IPSEC安全策略

IPSEC安全策略

---

2008-11-09 15:10:53

　标签： 安全 IPSEC 策略　　　 [ 推送到技术圈]

一、 安全策略的含义 策略位于安全检查规范的最高一级，是决定系统的安全要素。安全策略定义了系统中哪些行为是允许的，哪些是不允许的。按ISO安全参考模型，安全策略建立在授权行为这一概念之上。按授权的性质，可区分两种不同的策略，即基于规则的策略和基于身份的策略。基于规则的安全策略是根据系统的一般属性建立的一组规则，授权通常依赖于信息与资源的敏感属性，它们通常是强制性的。基于身份的策略是建立在特定的个别属性之上的授权准则，其目的是过滤对特定数据或资源的访问和使用。 二、 安全策略的作用 安全策略的目的是决定一个组织怎样来保护自己。一般说来，策略包括两个部分：总体策略和具体规则。总体策略阐明公司安全政策的总体思想，具体规则用于说明什么行为是允许的，什么行为是禁止的。 IPsec是一种协议套件，它通过两个安全协议AH和ESP为IP数据包提供安全保护。不同的用户和不同的通信可能需要不同的安全服务。例如，假设在公司中有一个集中的管理部门，在管理部门内部的通信必须保证信息的完整性，但不需要加密，而管理部门和公司的其他部门之间的通信则既需要保证信息的完整性，又必须保证机密性，因此需要加密。可以以IP地址为依据制订相应的安全策略。 三、 安全策略的表示与管理 1． 策略的表示 策略是通过柔性语言表达的，而机器只能识别形式语言。例如：人的想法可能是：对我的所有访问要进行身份验证。而机器的定义则可能是对目的地为202.96.4.1的通信要通过HMACSHA进行身份验证。一般而言，不存在一个映射方式将柔性语言表达式无损地映射到形式语言表达式中。所以，从基本流程上来说，IPsec安全策略管理要提供一个人机界面，安全管理员以尽可能自然的方式输入非形式化的安全策略表达式。安全策略通常以安全策略数据库的形式表现出来，库中的每条记录对应一个安全策略。 2． 策略的管理 网络安全是非常复杂的，要保护的网络的规模越大，描述如何保障安全的策略就越复杂。如果一个网络管理员必须逐一访问每一个网络实体，并且依照系统安全策略对网络实体进行手工配置，几乎是不可能的，因此，有必要集中地管理安全策略。IPsec系统所使用的策略库一般保存在一个策略服务器中，该服务器为域中的所有节点（主机和路由器）的维护策略库，各节点可将策略库拷贝到本地，也可使用轻型目录访问协议（LDAP）动态获取策略。 为了确定提供给数据包的安全服务，IPsec 内核需频繁地查询策略。因此，应在系统初始化时将安全策略库置于内核中，以保证查询速度，并定期进行更新和刷新，保证策略库的有效性和安全性。 四、 安全策略的要素 IPsec本身没有为策略定义标准，目前只规定了两个策略组件：SAD（安全关联数据库）和SPD（安全策略数据库）。在IPsec系统中，安全策略通过SPD得到表现。 对于外出包，必须先检索SPD，决定提供给它的安全服务。对于进入包，也要查阅SPD，判断为其提供的安全保护是否和策略规定的安全保护相符。SPD是有序的，每次查找的顺序应相同。SPD还控制密钥管理（如ISAKMP）的数据包，即对ISAKMP数据包的处理要明确说明，否则该包将被丢弃。 策略描述主要包括两方面的内容：一是对通信特性的描述，二是对保护方法的描述。 1． 使用选择符描述通信特性 选择符包括下面6个方面的内容： 目的IP地址： 可为单个IP地址、地址列表、地址范围或通配（掩码）地址。后两种用于支持共享一个SA的多个目的系统。 源IP地址：可为单个IP地址、地址列表、地址范围或通配（掩码）地址。后两种用于支持共享一个SA的多个原发系统。 名字：其中包括一个DNS 名、X.500区分名或者在IPsec DOI中定义的其他名字类型。只有在IKE协商期间（而非包处理期间），名字字段才能作为一个选择符使用。 传输层协议：许多情况下，只要使用了ESP，传送协议无法访问，这时需使用通配符。 源和目标端口：TCP或UDP端口号，可为单个端口、端口列表或通配端口。如果端口不能访问，则要使用通配符。 数据敏感等级：通信数据的保密等级，可分为普通、秘密、机密、绝密。 2． 对保护方法的描述 对于进入或外出的每一份数据报，都可能有三种处理：丢弃、绕过或应用IPsec。若是应用IPsec，策略记录要包含使用的IPsec协议、模式、算法和嵌套要求等。 五、 安全策略的 实例--安全关联（SA） 1． SA的定义 安全关联（Security Association，SA）是两个应用IPsec实体（主机、路由器）间的一个单向逻辑连接，决定保护什么、如何保护以及谁来保护通信数据。它规定了用来保护数据包安全的IPsec协议、转换方式、密钥以及密钥的有效存在时间等等。SA是单向的，要么对数据包进行“进入”保护，要么进行“外出”保护。 SA用一个三元组（安全参数索引SPI、目的IP地址、安全协议）唯一标识。                              2． SA的作用 SA提供的安全服务取决于所选的安全协议（AH或ESP）、SA模式、SA作用的两端点和安全协议所要求的服务。 例如，AH为IP数据报提供数据源验证和无连接完整性。AH还提供抗重播服务。接收端是否需要这一服务，可自行决定。AH不对数据包进行加密，ESP则可提供加密和验证以及抗重播服务。ESP验证的数据不包括外部IP头，加密和验证服务至少选择其中之一。 ESP为SA的加密服务提供了有限业务流机密性。隧道模式隐藏了数据包的源地址和最终目的地址。ESP数据包进行填充，隐藏了数据包的真实大小，进而隐藏了其通信特征。移动用户的IP地址是动态分配的，通过与公司的作为网关使用的防火墙间建立隧道模式ESP SA，也可实现业务流的机密性。 3． SA的使用 一个SA对IP数据报不能同时提供AH和ESP保护。有时，特定的安全策略要求对通信提供多种安全保护，这就需要使用多个SA。当把一系列SA应用于业务流时，称为SA束。SA束的顺序由安全策略决定，SA束中各个SA的终点可能不同。例如，一个SA可能用于移动主机与安全网关之间，而另一个可能用于移动主机与安全网关内的主机。 多个SA可以用传输邻接和嵌套隧道两种方式联合起来。 （1） 传输邻接（Transport Adjacency） 传输邻接是指将多个安全协议应用于一份IP数据报中，应用过程中不出现隧道。这种方式仅允许AH和ESP进行一层联合。如SA中的算法强度足够，则没有必要将多个SA嵌套。对一份数据报同时使用AH和ESP传输模式时，应先应用ESP，再应用AH。 （2）嵌套隧道（Iterated Tunneling） 嵌套隧道是指将多个SA嵌套用于一份数据报，这些SA的起点和终点可以不同。 4．安全关联数据库（SAD） SAD为进入和外出包维持一个活动的SA列表。SAD的字段包括： 外部头目的IP地址：SA的目的地址，可为终端用户系统、防火墙和路由器等网络系统。原则上讲，目的地址可以是单播地址、广播地址或多播地址。但目前的SA管理机制只支持单播地址的SA。 IPsec协议：标识SA用的是AH还是ESP。 SPI：32比特的安全参数索引，标识同一个目的地的SA。 序号计数器：32比特，用于产生AH或ESP头的序号，仅用于外出数据包。 序号计数器溢出标志：标识序号计数器是否溢出。如溢出，则产生一个审计事件，并禁止用SA继续发送数据包。 抗重播窗口：32比特计数器及位图，用于决定进入的AH或ESP数据包是否为重发。仅用于进入数据包，如接收方不选择抗重播服务（如手工设置SA时），则抗重播窗口未被使用。 密码算法及密钥：AH和ESP验证算法及其密钥、ESP加密算法、密钥、IV模式、IV等。 SA的生存期：一个时间间隔。超过这一间隔后，应建立一个新的SA（以及新的SPI）或终止通信。生存期以时间或字节数为标准，或将两者结合使用，并优先采用先到者。 IPsec协议模式：隧道、传输或通配，说明应用AH或ESP的模式。 查找MTU：所考察的路径的MTU及其寿命变量。 5．SA的管理 SA管理的两大任务就是创建和删除。SA的管理既可手工进行，也可通过IKE来完成。 手工方式下，安全参数由管理员按安全策略手工指定、手工维护。但是，手工维护容易出错，而且手工建立的SA没有生存周期限制，一旦建立了，就不会过期，除非手工删除。 SA的自动建立和动态维护是通过IKE进行的。如果安全策略要求建立安全、保密的连接，但却不存在相应的SA，IPsec的内核则启动或触发IKE协商。 本文出自 51CTO.COM技术博客

附件下载：
　　 IPSEC穿透nat的典型组网和配置