IPSEC在企业网中的应用

 

 

 

 

 

IPSEC在企业网中的应用

 

IPSec 协议简介：

IPSec 是一系列网络安全协议的总称，它是由IETF（Internet Engineering Task
Force，Internet 工程任务组）开发的，可为通讯双方提供访问控制、无连接的完整性、数据来源认证、反重放、加密以及对数据流分类加密等服务。

IPSE的原理

IPSec安全体系内容

验证头部AH：

为IP包提供数据完整性校验和身份认证功能；

验证算法由SA指定；

认证的范围：整个包。

封装安全载荷ESP：

提供机密性，数据源验证，抗重播以及数据完整性等安全服务；

加密算法和身份验证方法均有SA指定。

用于两种模式：传输模式和隧道模式

AH处理过程

1) 对于发出去的包的处理构造AH

l 创建一个外出SA（手工或通过IKE）

l 产生序列好

l 填充AH头的各字段

l 计算ICV（Integrity Check Value完整性检验值）

    内容包括：IP头中部分域，AH自身，上层协议数据

l AH头中的”下一头部“置为原IP包头中的”协议“字段的值，原IP包头的”协议字段置为51（代表AH）

2)  对于接受到的包处理：

l 分片装配

l 查找SA

依据：目标IP地址，AH协议，SPI

l 检查序列号

l ICV检查

ESP处理过程

1) 对出发出去的包的处理

l 查找SA

l 加密

l 封装必要的数据，放到payload data域中，不同的模式，封装数据的范围不同

l 增加必要的padding数据

l 加密操作

l 验证

l 计算ICV   注意：针对加密后的数据进行计算

2) 对于接受到的包的处理

l 分片装配

l 查找SA

    依据：目标IP地址，ESP协议，SPI

l 检查序列号（可选，针对重放攻击）

    使用一个滑动串口来检查序列号的重放

l ICV检查

l 解密

根据SA中指定的算法和迷失，参数，对于被加密部分的数据进行解密

去掉padding

重构原始的IP包

 

SA（Security Association）安全联盟

l SA是单向的（无法反推）

l SA是“协议相关”的（与协议对应）

l 每个SA通过三个参数来标志,<spi,dst(src),protocol>

安全参数索引SPI（Security Parameters Index）

对方IP地址

安全协议标识：AH or ESP

l SA与IPSec系统中实现的两个数据库有关

安全策略数据库（SPD）

安全关联数据库（SAD）

 

密钥管理（Key Management）

l ISAKMP定义了密钥管理框架。ISAKMP与IKE一样，IKE是高级版本。

l IKE是母线真是确定用于IPSec的密钥交换协议。

ISAKMP参考RFC2308文档，IKE协议参考RFC2409文档

IPSec 相关术语：
数据流：在 IPSec 中，一组具有相同源地址/掩码、目的地址/掩码和上层协议的数据集称为数据流。通常，一个数据流采用一个访问控制列表（acl）来定义，所有为ACL 允许通过的报文在逻辑上作为一个数据流。为更容易理解，数据流可以比作是主机之间一个的TCP 连接。IPSec 能够对不同的数据流施加不同的安全保护，例如对不同的数据流使用不同的安全协议、算法或密钥。

案例.

要求：

在企业网络中，如图，采用ike模式配置网络之间的安全通信。其中R1为公司总部，R4为Internet网络，其两个分公司通过Internet与总部通信，现要求通过ike方法实现总部与分公司之间的安全通信。

拓扑图

 

 

 

 

 

 

配置步骤

R2的配置

interface Ethernet0/0

ip address 192.168.5.1 255.255.255.0

interface serial1/0

ip address 192.168.3.1 255.255.255.0

将端口加入区域信任

Firewall zone trust

Add interface eth0/0

Add interface ser1/0

Ip route 0.0.0.0 0.0.0.0 192.168.3.2

创建访控列表

acl 3000

rule permit ip source 192.168.3.0 0.0.0.255 dest 192.168.2.0 0.0.0.0.255 允许的

rule deny ip source any dest any

quit

ipsec proposal tran1    配置ipsec协议

encap tunnel             配置报文封装类型

transform  esp          配置安全协议

esp encry des   加密方式

esp authen md5-  验证算法

exi ipsec policy policy1 10 manual

security acl 3000   应用访空列表

proposal trans1  安全提议

tunnel local 192.168.3.1

tunnel remote 192.168.2.2

sa out esp spi 12345      出去的

sa out esp string-key abcde  出去验证的钥匙串

sa in esp spi 54321       进去的

sa in esp string wang   进去的钥匙串

int s1/0

ipsec policy policy1

 

R3的配置

interface Ethernet0/0

ip address 192.168.6.1 255.255.255.0

interface serial1/0

ip address 192.168.4.1 255.255.255.0

将端口加入区域信任

Firewall zone trust

Add interface eth0/0

Add interface ser1/0

Ip route 0.0.0.0 0.0.0.0 192.168.4.2

创建访控列表

acl 3000

rule permit ip source 192.168.4.0 0.0.0.255 dest 192.168.2.0 0.0.0.0.255 允许的

rule deny ip source any dest any

quit

ipsec proposal tran3    配置ipsec协议

encap tunnel             配置报文封装类型

transform  esp          配置安全协议

esp encry des   加密方式

esp authen md5-  验证算法

exi ipsec policy policy1 30 manual

security acl 3000   应用访空列表

proposal trans3  安全提议

tunnel local 192.168.4.1

exit

ike pre-shared-key abcdef remote192.168.2.1

int s1/0

ip sec policy policy3  形成的策略放到外出端口上

 

R1的配置

 

interface Ethernet0/0

ip address 192.168.1.2 255.255.255.0

interface serial1/1

ip address 192.168.2.1 255.255.255.0

将端口加入区域信任

Firewall zone trust

Add interface eth0/0

Add interface ser1/1

Ip route 0.0.0.0 0.0.0.0 192.168.2.2

创建访控列表

acl 3000

rule permit ip source 192.168.2.0 0.0.0.255 dest 192.168.3.0 0.0.0.0.255

rule deny ip source any dest any

quit

ipsec proposal tran2    配置ipsec协议

encap tunnel             配置报文封装类型

transform  esp          配置安全协议

esp encry des   加密方式

esp authen md5-  验证算法

exi ipsec policy policy1 20 manual

security acl 3000   应用访空列表

proposal trans2  安全提议

tunnel local 192.168.2.1

tunnel remote 192.168.3.1

sa out esp spi 54321      出去的

sa out esp string-key abcde  出去验证的钥匙串

sa in esp spi 12345       进去的

sa in esp string wang   进去的钥匙串

int s1/1

ipsec policy policy2

 

 

 

创建访控列表

acl 3000

rule permit ip source 192.168.2.0 0.0.0.255 dest 192.168.4.0 0.0.0.0.255 允许的

quit

ipsec proposal tran4    配置ipsec协议

encap tunnel             配置报文封装类型

transform  esp          配置安全协议

esp encry des   加密方式

esp authen md5-  验证算法

exi ipsec policy policy1 40 manual

security acl 3000   应用访空列表

proposal trans4  安全提议

tunnel local 192.168.2.1

exit

ike pre-shared-key abcdef remote192.168.4.1

int s1/1

ip sec policy policy4  形成的策略放到外出端口上

 

  结果测试

分支二与总公司

 

 

 

 

总公司与分支一 分支二

 

 

 

 

 

 

 

 

 

 

 

 

分支一与总公司