IPSEC简析_ipsec详解 csdn

作者：weixin_40725706 | 2024-07-12 14:59:21

踩

ipsec详解 csdn

简介
- ipsec不是单一的协议，而是由一系列开放的标准构成。
- 工作在网络层
- ipsec可以实现访问控制、机密性、完整性校验、数据源验证、拒绝重播报文等安全功能
- 也具有配置复杂、消耗运算资源较多、增加延迟、不支持组播等问题
IPSEC体系结构
- ipsec概述
  - 安全协议
    - 定义加密和验证算法
      - AH（验证头）：提供数据完整性校验、数据源验证、可选的抗重播服务，但是不支持机密性保护
      - ESP（封装安全载荷）：提供ah所有功能，还能提供加密服务。ah和esp可以组合使用。
  - 工作模式
    - 工作的适用范围
      - 传输模式：用于保护端到端的安全性
      - 隧道模式：保护站点到站点的安全性
  - 秘钥管理
    - ipsec的安全性依赖相应的安全算法。加密算法和验证算法需要通信双方拥有相同的密码。秘钥的获取方式如下
      - 手工建立：管理员预配置静态密码，不便于随时修改安全性较低、不易于维护
      - IEK自动协商：ipsec通信双方通告ike动态生成并交换秘钥，安全性高
- 传输模式和隧道模式
  - 传输模式
    - 适用于端到端安全防护，通信双方直接运行ipsec协议、ah和esp保护上层传输层协议。加解密和协商操作均由端系统操作自行完成，中间网络设备仅执行路由转发。
  - 隧道模式
    - 适用于站点到站点安全防护，网关之间的运行ipsec协议。用户的整个ip数据包用来计算成ah或esp的头，且被加密，ah或esp头和加密用户数据被封装在一个新的ip数据包中
- ipsec sa（安全联盟）
  - ipsec对数据流提供的安全服务通过sa实现。
  - 实质是一个双方达成的一个协定。通信双方协商采用何种协议、算法、秘钥来实现通信安全而达成的协定。
  - sa是就是两个ipsec系统的单向逻辑连接。入站数据流和出站数据流由入站sa和出站sa分别处理
  - 一个sa组成三元组唯一标识（SPI，ip目的地址，安全协议标识符）
    - SPI：安全参数索引，每个ipsec报文都会携带该数值，唯一
    - IP地址即ipsec协议对方的ip地址
    - 安全协议标识符是ah或者esp
  - sa由手动和ike建立：手动建立sa是指两端手工设置一些参数，在两端参数匹配和协商通过后建立sa。自动协商方式由ike生成和维护，通信双方基于各自的安全策略库经过匹配和协商，最终建立sa
  - 安全策略库SPD：对哪些数据提供哪些服务。spd中的项指向SAD（安全联盟数据库）中相应的项。每一台设备上ipsec sa都对应sad有对应项，该项定义了所需的参数
  - 流程举例：一个需要加密的数据到达出站，系统会将它与SPD中策略比较，匹配其中一项，系统会使用对应的sa来加密数据。如果不存在一个相应的sa，系统就要建立一个sa。
- 传输模式的AH封装
  - 封装示意图
  - 传输模式中，ah保护的是上层协议tcp或者udp，有效载荷
  - 各字段填充完成后，ah头被插入原始ip头和原始载荷之间
- 隧道模式的AH封装
  - 封装示意图
  - 在隧道模式中，AH保护的整个IP包。
  - 整个ip数据包以AH的载荷方式加入新建的隧道数据包中。
  - 隧道源目地址作为外层加封新的ip头部的源目地址。
  - AH头插入新ip头和原始ip头部之间。
AH验证头
- 概述：为数据提供完整性校验和源验证功能，提供有限抗重播服务，但是不能提供加密服务
- AH报文格式
  - 报文格式&各字段说明
    - 紧贴在ah之前的ip头，协议号51标识AH头。也就是protocol
    - nest header：下一头部，表示ah头后面的载荷协议头类型
    - payload len：有效载荷长度，表示以32比特为单位的ah头部长度减2，缺省为4
    - reserved：保留位，保留将来使用，缺省为0
    - SPI：安全索引参数，spi与目的地址、ah或者esp，唯一标识一个sa
    - sequence number field ：序列号，便于对端重组数据包。唯一标识数据，防止重放攻击
    - authentication data：认证信息，包含整个数据包的完整性校验值icv，用于接收方进行完整性校验
  - 支持ah的算法：mad5、sha-1、sha-2、SM3
  - AH使用HMAC算法以ip头、AH头、载荷以及共享秘钥作为算法计算出一个校验值icv，填入报文的authentiication data字段
ESP封装安全载荷
- 简介：提供AH的功能，另外还具备加密功能
- 报文格式&各字段说明
  - ESP两部分组成：ESP头和ESP尾格式（esp尾格式包含：padding、pad length、 next header字段）
  - SPI：安全索引参数，唯一标识数据包的sa
  - sequence number：序列号，
  - payload data：负载数据，包含包括下一头部给出变长字段
  - padding：填充字段，用于增加esp包头位数
  - pad length：填充长度，给出前面的填充字段的长度
  - next header：下一头部，标识esp头后面的下一个负载类型
  - authentication data：认证数据，该字段包含数据完整性校验值ICV，用于接收方进行完整性校验
- 传输模式ESP封装
  - 封装示意图
  - 传输模式下，esp保护的上层协议tcp和udp。esp头插入在原始ip头和载荷之间，后缀esp尾，最后将icv填充在esp尾的authentication data字段，发送出去
  - 如果esp提供加密服务，原始载荷和esp尾以密文的形式出现
- 隧道模式ESP封装
  - 封装示意图
  - 隧道模式下，esp保护的整个ip数据包。整个原始ip包将会以esp载荷的方式加入新建的隧道包中，接着在外层封装一个新的ip头（源目地址是隧道的源目地址）
  - esp头部在新ip与原始ip头之间，并后缀esp尾，
  - 如果加密，载荷和esp为以密文形式出现
  - esp的校验esp头到esp尾，不对ip地址进行校验。与ah不同
IKE
- 简介
  - 介绍
    - 不管是ah和esp,任何一个被保护的报文都需要一个ipsec sa，以明确对报文进行何种处理
    - ike为ipsec 提供自动交换秘钥，建立sa的服务，简化ipsec的配置和管理
  - ike是一种秘钥交换框架体系。ike采用ISAKMP所定义的秘钥交换框架体系。
    - 由两部分组成：Oakley和SKEME组成
      - Oakley：定义了秘钥交换的顺序，提供多种秘钥交换模式
      - SKEME：定义了秘钥交换的方法
    - 采用DH算法进行秘钥交换。使用udp端口500
- ike与ipsec的关系
  - ike为ipsec提供自动协商交换秘钥、建立sa的服务
  - ipsec安全协议负责提供实际的安全服务
- ike协商的两个阶段
  - ike sa：用于保护一对协商的节点之间的通信的秘钥和策越的一个集合。描述了一对进行ike协商的节点如何进行通信，负责为双方进一步的ike通信提供机密性、消息完整性以及消息源验证服务。
  - 阶段1
    - ike使用DH算法建立共享秘钥，在网络上建立一个ike sa，为阶段2提供保护
    - 定义了主模式和野蛮模式
  - 阶段2
    - 在阶段1建立的Ike sa的保护下完成ipsec sa的协商
    - 快速模式
- ike主模式
  - 示意图
  - 主模式是ike强制是实现的阶段1的交换模式，可以提供完整性保护，分三个步骤，六条消息，完成六条消息交换后，可以建立ike sa
  - 第一步策略、算法协商
    - 双方交互前两条消息协商sa所使用的的策略（是ike sa的一部分，并用于后续创建ike sa）
    - 加密算法：DES、3DES、AES等对称加密算法保证机密性
    - 散列算法：md5、sha等散列算法
    - 验证算法：预共享秘钥、数据签名标准以及从RSA公共秘钥加密得到的签名和验证方法
    - 进行dh操作的组信息
  - 第二步是DH交换
    - ike对对等体双方用主模式的第三和第四条消息交换dh公共值和一些辅助参数
  - 第三步验证身份
    - ike对等体双方用主模式的最后两条消息交换id信息和验证数据，对dh交换进行验证
- ike野蛮模式
  - 示意图
  - 用于一端地址不固定的场景
  - 三条消息完成ike sa的建立
    - 前两条消息负责协商策略、交换dh公共值以及辅助数据和身份信息
    - 同时第二条消息还用于验证响应者
    - 第三条信息用于验证发起者
  - 具体如下
    - 第一个消息包含以下参数
      - 加密算法、散列算法、验证算法、进行dh操作的组信息、dh公共值、身份信息
      - 第二条信息由响应者回应，包含以上内容，还加一个验证载荷
      - 第三条发起者,回应一个验证载荷.

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/weixin_40725706/article/detail/814500