IPSEC-IKE-模式

华为HCNAv2.0进阶 （PDF 247页笔记） 1.IPsec可以用来保证Ip数据报文在网络传输的机密性、完整性、防重放等功能2.机密性-数据包加密 完整性-防止报文被篡改 防重放-防攻击3.IPSec不是一单独的协议，是通过AH和ESP两个安全协议实现IP数据报的安全传送。4.IKE协议提供密钥协商，建立和维护安全联盟SA等服务。5.IPSec由AH ESP IKE 三个协议套件组成6,SA安全联盟定义对等体间数据封装方式 认证和加密算法 SA是单向的两个对等体通信需要至少两个SA, SA由一个三元组来唯一的标识 安全参数索引SPI 目的IP 安全协议（AH或ESP）构成7. 安全协议包括AS和ESP，两者可以单独或是一起使用。（AH支持MD5和SHA-1认证算法），（ESP支持两种认证算法（MD5和SHA-1）还有其他三种加密算法DES 3DES 和AES)8. IPsec proposal创建ipsec提议 配置ipsec策略时必须引用ipsec提议来指定ipsec隧道两端使用的安全协议 加密算法 认证算法和封装方式 缺少情况下IPsec proposal使用ESP协议 DES加密算法 MD5认证和隧道封装模式9 执行transform ( ah ) (ah-esp ) (esp) 配置隧道使用的安全协议 执行esncapsulation-mode (transport ) (tunnel)配置报文的封闭模式 执行esp authetication-algorithm ( MD5 Sha1 sha2-256 sha2-384 sha2-512 )配置EPS协议使用的认证算法 执行esp encryption-algorithm (des 3des aes-128 aes-192 aes-256 ) 配置ESP加密算法 执行 ah authentication-algorithm (md5 sha1 sha2-256 sha2-384 sha2-512)配置AH使用的认证算法 Display ipsec proposal 查看ipsec proposal配置的参数 执行ipsec policy创建策略 执行ipsec-policy-template指定SA建立方式 可使用IKE或是手工建立 执行security ACL 指定IPSEC策略所引用的访问控制列表 执行proposal 指定IPSEC策略所引用的提议 执行tunnel local 用来指定安全隧道的本端地址 执行tunnel remote指定隧道的对端地址 执行sa spi 指定安全索引参数 执行 sa string-key 指定安全联盟的认证密钥 安全策略是由policy-name和seq-number共同来确定的，多个具有相同policy-name的安全策略组成一个安全策略组。在一个安全策略组中最多可以设备16条安全策略，而seq-mumber越小的安全策略，优先级越高。在一个接口上应用了一个安全策略组，实际上是同时应用了安全策略组中所有的安全策略。PCA-RA-G0/0/1-IP Network-G0/0/1-RB-PCB10.1.1.1/24 20.1.1.1/24 20.1.1.2/24 10.1.2.1/24Router#ip route-static 10.1.2.0 255.255.255.0 20.1.1.2Router#acl number 3001Router#rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255Router#ipsec proposal tran1 / 创建ipsec提议Router#esp authentication-algorithm sha1 /配置EPS协议使用的认证算法Router#ipsec policy P1 10 manual /创建策略Router#security acl 3001 Router#proposal tran 1Router#tunnel remote 20.1.1.2Router#tunnel local 20.1.1.1Router#sa spi outbound esp 54321 Router#sa spi inbound esp 12345Router#sa string-key outbound esp simple huaweiRouter#sa string-key inbound esp simple huawei Router#interface g0/0/1Router#ipsec policy P1Router#quit 企业数通产品 特性描述-VPN 06（PDF ipsec部分135页 笔记 ）VPN的类型：1、overlay的VPN，例如IPsec-VPN2、peer-to-peer的VPN，例如MPLS-VPN还可以分为二层VPN和三层VPNIPsec-VPN是三层的VPNIPsec-VPN的分类:1、site-to-site VPN 也叫 LAN-to-LAN VPN （要求两个站点都要有固定的IP）2、EASY-VPN 也叫 remote VPN （通常用于连接没有固定IP的站点）数据来源认证：接收方认证发送方身份是否合法。 数据加密：发送方对数据进行加密，以密文的形式在Internet上传送，接收方对接收的加密数据进行解密后处理或直接转发。数据完整性：接收方对接收的数据进行认证，以判定报文是否被篡改。抗重放：接收方会拒绝旧的或重复的数据包，防止恶意用户通过重复发送捕获到的数据包所进行的攻击。IPSec包括认证头协议AH（Authentication Header）、封装安全载荷协议ESP（Encapsulating Security Payload）、因特网密钥交换协议IKE（Internet Key Exchange），用于保护主机与主机之间、主机与网关之间、网关与网关之间的一个或多个数据流。其中，AH和ESP这两个 安全协议用于提供安全服务，IKE协议用于密钥交换。IPSec通过在IPSec 对等体间建立双向 安全联盟，形成一个安全互通的IPSec 隧道，来实现Internet上数据的安全传输。建立安全联盟SA（Security Association）。SA是出于安全目的而创建的，是通信的对等体间对某些要素的约定，所有经过同一SA的数据流会得到相同的安全服务，如AH或ESP。如果对同一个数据流同时使用AH和ESP服务，则针对每一种协议都会构建一个单独的SA。数据的封装模式有（隧道模式）和（传输模式）两种 隧道模式适于转发设备对待保护流量进行处理的场景，建议用于两个安全网关之间的通讯。传输模式适于主机到主机、主机到网关对待保护流量进行封装处理的场景。IKE协议建立在Internet安全联盟和密钥管理协议ISAKMP（Internet Security Associationand Key Management Protocol）定义的框架上，是基于UDP的应用层协议。它为IPSec提供了自动协商交换密钥、建立SA的服务，能够简化IPSec的使用和管理。IPSec对等体之间建立一个IKE SA完成身份验证和密钥信息交换后，在IKE SA的保护下，根据配置的AH/ESP安全协议等参数协商出一对IPSec SA。此后，对等体间的数据将在IPSec隧道中加密传输。IKE协议分IKEv1和IKEv2两个版本。IKEv1使用两个阶段为IPSec进行密钥协商并建立IPSec SA。IKEv2则简化了协商过程，在一次协商中可直接产生IPSec的密钥，生成IPSec SA。IKE具有一套自保护机制，可以在不安全的网络上安全地认证身份、分发密钥。身份认证：确认通信双方的身份（对等体的IP地址或名称），包括预共享密钥PSK（pre-shared key）认证、数字证书RSA（rsa-signature）认证和数字信封认证。IKE支持的认证算法有：MD5、SHA-1、AES-XCBC-MAC-96、SM3。MD5算法使用128位的密钥，SHA-1算法使用160位的密钥。MD5算法的计算速度比SHA-1算法快，而SHA-1算法的安全强度比MD5算法高。AES-XCBC-MAC-96使用128位的密钥。SM3密码杂凑算法是中国国家密码管理局规定的IPSec协议规范。IKE支持的加密算法有：DES、3DES、AES-128、AES-192和AES-256。其中高级加密标准AES的密钥长度分别有128、192和256位密钥。以上加密算法的安全性由低到高依次排列，其计算速度随安全性的提高而减慢。加密机制-密码学分为两类：对称加密算法-使用一把密匙来对信息提供安全的保护。只有一个密匙，即用来加密，也用来解密 非对称加密代表RSA-有一对密匙，一个公匙，一个私匙，私匙加密，公匙解密,或者公匙加密，私匙解密对称加密代表：DES、3DES、AES3DES-有三个密匙，用第一个密匙加密，用第二个密匙解密，再用第三个密匙加密非对称加密-有一对密匙，一个叫公匙，一个叫私匙，如果用其中一个加密，必须用另一个解密。非对称加密的代表：RSA、ECC非对称加密代表RSA-有一对密匙，一个公匙，一个私匙，私匙加密，公匙解密,或者公匙加密，私匙解密非对称加密可以有两种应用：1、公钥加密，私钥解密，叫加密2、私钥加密，公钥解密，叫数字签名AR1上的配置：IP地址配置省略第一步：IP地址配置省略，指缺省路由R1ip route-static 0.0.0.0 0.0.0.0 12.1.1.2第二步：配置IKER1ike peer dasheng1 v2R1-ike-peer-ikep1pre-shared-key simple cctvR1-ike-peer-ikep1remote-address 23.1.1.3 第三步：使用ACL抓感兴趣流量 R1acl number 3001 R1-acl-adv-3001rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 172.168.1.0 0.0.0.255 第四步：配置安全提议R1ipsec proposal dasheng1R1-ipsec-proposal-tran1quit 第五步：配置安全策略R1ipsec policy fanfan1 10 isakmp R1-ipsec-policy-isakmp-vpn1-10security acl 3001R1-ipsec-policy-isakmp-vpn1-10ike-peer dasheng1R1-ipsec-policy-isakmp-vpn1-10proposal dasheng1R1-ipsec-policy-isakmp-vpn1-10quit第六步：将策略应用到启用IPSEC VPN的接口R1interface GigabitEthernet 0/0/0R1-GigabitEthernet0/0/0ipsec policy fanfan1 R1-GigabitEthernet0/0/0quit AR3上的配置（AR3与AR1 四处配置不同的地方）R3ip route-static 0.0.0.0 0.0.0.0 23.1.1.2R3acl number 3001 R3-acl-adv-3001rule 5 permit IP source 172.168.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255R3ike peer dasheng1 v2R3-ike-peer-ikep1pre-shared-key simple cctvR3-ike-peer-ikep1remote-address 12.1.1.1R3interface GigabitEthernet 0/0/1R3-GigabitEthernet0/0/0ipsec policy fanfan1 R3-GigabitEthernet0/0/0quitAR1dis ipsec sa=Interface: GigabitEthernet0/0/0 Path MTU: 1500= - IPSec policy name: fanfan1 Sequence number : 10 Acl Group : 3001 Acl rule : 5 Mode : ISAKMP - Connection ID : 9 Encapsulation mode: Tunnel Tunnel local : 12.1.1.1 Tunnel remote : 23.1.1.3 Flow source : 192.168.1.0/255.255.255.0 0/0 Flow destination : 172.168.1.0/255.255.255.0 0/0 Qos pre-classify : Disable Outbound ESP SAs SPI: 559575 (0x889d7) Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5 SA remaining key duration (bytes/sec): 1887436800/3122 Max sent sequence-number: 0 UDP encapsulation used for NAT traversal: N Inbound ESP SAs SPI: 2124138469 (0x7e9bc7e5) Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5 SA remaining key duration (bytes/sec): 1887436800/3122 Max received sequence-number: 0 Anti-replay window size: 32 UDP encapsulation used for NAT traversal: N