第九章虚拟专用网络技术辩析.ppt

第9章 虚拟专用网络技术 9.2虚拟专用网络概述 1994年IAB(Internet Architecture Board)发表一份报告“Internet体系结构中的安全性”(RFC1636) 保护网络基础设施，防止非授权用户监控网络流量 需要认证和加密机制增强用户-用户通信流量。 1997年CERT(Computer Emergency Response Team)年报表明2500安全事故影响了150000站点。 IAB决定把认证和加密作为下一代IP（IPv6）的必备安全特性，而IPv4也可以实现这些安全特性。 9.1 虚拟专用网络概述 IPSec提供对跨越LAN/WAN，Internet的通讯提供安全性 分支办公机构通过Internet互连。(Secure VPN) 通过Internet的远程访问。 与合作伙伴建立extranet与intranet的互连。 增强电子商务安全性。 IPSec的主要特征是可以支持IP级所有流量的加密和/或认证。因此可以增强所有分布式应用的安全性。 9.1 虚拟专用网络概述 IPSec的好处 在防火墙或路由器中实现时，可以对所有跨越周界的流量实施强安全性。而公司内部或工作组不必招致与安全相关处理的负担。 在防火墙中实现IPSec可以防止IP旁路。 IPSec是在传输层(TCP,UDP)之下，因此对应用透明。不必改变用户或服务器系统上的软件。 IPSec可以对最终用户透明。无须训练用户。 需要时IPSec可以提供个人安全性。这对非现场工作人员以及在一个组织内为一个敏感应用建立一个安全的虚拟子网是有用的。 IETF设立的IP 安全协议工作组 体系结构（Architecture） 封装安全有效载荷（ ESP -Encapsulating Security Payload） 认证头（ AH -Authentication Header ） 加密算法（Encryption Algorithm） 认证算法（Authentication Algorithm） 密钥管理（Key Management） 解释域（ DOI -Domain of Interpretation） 图 9.2 IPSec文档 9.2 Internet的安全协议IPSec IPSec的主要目标 期望安全的用户能够使用基于密码学的安全机制 应能同时适用与IPv4和IPv6 算法独立 有利于实现不同安全策略 对没有采用该机制的的用户不会有副面影响 2. IPSec提供的服务 IPSec在IP层提供安全服务，使得系统可以选择所需要的安全协议，确定该服务所用的算法，并提供安全服务所需任何加密密钥。 访问控制 连接完整性 数据源认证 拒绝重放数据包 必威体育官网网址性（加密） 有限信息流必威体育官网网址性 2. IPSec提供的服务 9.2.4安全关联 安全关联 (Security Association ，SA) 是IP认证和必威体育官网网址机制中最关键的概念。 一个SA就是发送与接收者之间的一个单向关系。 如果需要一个对等关系，即双向安全交换，则需要两个SA。 一个SA由一个Internet目的地址和一个安全变量SA索引SPI唯一标识。因此，任何IP包中，SA是由IPv4中的目的地址或IPv6头和内部扩展头（AH或ESP）中的SPI所唯一标识的。 9.2.4安全关联 SA由三个参数唯一确定： Security Parameters Index(SPI)：安全变量索引。分配给这个SA的一个位串并且只有本地有效。SPI在AH和ESP报头中出现，以使得接收系统选择SA并在其下处理一个收到的报文。 IP目的地址：目前，只允许单点传送地址；这是该SA的目标终点的地址，它可以是一个最终用户系统或一个网络系统如防火墙或路由器。 安全协议标识符：表明是AH还是ESP的SA 1.SA的参数 序数计数器：一个32位值用于生成AH或ESP头中的序数字段； 计数器溢出位：一个标志位表明该序数计数器是否溢出，如果是，将生成一个审计事件，并禁止本SA的进一步的包传送。 防回放窗口：用于确定一个入站的AH或ESP包是否是一个回放 AH信息：认证算法、密钥、密钥生存期、以及与AH一起使用的其它参数 ESP信息：加密和认证算法、密钥、初始值、密钥生存期、以及ESP一起使用的其它参数 SA的生存期：一个时间间隔或字节记数，到时后一个SA必须用一个新的SA替换或终止，以及一个这些活动发生的指示。 IPSec协议模式：隧道、运输、统配符。 通路MTU：任何遵从的最大传送单位和老化变量 2. 组合安全关联 AH协议和ESP协议可以单独使用，也可以组合使用，因为每一种协议都有两种使用的模式，这样组合使用就有多种可能的组合方式。但是在这么多可能的组合中只有几个有实际意义的应用。 用