搜索
华为HCNAv2.0进阶（PDF247页笔记）1.IPsec可以用来保证Ip数据报文在网络传输的机密性、完整性、防重放等功能2.机密性---数据包加密完整性---防止报文被篡改防重放----防攻击3.IPSec不是一单独的协议，是通过AH和ESP两个安全协议实现IP数据报的安全传送。4.IKE协议提供密钥协商，建立和维护安全联盟SA等服务。5.IPSec由AHESPIKE三个协议套件组成6,SA安全联盟定义对等体间数据封装方式认证和加密算法SA是单向的两个对等体通信需要至少两个SA,SA由一个三元组来唯一的标识安全参数索引SPI目的IP安全协议（AH或ESP）构成7.安全协议包括AS和ESP，两者可以单独或是一起使用。（AH支持MD5和SHA-1认证算法），（ESP支持两种认证算法（MD5和SHA-1）还有其他三种加密算法DES3DES和AES)8.IPsecproposal创建ipsec提议配置ipsec策略时必须引用ipsec提议来指定ipsec隧道两端使用的安全协议加密算法认证算法和封装方式缺少情况下IPsecproposal使用ESP协议DES加密算法MD5认证和隧道封装模式9执行transform(ah)(ah-esp)(esp)配置隧道使用的安全协议执行esncapsulation-mode(transport)(tunnel)配置报文的封闭模式执行espauthetication-algorithm(MD5Sha1sha2-256sha2-384sha2-512)配置EPS协议使用的认证算法执行espencryption-algorithm(des3desaes-128aes-192aes-256)配置ESP加密算法执行ahauthentication-algorithm(md5sha1sha2-256sha2-384sha2-512)配置AH使用的认证算法Displayipsecproposal查看ipsecproposal配置的参数执行ipsecpolicy创建策略执行ipsec-policy-template指定SA建立方式可使用IKE或是手工建立执行securityACL指定IPSEC策略所引用的访问控制列表执行proposal指定IPSEC策略所引用的提议执行tunnellocal用来指定安全隧道的本端地址执行tunnelremote指定隧道的对端地址执行saspi指定安全索引参数执行sastring-key指定安全联盟的认证密钥安全策略是由policy-name和seq-number共同来确定的，多个具有相同policy-name的安全策略组成一个安全策略组。在一个安全策略组中最多可以设备16条安全策略，而seq-mumber越小的安全策略，优先级越高。在一个接口上应用了一个安全策略组，实际上是同时应用了安全策略组中所有的安全策略。PCA--------------RA---G0/0/1--------------IPNetwork-------------G0/0/1--RB---------------PCB10.1.1.1/2420.1.1.1/2420.1.1.2/2410.1.2.1/24Router#iproute-static10.1.2.0255.255.255.020.1.1.2Router#aclnumber3001Router#rule5permitipsource10.1.1.00.0.0.255destination10.1.2.00.0.0.255Router#ipsecproposaltran1//创建ipsec提议Router#espauthentication-algorithmsha1//配置EPS协议使用的认证算法Router#ipsecpolicyP110manual//创建策略Router#securityacl3001Router#proposaltran1Router#tunnelremote20.1.1.2Router#tunnellocal20.1.1.1Router#saspioutboundesp54321Router#saspiinboundesp12345Router#sastring-keyoutboundespsimplehuaweiRouter#sastring-keyinboundespsimplehuaweiRouter#interfaceg0/0/1Router#ipsecpolicyP1Router#quit企业数通产品特性描述-VPN06（PDFipsec部分135页笔记）VPN的类型：1、overlay的VPN，例如IPsec-VPN2、peer-to-peer的VPN，例如MPLS-VPN还可以分为二层VPN和三层VPNIPsec-VPN是三层的VPNIPsec-VPN的分类:1、site-to-siteVPN也叫LAN-to-LANVPN（要求两个站点都要有固定的IP）2、EASY-VPN也叫remoteVPN（通常用于连接没有固定IP的站点）数据来源认证：接收方认证发送方身份是否合法。数据加密：发送方对数据进行加密，以密文的形式在Internet上传送，接收方对接收的加密数据进行解密后处理或直接转发。数据完整性：接收方对接收的数据进行认证，以判定报文是否被篡改。抗重放：接收方会拒绝旧的或重复的数据包，防止恶意用户通过重复发送捕获到的数据包所进行的攻击。IPSec包括认证头协议AH（AuthenticationHeader）、封装安全载荷协议ESP（EncapsulatingSecurityPayload）、因特网密钥交换协议IKE（InternetKeyExchange），用于保护主机与主机之间、主机与网关之间、网关与网关之间的一个或多个数据流。其中，AH和ESP这两个安全协议用于提供安全服务，IKE协议用于密钥交换。IPSec通过在IPSec对等体间建立双向安全联盟，形成一个安全互通的IPSec隧道，来实现Internet上数据的安全传输。建立安全联盟SA（SecurityAssociation）。SA是出于安全目的而创建的，是通信的对等体间对某些要素的约定，所有经过同一SA的数据流会得到相同的安全服务，如AH或ESP。如果对同一个数据流同时使用AH和ESP服务，则针对每一种协议都会构建一个单独的SA。数据的封装模式有（隧道模式）和（传输模式）两种隧道模式适于转发设备对待保护流量进行处理的场景，建议用于两个安全网关之间的通讯。传输模式适于主机到主机、主机到网关对待保护流量进行封装处理的场景。IKE协议建立在Internet安全联盟和密钥管理协议ISAKMP（InternetSecurityAssociationandKeyManagementProtocol）定义的框架上，是基于UDP的应用层协议。它为IPSec提供了自动协商交换密钥、建立SA的服务，能够简化IPSec的使用和管理。IPSec对等体之间建立一个IKESA完成身份验证和密钥信息交换后，在IKESA的保护下，根据配置的AH/ESP安全协议等参数协商出一对IPSecSA。此后，对等体间的数据将在IPSec隧道中加密传输。IKE协议分IKEv1和IKEv2两个版本。IKEv1使用两个阶段为IPSec进行密钥协商并建立IPSecSA。IKEv2则简化了协商过程，在一次协商中可直接产生IPSec的密钥，生成IPSecSA。IKE具有一套自保护机制，可以在不安全的网络上安全地认证身份、分发密钥。身份认证：确认通信双方的身份（对等体的IP地址或名称），包括预共享密钥PSK（pre-sharedkey）认证、数字证书RSA（rsa-signature）认证和数字信封认证。IKE支持的认证算法有：MD5、SHA-1、AES-XCBC-MAC-96、SM3。MD5算法使用128位的密钥，SHA-1算法使用160位的密钥。MD5算法的计算速度比SHA-1算法快，而SHA-1算法的安全强度比MD5算法高。AES-XCBC-MAC-96使用128位的密钥。SM3密码杂凑算法是中国国家密码管理局规定的IPSec协议规范。IKE支持的加密算法有：DES、3DES、AES-128、AES-192和AES-256。其中高级加密标准AES的密钥长度分别有128、192和256位密钥。以上加密算法的安全性由低到高依次排列，其计算速度随安全性的提高而减慢。加密机制--密码学分为两类：对称加密算法---使用一把密匙来对信息提供安全的保护。只有一个密匙，即用来加密，也用来解密非对称加密代表RSA--有一对密匙，一个公匙，一个私匙，私匙加密，公匙解密,或者公匙加密，私匙解密对称加密代表：DES、3DES、AES3DES--有三个密匙，用第一个密匙加密，用第二个密匙解密，再用第三个密匙加密非对称加密---有一对密匙，一个叫公匙，一个叫私匙，如果用其中一个加密，必须用另一个解密。非对称加密的代表：RSA、ECC非对称加密代表RSA--有一对密匙，一个公匙，一个私匙，私匙加密，公匙解密,或者公匙加密，私匙解密非对称加密可以有两种应用：1、公钥加密，私钥解密，叫加密2、私钥加密，公钥解密，叫数字签名AR1上的配置：IP地址配置省略第一步：IP地址配置省略，指缺省路由[R1]iproute-static0.0.0.00.0.0.012.1.1.2第二步：配置IKE[R1]ikepeerdasheng1v2[R1-ike-peer-ikep1]pre-shared-keysimplecctv[R1-ike-peer-ikep1]remote-address23.1.1.3第三步：使用ACL抓感兴趣流量[R1]aclnumber3001[R1-acl-adv-3001]rule5permitipsource192.168.1.00.0.0.255destination172.168.1.00.0.0.255第四步：配置安全提议[R1]ipsecproposaldasheng1[R1-ipsec-proposal-tran1]quit第五步：配置安全策略[R1]ipsecpolicyfanfan110isakmp[R1-ipsec-policy-isakmp-vpn1-10]securityacl3001[R1-ipsec-policy-isakmp-vpn1-10]ike-peerdasheng1[R1-ipsec-policy-isakmp-vpn1-10]proposaldasheng1[R1-ipsec-policy-isakmp-vpn1-10]quit第六步：将策略应用到启用IPSECVPN的接口[R1]interfaceGigabitEthernet0/0/0[R1-GigabitEthernet0/0/0]ipsecpolicyfanfan1[R1-GigabitEthernet0/0/0]quitAR3上的配置（AR3与AR1四处配置不同的地方）[R3]iproute-static0.0.0.00.0.0.023.1.1.2[R3]aclnumber3001[R3-acl-adv-3001]rule5permitIPsource172.168.1.00.0.0.255destination192.168.1.00.0.0.255[R3]ikepeerdasheng1v2[R3-ike-peer-ikep1]pre-shared-keysimplecctv[R3-ike-peer-ikep1]remote-address12.1.1.1[R3]interfaceGigabitEthernet0/0/1[R3-GigabitEthernet0/0/0]ipsecpolicyfanfan1[R3-GigabitEthernet0/0/0]quit[AR1]disipsecsa===============================Interface:GigabitEthernet