DES 3DES 和AES) 8.IPsec proposal创建ipsec提议 配置ipsec策略时必须引用ipsec提议来指定ipsec隧道两端使用的安全协议 加密算法 认证算法和封装方式 缺少情况下IPsec proposal使用ESP协议 DES加密算法 MD5认证和隧道封装模式 9 执行transform ( ah ) (ah-esp ) (esp) 配置隧道使用的安全协议 执行esncapsulation-mode (transport ) (tunnel)配置报文的封闭模式 执行esp authetication-algo
3、rithm ( MD5 Sha1 sha2-256 sha2-384 sha2-512 )配置EPS协议使用的认证算法 执行esp encryption-algorithm (des 3des aes-128 aes-192 aes-256 ) 配置ESP加密算法 执行 ah authentication-algorithm (md5 sha1 sha2-256 sha2-384 sha2-512)配置AH使用的认证算法 Display ipsec proposal 查看ipsec proposal配置的参数 执行ipsec policy创建策略 执行ipsec-policy-template
4、指定SA建立方式 可使用IKE或是手工建立 执行security ACL 指定IPSEC策略所引用的访问控制列表 执行proposal 指定IPSEC策略所引用的提议 执行tunnel local 用来指定安全隧道的本端地址 执行tunnel remote指定隧道的对端地址 执行sa spi 指定安全索引参数 执行 sa string-key 指定安全联盟的认证密钥 安全策略是由policy-name和seq-number共同来确定的，多个具有相同policy-name的安全策略组成一个安全策略组。在一个安全策略组中最多可以设备16条安全策略，而seq-mumber越小的安全策略，优先级越高。
5、在一个接口上应用了一个安全策略组，实际上是同时应用了安全策略组中所有的安全策略。 PCA-RA-G0/0/1-IP Network-G0/0/1-RB-PCB 10.1.1.1/24 20.1.1.1/24 20.1.1.2/24 10.1.2.1/24 Router#ip route-static 10.1.2.0 255.255.255.0 20.1.1.2 Router#acl number 3001 Router#rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255 Router#ipsec
6、proposal tran1 / 创建ipsec提议 Router#esp authentication-algorithm sha1 /配置EPS协议使用的认证算法 Router#ipsec policy P1 10 manual /创建策略 Router#security acl 3001 Router#proposal tran 1 Router#tunnel remote 20.1.1.2 Router#tunnel local 20.1.1.1 Router#sa spi outbound esp 54321 Router#sa spi inbound esp 12345 Route
7、r#sa string-key outbound esp simple huawei Router#sa string-key inbound esp simple huawei Router#interface g0/0/1 Router#ipsec policy P1 Router#quit 企业数通产品 特性描述-VPN 06 VPN的类型： 1、overlay的VPN，例如IPsec-VPN 2、peer-to-peer的VPN，例如MPLS-VPN 还可以分为二层VPN和三层VPN IPsec-VPN是三层的VPN IPsec-VPN的分类: 1、site-to-site VPN 也
8、叫 LAN-to-LAN VPN 2、EASY-VPN 也叫 remote VPN 数据来源认证：接收方认证发送方身份是否合法。 数据加密：发送方对数据进行加密，以密文的形式在Internet上传送，接收方对接收 的加密数据进行解密后处理或直接转发。 数据完整性：接收方对接收的数据进行认证，以判定报文是否被篡改。 抗重放：接收方会拒绝旧的或重复的数据包，防止恶意用户通过重复发送捕获到的 数据包所进行的攻击。 IPSec包括认证头协议AH、封装安全载荷协议ESP 、因特网密钥交换协议IKE， 用于保护主机与主机之间、主机与网关之间、网关与网关之间的一个或多个数据流。其 中，AH和ESP这两个 安
9、全协议用于提供安全服务，IKE协议用于密钥交换。 IPSec通过在IPSec 对等体间建立双向 安全联盟，形成一个安全互通的IPSec 隧道，来实现Internet上数据的安全传输。建立安全联盟SA。SA是出于安全 目的而创建的，是通信的对等体间对某些要素的约定，所有经过同一SA的数据流会得到相同的安全服务，如AH或ESP。如果对同一个数据流同时使用AH和ESP服务，则针对每一种协议都会构建一个单独的SA。 数据的封装模式有和两种 隧道模式适于转发设备对待保护流量进行处理的场景，建议用于两个安全网关之间的通讯。传输模式适于主机到主机、主机到网关对待保护流量进行封装处理的场景。 IKE协议建立在
10、Internet安全联盟和密钥管理协议ISAKMP定义的框架上，是基于UDP的应用层协议。它为IPSec提供了自动协商交换密钥、建立SA的服务，能够简化IPSec的使用和管理。IPSec对等体之间建立一个IKE SA完成身份验证和密钥信息交换后，在IKE SA的保护下，根据配置的AH/ESP安全协议等参数协商出一对IPSec SA。此后，对等体间的数据将在IPSec隧道中加密传输。 IKE协议分IKEv1和IKEv2两个版本。IKEv1使用两个阶段为IPSec进行密钥协商并建立 IPSec SA。IKEv2则简化了协商过程，在一次协商中可直接产生IPSec的密钥，生成IPSec SA。 IKE
11、具有一套自保护机制，可以在不安全的网络上安全地认证身份、分发密钥。 身份认证：确认通信双方的身份，包括预共享密钥PSK 认证、数字证书RSA认证和数字信封认证。 IKE支持的认证算法有：MD5、SHA-1、AES-XCBC-MAC-96、SM3。MD5算法使 用128位的密钥，SHA-1算法使用160位的密钥。MD5算法的计算速度比SHA-1算法 快，而SHA-1算法的安全强度比MD5算法高。AES-XCBC-MAC-96使用128位的密 钥。SM3密码杂凑算法是中国国家密码管理局规定的IPSec协议规范。 IKE支持的加密算法有：DES、3DES、AES-128、AES-192和AES-25
12、6。其中高级加 密标准AES的密钥长度分别有128、192和256位密钥。以上加密算法的安全性由低 到高依次排列，其计算速度随安全性的提高而减慢。 加密机制-密码学分为两类： 对称加密算法-使用一把密匙来对信息提供安全的保护。只有一个密匙，即用来加密，也用来解密 非对称加密代表RSA-有一对密匙，一个公匙，一个私匙，私匙加密，公匙解密,或者公匙加密，私匙解密 对称加密代表：DES、3DES、AES 3DES-有三个密匙，用第一个密匙加密，用第二个密匙解密，再用第三个密匙加密 非对称加密-有一对密匙，一个叫公匙，一个叫私匙，如果用其中一个加密，必须用另一个解密。 非对称加密的代表：RSA、ECC
13、 非对称加密代表RSA-有一对密匙，一个公匙，一个私匙，私匙加密，公匙解密,或者公匙加密，私匙解密 非对称加密可以有两种应用： 1、公钥加密，私钥解密，叫加密 2、私钥加密，公钥解密，叫数字签名 AR1上的配置：IP地址配置省略 第一步：IP地址配置省略，指缺省路由 R1ip route-static 0.0.0.0 0.0.0.0 12.1.1.2 第二步：配置IKE R1ike peer dasheng1 v2 R1-ike-peer-ikep1pre-shared-key simple cctv R1-ike-peer-ikep1remote-address 23.1.1.3 第三步：使
14、用ACL抓感兴趣流量 R1acl number 3001 R1-acl-adv-3001rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 172.168.1.0 0.0.0.255 第四步：配置安全提议 R1ipsec proposal dasheng1 R1-ipsec-proposal-tran1quit 第五步：配置安全策略 R1ipsec policy fanfan1 10 isakmp R1-ipsec-policy-isakmp-vpn1-10security acl 3001 R1-ipsec-policy-isa
15、kmp-vpn1-10ike-peer dasheng1 R1-ipsec-policy-isakmp-vpn1-10proposal dasheng1 R1-ipsec-policy-isakmp-vpn1-10quit 第六步：将策略应用到启用IPSEC VPN的接口 R1interface GigabitEthernet 0/0/0 R1-GigabitEthernet0/0/0ipsec policy fanfan1 R1-GigabitEthernet0/0/0quit AR3上的配置 R3ip route-static 0.0.0.0 0.0.0.0 23.1.1.2 R3acl
16、number 3001 R3-acl-adv-3001rule 5 permit IP source 172.168.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 R3ike peer dasheng1 v2 R3-ike-peer-ikep1pre-shared-key simple cctv R3-ike-peer-ikep1remote-address 12.1.1.1 R3interface GigabitEthernet 0/0/1 R3-GigabitEthernet0/0/0ipsec policy fanfan1 R3-Giga
17、bitEthernet0/0/0quit AR1dis ipsec sa = Interface: GigabitEthernet0/0/0 Path MTU: 1500 = - IPSec policy name: fanfan1 Sequence number : 10 Acl Group : 3001 Acl rule : 5 Mode : ISAKMP - Connection ID : 9 Encapsulation mode: Tunnel Tunnel local : 12.1.1.1 Tunnel remote : 23.1.1.3 Flow source : 192.168.
18、1.0/255.255.255.0 0/0 Flow destination : 172.168.1.0/255.255.255.0 0/0 Qos pre-classify : Disable Outbound ESP SAs SPI: 559575 (0x889d7) Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5 SA remaining key duration (bytes/sec): 1887436800/3122 Max sent sequence-number: 0 UDP encapsulation used for NAT traversal: N Inbound ESP SAs SPI: 2124138469 (0x7e9bc7e5) Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5 SA remaining key duration (bytes/sec): 1887436800/3122 Max received sequence-number: 0 Anti-replay window size: 32 UDP encapsulation used for NAT traversal: N
