基于思科设备得VPN实现(四)

IP协议没有安全机制的严重缺陷而专门制定的IP安全标准，用以在IP层实现访问控制、无连接完整性、数据源验证、抗重播、数据加密和有限的业务流机密性等多种安全服务。该标准由一系列协议组成，各协议之间的关系如图3.1所示。
 
 图3-1 IPSec协议结构图
 IPsec 为 IP 层提供安全服务，它使系统能按需选择安全协议，决定服务所使用的算法及放置服务所需密钥到相应位置。IPsec 用来保护一条或多条主机与主机间、安全网关与安全网关间、安全网关与主机间的路径。IPsec 能提供的安全服务包括访问控制、无连接的完整性、数据源认证、抗重播（replay）保护、保密性和有限传输流保密性在内的服务。因为这些服务均在 IP 层提供，所以任何高层协议均能使用它们。例如 TCP、UDP、ICMP、BGP 等等。这些目标是通过两大传输协议：头部认证 AH、封装安全负载 ESP 和通过密钥管理过程和协议的使用来完成的。使用于任何环境中的 IPsec 协议集及其使用的方式是由用户、应用程序、和/或站点、组织对安全和系统的需求来决定。当正确的实现、使用这些机制时，它们不应该对不使用这些安全机制保护传输的用户、主机和其他英特网部件产生负面的影响。这些机制也被设计成算法独立的。这一模块性允许选择不同的算法集而不影响其他部分的实现。例如：如果需要，不同的用户通讯可以采用不同的算法集。定义一个缺省的标准集使全球英特网更容易交互。这些算法辅以 IPsec 传输保护和密钥管理协议的使用为系统和应用开发者采用基于 IP 层的高质量的加密的安全技术提供了途径。
 目前IPSec技术发展情况：
 从IPSec协议族来看，IPSec的实现重点是Internet 密钥交换（IKE）和安全策略系统，这两个技术的实现,决定了IPSec实现是否完善和标准。
 第4章 VPN工作原理与系统结构
 4.1 VPN工作原理
 VPN在网络中拓扑示意图如4.1所示
 
 
 
 图4-1 VPN网络拓扑图
 IPSEC提供三种不同的形式来保护通过公有或私有IP网络来传送的私有数据：
 认证－可以确定所接受的数据与所发送的数据是一致的，同时可以确定申请发送者在实际上是真实发送者，而不是伪装的。
 数据完整－保证数据从原发地到目的地的传送过程中没有任何不可检测的数据丢失与改变。
 机密性－使相应的接收者能获取发送的真正内容，而无意获取数据的接收者无法获知数据的真正内容。
 IPSEC由三个基本要素来提供以上三种保护形式：认证协议头（AH）、安全加载封装（ESP）和互联网密匙管理协议（IKMP）。认证协议头和安全加载封装可通过分开或组合使用来达到所需保护等级。
 对于VPN来说，认证和加密都是必需的，因为只有双重安全措施才能确保未经授权的用户不能进入VPN，同时，Internet上的窃听者无法读取VPN上传输的信息。大部分的应用实例中都采用了ESP而不是AH。钥匙交换功能允许手工或自动交换密钥。
 认证协议头（AH）是在所有数据包头加入一个密码。正如整个名称所示，AH通过一个只有密匙持有人才知道的“数字签名”来对用户进行认证。这个签名是数据包通过特别的算法得出的独特结果；AH还能维持数据的完整性，因为在传输过程中无论多小的变化被加载，数据包头的数字签名都能把它检测出来。不过由于AH不能加密数据包所加载的内容，因而它不保证任何的机密性。两个最普遍的AH标准是MD5和SHA-1。
 安全加载封装（ESP）通过对数据包的全部数据和加载内容进行全加密来严格保证传输信息的机密性，这样可以避免其他用户通过监听来打开信息交换的内容，因为只有受信任的用户拥有密匙打开内容。ESP也能提供认证和维持数据的完整性。最主要的ESP标准是数据加密标准（DES），DES最高支持56位的密匙，而Triple-DES使用三套密匙加密，那就相当于使用到168位的密匙。由于ESP实际上加密所有的数据，因而它比AH需要更多的处理时间，从而导致性能下降。
 密匙管理 包括密匙确定和密匙分发两个方面，最多需要四个密匙：AH和ESP各两个发送和接收密匙。密匙本身是一个二进制字符串，通常用十六进制表示，例如，一个56位的密匙可以表示为5F39DA752E0C25B4。注意全部长度总共是64位，包括了8位的奇偶校验。密匙管理包括手工和自动两种方式。
 
 
 4.2 VPN主要协议的系统结构和工作模式
 4.2.1 IPSec系统结构
 目标系统的体系结构可抽象为以下三层结构：
 a)自主开发的嵌入式安全操作系统内核
 b)网络协议和IPSec协议层
 c)管理系统层
 以上三个层次间的关系如图4.2所示：
 
 用户态  管理系统层 
  
 内核态  网络协议和Ipsec协议层 
   操作系统内核 
图4-2 VPN网关的层次结构图
 
 (1)IPSec体系。它包含了一般的概念，安全需求，定义和定义IPSec的技术机制。
 (2)AH协议和ESP协议。他们是IPSec用于保护传输数据安全的两个主要协议。AH和ESP都能用于访问控制，数据源认证，无连接完整性保护和防重放攻击，同时ESP还可以用于机密性保护和有限的流机密保护。
 (3)解释域DOI。为了IPSec通信两端能相互交互，通信双方应该理解AH协议和ESP协议载荷中各字段的取值，因此通信双方必须保持对通信消息相同的解释规则，即应持有相同的解释域（Interpretation of Domain，DOI）。IPSec至少已经给出了两个解释域，IPSec DOI和ISAKMP DOI，它们各有不同的使用范围。解释域定义了协议用来确定安全服务的信息通信双方必须支持的安全策略，规定所采用的句法，命名相关安全服务信息时的方案，包括机密算法，密钥交换算法，安全策略特性和认证中心等。
 (4)加密算法和认证算法。ESP涉及到这两种算法，AH涉及到认证算法。加密算法和认证算法在协商过程中，通过使用共同的DOI，具有相同的解释规则。ESP和AH所使用的各种加密算法和认证算法由一系列RFC文档规定，而且随着密码技术的发展，不断由新的加密和认证算法可以用于IPSec，因此，有关IPSec中的机密和认证算法的文档也在不断增加和发展。
 (5)密钥管理。IPSec密钥管理主要是由IKE协议完成。准确地讲IKE用于动态安全关联SA及提供所需要的经过认证的密钥材料。更要强调的是，虽然ISAKMP称为Internet安全关联和密钥管理协议，但它定义的是一个管理框架。ISAKMP定义了双方如何沟通，如何构建彼此间的沟通信息，还定义了保障通信安全所

首页 上一页 1 2 3 4 5 6 7 下一页 尾页 4/10/10

基于思科设备得VPN实现(四)相关范文