网络管理与安全技术.ppt

安全协议有： 1. 认证报头AH（Authentication Header),即认证协议。 2. 封装的安全负载ESP（Encapsulating Security
Payload),即加密与认证协议。 ESP又分为仅加密和加密与认证结合两种情况。
7
2020-8-12
x
6.1.2 IPSec体系结构
认证的 加密的
原IP报头 ESP报头 TCP 数据 ESP报尾 ESP认证数据
12
2020-8-12
xቤተ መጻሕፍቲ ባይዱ
2. AH和ESP的两种使用模式
2) 隧道模式
• 隧道模式用于对整个IP数据报的保护，即给原数 据报加一个新的报头（网关地址）。原数据报就 成为新数据报的负载。
• 原数据报在整个传送过程中就象在隧道中一样， 传送路径上的路由器都有无法看到原数据报的报 头。
时，就要求建立多个SA， 即采用SA组合方 式。
14
2020-8-12
x
SA的组合方式
隧道SA
一个或两个SA
安全网关
Router
安全网关
Router
InLteArNnet
Internet
InLteArNnet
实现IPSec
15
2020-8-12
x
SA的组合方式
•SA的基本组合有四种方式 •每个SA所承载的通信服务或为AH或为ESP •对主机到主机的SA，AH或ESP的使用模式可以 是传输模式也可以是隧道模式。
体系
封装安全负载ESP
验证头AH
加密算法
验证算法
解释域DOI 密钥管理
策略
8
2020-8-12
x
6.1.2 IPSec体系结构
体系：定义IPSec技术的机制；
ESP：用其进行包加密的报文格式和一般性问题；
AH：用其进行包认证的报文包格式和一般性问题
加密算法：描述将各种不同加密算法用于ESP的文 档；
SA是 IP认证和保密机制中最关键的概念。 一个关联就是发送与接收者之间的一个单向关
系。 如果需要一个对等关系，即双向安全交换，则
需要两个SA。 SA提供安全服务的方式是使用AH或ESP之一。 一个SA可由三个参数惟一地表示 <安全参数索引，目标IP地址，安全协议标识符>
10
2020-8-12
网络管理与安全技术
1
2020-8-12
x
第6章 网络安全技术
6.1安全通信协议 6.2加密技术 6.3认证机制 6.4 VPN技术 6.5 网络病毒防治技术
2
2020-8-12
x
第6章安全通信协议
6.1 网络层安全协议体系—IPSec IPSec—IP Security 6.1.1 IPSec的作用
认证算法：描述将各种不同加密算法用于AH以及 ESP认证选项的文档；
密钥管理：描述密钥管理模式
DOI ：其他相关文档，如加密和认证算法标识及运 行参数等。
IPSec体系结构中涉及的主要概念有：
安全关联、模式、AH、ESP
9
2020-8-12
x
1.安全关联（Security Associations）
全的业务流，而在LAN内则可以不必进行安全性处 理。 IPSec用于防火墙可防止用IP的业务流绕过防火墙。 IPSec位于网络层，对于应用程序来说是透明的。无 需修改用户或服务器所使用的软件。
5
2020-8-12
x
6.1 网络层安全协议体系—IPSec
IP层的安全问题涉及了认证、保密和密钥管理三个 领域。其安全性应达到：
11
2020-8-12
x
2. AH和ESP的两种使用模式
1) 传输模式 传输模式主要用于对上层协议的保护，如
TCP、UDP和ICMP数据段的保护。 以传输模式运行的ESP协议对IP报头之后的数
据（负载）进行加密和认证，但不对IP报头进 行加密和认证。 以传输模式运行的AH协议对负载及报头中选 择的一部分进行认证。
x
IPSec应用示例 用户系统---IPSec---WAN----IPSec---网络设备----IP--LAN
IP IPSec 安全IP 报头 报头 负载
具有IPSec的用户系统
具有IPSec的网络设备
4
2020-8-12
x
6.1 网络层安全协议体系—IPSec
IPSec具有以下意义： IPSec用于防火墙和路由器等网络设备中，以提供安
• 由于封装了原数据报，新数据报的源地址和目标 地址都与原数据报不同，从而增加了安全性。
认证的 加密的
新IP报头 ESP报头
13
原IP报头 数据
2020-8-12
ESP报尾
ESP认证数据
x
6 .1.3 IPSec服务与应用
1. SA的组合方式 一个SA能够实现AH协议或ESP协议，但却
不能同时实现这两种协议。 当要求在主机间和网关间都实现IPSec业务
x
1.安全关联（Security Associations）
IPSec的实现还需要维护两个数据库： • 安全关联数据库SAD • 安全策略数据库SPD 通信双方如果要用IPSec建立一条安全的传输通路 ，需要事先协商好将要采用的安全策略，包括使 用的算法、密钥及密钥的生存期等。SA就是能在 其协商的基础上为数据传输提供某种IPSec安全保 障的一个简单连接。（可以是AH或ESP） SA的组合方式有：传输模式和隧道模式
期望安全的用户能够使用基于密码学的安全机制； 应能同时适用于IPv4和IPv6; 算法独立； 有利于实现不同安全策略； 对没有采用该机制的用户不会有负面影响。
6
2020-8-12
x
6.1.2 IPSec体系结构
IPSec在IP层提供安全业务的方式是让系统选择 所要求的安全协议、算法和密钥。
IPSec通过在IP层对所有业务流加密和认证，保证 了所有分布式应用程序的安全性。 企业可在公网上建立自己的虚拟专用网。 配有IPSec系统的用户，通过ISP获取安全访问。 IPSec既可用于建立内部网安全连接也可用于外 部网的安全连接。 IPSec可增加已有的安全协议的安全性。
3
2020-8-12
•如果SA的两个端点中至少有一个安全网关，则 AH或ESP的使用模式必须是隧道模式。
16
2020-8-12
x
6 .1.4 传输层安全协议SSL
6.1.4 SSL协议概述 安全套接层协议SSL是在Internet上提供一种保
证私密性的安全协议。 C/S通信中，可始终对服务器和客户进行认证。 SSL协议要求建立在可靠的TCP之上，高层的应