IPSecVPN典型配置试验.PPT

实验六、 IPSec VPN典型配置实验 实验开发教师:谌黔燕 【实验目的】 1、理解IPSec（IP Security）协议在网络安全中的作用。 2、理解IP层数据加密与数据源验证的原理。 3、掌握实现IPSec VPN的典型配置方法。 【实验内容】 1、图2-1 通过Console口搭建本地配置环境 按图2-1搭建本地配置环境，通过PC机对QuidwayA和QuidwayB进行典型配置。配置要求为：安全协议采用ESP协议，加密算法采用DES，验证算法采用SHA1-HMAC-96。 2、按图2-2拓扑结构组网，在QuidwayA和QuidwayB之间建立一个安全隧道，对PC A代表的子网（10.1.1.x）与PC B代表的子网（10.1.2.x）之间的数据流进行安全保护。 3、从子网A向子网B发送数据包，对配置结果进行验证。 【实验环境】 1、 华为Quidway SecPath 100F硬件防火墙两 台。 2、 PC个人计算机两台，分别安装Windows 2000 pro操作系统。 3、 Console口配置电缆两根。 4、 RJ45直通网线三根。 【实验参考步骤】 1、按图2-2拓扑结构组网。 2、建立本地配置环境 3、配置IPSec VPN 第一步：配置QuidwayA 第二步：配置QuidwayB 第三步：配置PC机的IP地址 4、进行数据加密传输验证 【实验报告】 1、阐述本实验中的加密原理。 2、提交规划组网的地址信息表。 3、对实验结果进行分析说明。 【实验预备知识】 1、VPN原理 VPN用户通过PSTN/ISDN网拨入ISP的NAS（Network Access Server）服务器，NAS服务器通过用户名或接入号码识别出该用户为VPN用户后，就和用户的目的VPN服务器建立一条连接，称为隧道（Tunnel）。 隧道两侧可以对报文进行加密处理，使Internet上的其它用户无法读取，因而是安全可靠的。 隧道协议分为第二层隧道协议和第三层隧道协议。 2、第二层隧道协议 第二层隧道协议是将整个PPP帧封装在内部隧道中。现有的第二层隧道协议有： （1） PPTP（Point-to-Point Tunneling Protocol）：点到点隧道协议，支持点到点PPP协议在IP网络上的隧道封装， （2）?L2F（Layer 2 Forwarding）协议：二层转发协议。L2F协议支持对更高级协议链路层的隧道封装，实现了拨号服务器和拨号协议连接在物理位置上的分离。 （3）?L2TP（Layer 2 Tunneling Protocol）：二层隧道协议 结合了上述两个协议的优点，已经成为标准RFC。L2TP既可用于实现拨号VPN业务，也可用于实现专线VPN业务。 3、第三层隧道协议 第三层隧道协议的起点与终点均在ISP内，PPP会话终止在NAS处，隧道内只携带第三层报文。现有的第三层隧道协议主要有： GRE（Generic Routing Encapsulation）协议：这是通用路由封装协议，用于实现任意一种网络层协议在另一种网络层协议上的封装。 IPSec（IP Security）协议：IPSec协议不是一个单独 的协议，它给出了IP网络上数据安全的一整套体系结构，包括AH（Authentication Header）、ESP（Encapsulating Security Payload）、IKE（Internet Key Exchange）等协议。 GRE和IPSec主要用于实现专线VPN业务。 4、安全联盟 IPSec在两个端点之间提供安全通信，端点被称为IPSec对等体。 IPSec能够允许系统、网络的用户或管理员控制对等体间安全服务的粒度。通过SA（Security Association，安全联盟），IPSec能够对不同的数据流提供不同级别的安全保护。 安全联盟是IPSec的基础，也是IPSec的本质。SA是通信对等体间对某些要素的约定， 5、IPSec协议的操作模式 IPSec协议有两种操作模式：传输模式和隧道模式。SA中指定了协议的操作模式。 6、验证算法与加密算法 (1)?验证算法 AH和ESP都能够对IP报文的完整性进行验证，以判别报文在传输过程中是否被篡改。验证算法的实现主要是通过杂凑函数。。一般来说IPSec使用两种验证算法： MD5：MD5通过输入任意长度的消息，产生128bit的消息摘要。 SHA-1：SHA-1通过输入长度小于2的64次