网络安全讲义第10章

信息技术系
2）ESP的工作模式 使用IPSec ESP服务的两种模式，如P263 图10.9 10.10 • 在客户机和服务器间之间提供加密服务，通过传输模式SA实 现 • 在主机和安全网关之间提供加密服务，通过隧道模式SA实现 ESP的两种工作模式，传输模式和隧道模式 • 传输模式：用于对IP携带的数据进行加密和可选的鉴别。
信息技术系
2 SSL VPN的功能 1）用户和服务器的合法性认证。通信双方的身份是可以通 过公钥加密算法如RSA、 DSS等签名来验证，杜绝假冒 2）加密数据以隐藏被传送的数据。在初始化握手协议协商 加密密钥之后传输的消息均为加密的消息。加密的算法如 DES、 RC4、IDEA等。 3）保护数据的完整性。HASH函数例如SHA、 MD5等被 用来产生消息认证码（消息摘要）MAC。所传输的消息均 包含数字签名，以保证消息的完整性。这保证连接是可靠 的。
第二层协议常见到的有：PPTP（点对点隧道协议）、L2F （第二层转发协议）、L2TP（第二层隧道协议）等
信息技术系
第三层隧道协议：用于传输三层网络协议的隧道协议叫 三层隧道协议。在网络层进行，把各种网络协议直接装 入隧道协议中，形成的数据包依靠第三层协议进行传输。 有Ipsec（IP安全）、GRE（通用路由封装）
SSL协议要求建立在可靠的传输层协议TCP之上。SSL协议的 优势在于它是与应用层协议独立无关的。高层的应用层协议 (例如：HTTP，FTP，TELNET...)能透明的建立于SSL协议 之上。SSL协议在应用层协议通信之前就已经完成加密算法、 通信密钥的协商以及服务器认证工作。在此之后应用层协议 所传送的数据都会被加密，从而保证通信的私密性。
3 可扩充性和灵活性 VPN必须能够支持通过Intranet和Extranet的任何类型 的数据流，方便增加新的节点，支持多种类型的传输媒 介，可以满足同时传输语音、图像和数据等新应用对高 质量传输以及带宽增加的需求。
信息技术系
4 可管理性 从用户和运营商角度应可以方便地进行管理、维护。包括 安全管理、设备管理、配置管理、访问控制列表管理、 QoS管理等 5 降低成本 使用Internet进行传输相对于租用专线，费用低廉。
信息技术系
隧道技术包括数据封装、传输和解包三个过程。 数据封装：是构建隧道的基本手段，它使得IP隧道实现 了信息隐藏和抽象。封装器建立封装报头，追加到纯数据 包的前面，当封装的数据包到达解包器时，封装报头被转 换成纯报头，数据包被传送到目的地。 隧道封装的特点： 1）源实体和目的实体不知道隧道的存在 2）在隧道的两个端点使用封装、解封过程，需要封装器和 解包器两个新的实体 3）封装器和解包器要相互知晓，但无须知道网络上的细节
5）密钥管理包括IKE协议和安全联盟SA等。
SA：安全联盟（安全关联），是指安全服务与它服务的 载体之间的一个“连接”，AH和ESP都需要使用SA（一 个或两个，一个用于认证，两个用于认证和加密）， IKE的主要功能就是SA的建立与维护。
信息技术系
AH和ESP的两种工作模式：传输模式和隧道模式
传输模式：主要对上层协议提供保护，用于两个主机之间端 到端的通信；只对IP数据包的有效负载进行加密或认证，如 只对TCP/UDP头和数据内容进行加密和封装，继续用原IP 头，只做部分改动。
• 下一个头：8位，识 别在AH头后下一个载 荷的类型
下一个头 载荷长度 保留 安全参数索引SPI
序列号SN 认证数据AD（变长）
• 载荷长度：8位，表 示AH长度
• SPI：32位的任意值， 唯一标识该IP数据包 认证服务的安全联盟 SA
• 序列号：32位单向递增的计数器，用于抗击重放攻击
• 认证数据：包含消息发送方为接收方生成的认证数据（ICV）， 用于接收方验证数据的完整性
信息技术系
2 封装载荷（ESP）协议
ESP为IP数据包提供数据的保密性、无连接的数据完 整性、数据源身份认证、防重放攻击。保密性是其首要 功能。
ESP与具体的加密算法是独立的，几乎可以支持各种对 称密钥加密算法，如DES、3DES、RC5等。
1）ESP协议头格式 安全参数索引SPI 序列号SN
载荷数据PD（变长）
是IPSec规定的一种用来自动管理SA的协议，包括建立、协 商、修改和删除SA等。
信息技术系
10.3.6 SSL VPN
1 SSL的概念
SSL是Secure Sockets Layer，即“安全套接层协议层”。 该协议最初由Netscape企业发展。是PKI体系中的网络安全 协议的标准。是一种在Web服务协议（HTTP）和TCP/IP之 间提供数据连接安全性的协议。它为TCP/IP连接提供数据加 密、用户和服务器身份验证及消息完整性验证。
填充字段 填充长度 下一个头
认证数据AD（变长）
信息技术系
• SPI：32位，唯一标识处理数据包的SA； • 序列号：32位，区分使用同一组加密策略的不 同数据包，抗重放攻击； • 载荷数据：记录下一个报头字段描述的数据，加 密初始向量等； • 填充字段：用来保证加密数据部分满足块加密的 长度要求；0~255B • 填充长度 • 下一个头：8位，表示载荷中的数据类型； • 认证数据
信息技术系
10.3 VPN的原理与协议
10.3.1 实现VPN的隧道技术
隧道技术：利用一种网络协议传输另一种网络协议，即将 原始信息进行再次封装，并在两个端点之间通过公共互联 网进行路由，从而保证网络信息传输的安全性。
利用隧道协议实现，包括第二层隧道协议和第三层隧道协 议；
第二层隧道协议：用于传输二层网络协议的隧道协议叫二 层隧道协议，在数据链路层进行。首先把各种网络协议封 装到PPP包中，再把整个数据包装入隧道协议中。把经过双 层封装形成的数据包依靠第二层协议进行传输。
信息技术系
3 SSL VPN的工作机制
SSL包括两个阶段，握手和数据传输。 SSL握手协议：
该协议用来实现服务器和客户机相互验证，协商加密和 MAC算法以及保密密钥，用来保护在SSL记录中发送的数 据。握手协议是在任何应用程序数据传输之前使用的。 SSL客户端在TCP链接建立之后，发出一个Hello消息给 服务器发起握手，消息里包含了自己可以实现的算法列 表和其他需要的信息。SSL服务器回应一个Hello消息， 确定了此次通信所需的算法，发送自己的证书。客户端 收到后生成一个消息，用服务器的公钥加密后传送，服 务器用私钥解密，会话密钥协商成功。
信息技术系
2）AH的工作模式 设原始IP包为： 原IP报头 TCP 数据
• 传输模式：使用原来的IP报头，将AH插入在IP报头的后面
原IP报头 AH
TCP 数据
除了可变字段外都被认证
• 隧道模式：把需要保护的IP包封装在新的IP包中，然后 把AH插在新的IP报头后面
新IP报头 AH 原IP报头 TCP 数据 除了新IP报头中的可变字段以外，都被认证
信息技术系
10.1 VPN的基本概念
VPN（Virtual Private Network）：虚拟专用网。是 在公用网络上构建私人专用网络。VPN技术实现了内部 网络信息在公众信息网中的传输，如同在广域网中为用 户拉出一条专线。 具体讲是：将物理上分布在不同地点的网络通过公用网 络连接成逻辑上的虚拟子网，并采用认证、访问控制、 机密性、数据完整性等在公用网络上构建专用网络的技 术，使得数据通过安全的“加密管道”在公用网络中传 播。
信息技术系
10.2 VPN的系统特征
1 安全保障 所有VPN都要保证通过公用网络平台传输数据的专用性 和安全性。利用隧道加密实现。（Extranet VPN） 2 服务质量保障（QoS） VPN应为企业数据提供不同等级的服务质量保障。针对 不同的用户和业务提供不同的服务质量保证；充分有效 地利用广域网资源，为重要的数据提供可靠的带宽（通 过流量预测和流量控制策略实现）。
验证算法
解释域DOI
密钥管理
信息技术系
注释：
1）AH为IP数据包提供无连接的数据完整性和数据源身 份认证、防重放攻击能力。
2）ESP为IP数据包提供数据的保密性、无连接的数据 的完整性、数据源身份认证、防重放攻击保护。
3）AH和ESP可以单独使用，也可以同时使用。
4）解释域DOI将所有的IPSec协议捆绑在一起，是 IPSec安全参数的主要数据库
信息技术系
IPsec 能提供的安全服务集包括访问控制、无连接的 完整性、数据源认证、抗重放保护、保密性等。因为这 些服务均在 IP 层提供，所以任何高层协议均能使用它 们，例如 TCP、UDP、ICMP等。
IPSec在通信开始前，要在两个VPN节点或网关之间协 商一个安全联盟（SA），SA确定两个通信设备间的安 全通信所需的参数，如是否加密、是否认证、加密协议、 认证协议等。
被鉴别 被加密 原IP报头 ESP报头 TCP 数据 ESP尾部 ESP鉴别信息技术系
• ESP的隧道模式：用于对整个IP包进行加密。在包的前 面加上ESP头，然后对包加上ESP的尾部进行加密
被鉴别 被加密
新IP报头ESP报头 原IP报头 TCP 数据 ESP尾部 ESP鉴别
3 IKE 在IPSec保护一个包之前，需要先建立一个SA。IKE就
IPSec的工作原理类似于包过滤防火墙，它通过查询安 全策略数据库，决定对接收到的IP数据包的处理。可 以是丢弃、转发、或进行IPSec处理（即加密或认证）
信息技术系
IPSec主要由AH（认证头）协议、ESP（封装安全载SP
AH
加密算法
第10章 VPN技术
10.1 VPN的基本概念 10.2 VPN的系统特征 10.3 VPN的原理与协议 10.4 VPN典型应用需求 10.5 企业构建VPN的解决方案与相关设备 教学目标：熟悉VPN概念、作用和系统特征、VPN隧道技 术和实现方法以及采用的协议、windows2000系统的 VPN协议