IPSec_VPN协议原理及配置.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,杭州华三通信技术有限公司,IPSec,VPN,协议原理及配置,ISSUE 1.1,日期：,杭州华三通信技术有限公司 版权所有，未经授权不得使用与传播,了解,VPN,的概念和分类,理解,IPSec,VPN,协议原理,掌握,ICG2000,IPSec,VPN,配置方法,课程目标,学习完本课程，您应该能够：,VPN,概述,IPSec,VPN,协议原理,ICG 2000,IPSec,配置与排错,目录,VPN,的定义,VPN Virtual Private Network,合作伙伴,Internet,出差员工,隧道专线,办事处,总部,分支机构,异地办事处,VPN,的分类,按应用类型分类：,Access VPN,Intranet VPN,Extranet VPN,按实现的层次分类：,二层隧道,VPN,三层隧道,VPN,VPDN,POP,POP,用户直接发起连接,POP,ISP,发起连接,总部,隧道,适用范围：,出差员工,异地小型办公机构,Intranet VPN,Internet/ISP IP,ATM/FR,隧道,总部,研究所,办事处,分支机构,Extranet VPN,Internet/ISP IP,ATM/FR,总部,合作伙伴,异地办事处,分支机构,按实现的层次分类,二层隧道,VPN,L2TP,:Layer 2 Tunnel Protocol(RFC 2661),PPTP:Point To Point Tunnel Protocol,L2F:Layer 2 Forwarding,三层隧道,VPN,GRE:Generic Routing Encapsulation,IPSEC:IP Security Protocol,VPN,设计原则,安全性,隧道与加密,数据验证,用户验证,防火墙与攻击检测,可靠性,经济性,扩展性,VPN,概述,IPSec,VPN,协议原理,ICG 2000,IPSec,配置与排错,目录,IPSec,IPSec,（,IP Security,）是,IETF,制定的为保证,在Internet,上传送数据的安全保密性能的框架协议,IPSec,包括报文验证头协议,AH,（协议号,51,）和封装安全载荷协议,ESP,（协议号,50,）两个协议,IPSec,有隧道（,tunnel,）和传输（,transport,）两种工作方式,IPSec,的组成,IPSec,提供两个安全协议,AH(Authentication Header),报文验证头协议,MD5(Message Digest 5),SHA1(Secure Hash Algorithm),ESP(Encapsulation Security Payload),封装安全载荷协议,DES(Data Encryption Standard),3DES(Triple DES),AES(Advanced Encryption Standard),IPSec,的安全特点,数据机密性（,Confidentiality,）,数据完整性（,Data Integrity,）,数据来源认证（,Data Origin Authentication,）,反重放（,Anti-Replay,）,IPSec,基本概念,数据流,(Data Flow),安全联盟,(Security Association),安全参数索引,(Security Parameter Index),安全联盟生存时间,(Life Time),安全提议,(Security Proposal),安全策略,(Security Policy),AH,协议,数据,IP,包头,数据,IP,包头,AH,数据,原,IP,包头,AH,新,IP,包头,传输模式,隧道模式,下一个头,负载长度,保留域,安全参数索引,(SPI),序列号,验证数据,AH,头结构,0,8,16,31,ESP,协议,数据,IP,包头,加密后的数据,IP,包头,ESP,头部,ESP,头,新,IP,包头,传输模式,隧道模式,ESP,尾部,ESP,验证,ESP,尾部,ESP,验证,0,8,16,24,安全参数索引,(SPI),序列号,有效载荷数据（可变）,填充字段,(0-255,字节）,填充字段长度,下一个头,验证数据,ESP,协议包结构,数据,原,IP,包头,加密部分,IKE,IKE,（,Internet Key Exchange,，,因特网密钥交换协议）,为,IPSec,提供了自动协商交换密钥、建立安全联盟的服务,通过数据交换来计算密钥,IKE,的安全机制,完善的前向安全性,数据验证,身份验证,身份保护,DH,交换和密钥分发,IKE,的交换过程,SA,交换,密钥交换,ID,交换及验证,发送本地,IKE,策略,身份验证和,交换过程验证,密钥生成,密钥生成,接受对端,确认的策略,查找匹配,的策略,身份验证和,交换过程验证,确认对方使用的算法,产生密钥,验证对方身份,发起方策略,接收方确认的策略,发起方的密钥生成信息,接收方的密钥生成信息,发起方身份和验证数据,接收方的身份和验证数据,Peer1,Peer2,DH,交换及密钥产生,a,c=,g,a,modp,d,a,modp,peer2,peer1,b,d=,g,b,modp,c,b,modp,d,a,modp,=,c,b,modp,=,g,ab,modp,(g,p),IKE,在,IPSec,中的作用,降低手工配置的复杂度,安全联盟定时更新,密钥定时更新,允许,IPSec,提供反重放服务,允许在端与端之间动态认证,IPSec,与,IKE,的关系,IKE,TCP,UDP,IPSec,IKE,TCP,UDP,IPSec,加密的,IP,报文,IP,IKE,的,SA,协商,SA,SA,VPN,概述,IPSec,VPN,协议原理,ICG 2000,IPSec,配置与排错,Web,方式配置,IPsec,排错,目录,IPSec,配置前的准备,确定需要保护的数据,确定使用安全保护的路径,确定使用哪种安全保护,确定安全保护的强度,总部网关,NavigatorA,配置,配置上网参数,NavigatorA,创建,NAT ACL,ACL 3100,，禁止总部子网,192.168.1.0/24,访问分支机构子网,192.168.0.0/24,时进行,NAT,转换，允许该子网访问公网时进行,NAT,在转换,NavigatorA,创建,NAT ACL,续NavigatorA,创建安全,ACL,ACL 3200,，允许分支机构子网,192.168.1.0/24,通过,IPSec,VPN,访问目的总部机构,192.168.0.0/24,的子网,NavigatorA,重新绑定,NAT,命令行配置界面，首先取消系统缺省,NAT,地址转换设置，然后对,NAT,地址转换绑定,ACL 3100,system-view,System View:return to User View with,Ctrl+Z,.,NavigatorA,interface Ethernet 0/0,NavigatorA-Ethernet0/0 display this,interface Ethernet0/0,port link-mode route,nat,outbound,ip,address 202.1.1.10 255.255.255.0,ipsec,policy navigator,NavigatorA-Ethernet0/0undo,nat,outbound,NavigatorA-Ethernet0/0nat outbound 3100,NavigatorA,创建,IKE,创建,IKE,navigator-a,NavigatorA,创建,IKE,对等体,创建,IKE,对等体,e2e,NavigatorA,创建,IKE,对等体 续,查看,IKE,对等体,NavigatorA,配置,IPSec,策略,创建,IPSec,策略,NavigatorA,配置,IPSec,策略 续,配置,IPSec,策略,NavigatorA,删除缺省,IPSec,策略,删除系统缺省的,IPSec,策略,NavigatorA,重新绑定,IPSec,策略,为,E0/0,重新绑定,IPSec,策略,NavigatorA,接口绑定,IPSec,策略,绑定成功，,Navigator,配置完成,分支网关,Navigator B,配置,分支网关配置与总部网关配置基本相似,配置上网参数,配置,NAT ACL,配置安全,ACL,配置,IKE,设置,IKE,对等体,创建,IPSec,策略重新绑定,IPSec,策略,后续列出与总部网关有区别的配置步骤,Navigator B,配置,配置上网参数，拨号方式,NavigatorB,重新绑定,NAT,命令行配置界面，进入,PPPoE,拨号接口视图,Dialer10,，首先取消系统缺省,NAT,地址转换设置，然后对,NAT,地址转换绑定,ACL 3100,system-view,System View:return to User View with,Ctrl+Z,.,NavigatorB,interface dialer 10,NavigatorB-Dialer10 display this,#,interface Dialer10nat,outbound,link-protocol,ppp,ppp,chap user 10000088888,ppp,chap password cipher V9ZK.:B:WKQ=QMAF41!,ppp,pap local-user 10000088888 password cipher V9ZK.:B:WKQ=QMAF41!,NavigatorB-Dialer10 undo nat outbound,NavigatorB-Dialer10,nat,outbound 3100,NavigatorB,创建,IKE,对等体,创建,IKE,对等体，注意需配置总部网关,IP,地址,NavigatorB,接口绑定,IPSec,策略,在拨号口绑定新创建的,IPSec,策略，配置完成,IPSec,功能验证,由分支触发,IPSec,，实现总部与分支内网的安全互访,VPN,概述,IPSec,VPN,协议原理,ICG 2000,IPSec,配置与排错,Web,方式配置,IPsec,排错,目录,IPSec,的显示与调试,IPSec,显示与调试,显示安全联盟的相关信息,display,ipsec,sa,brief|remote,ip,-address,|policy,policy-name,seq,-number,|duration,显示,IPSec,处理报文的统计信息,display,ipsec,statistics,显示安全提议的信息,display,ipsec,proposal,proposal-name,显示安全策略的信息,display,ipsec,policy brief|name,policy-name,seq,-number,打开,IPSec,的调试功能,debugging,ipsec,sa,|,packet,policy,policy-name,seq,-number,|,parameters,ip,-address protocol,spi,-number,|,misc,IKE,的显示与调试,显示当前已建立的安全通道,display,ike,sa,显示每个,IKE提议配置的参数,display,ike,proposal,删除安全隧道,reset,ike,sa,connection-id,打开,IKE,的调试信息,debugging,ike,error,|,exchange,|,message,|,misc,|,transport,IPSec,故障诊断与排错,非法用户身份信息,检查协商两端接口上配置的安全策略中的,ACL,内容是否相容。,建议用户将两端的,ACL,配置成互为镜像的。,提议不匹配,对于阶段,1,，检查,IKE proposal,是否有与对方匹配的。,对于阶段,2,协商，检查双方接口上应用的,IPsec,安全策略的参数是否匹配，引用的,IPsec,安全提议的协议、加密算法和验证算法是否有匹配的。,无法建立安全通道,使用,reset,ike,sa,命令清除错误存在的,SA,，重新发起协商。,VPN,概述,IPsec,协议原理,ICG2000 Web,方式配置,IPSec,本章总结,