如何做：使用 ipsec 保护两个服务器之间通信

《如何做：使用 ipsec 保护两个服务器之间通信》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、构建安全的ASP.NET应用程序身份验证、授权和安全通信有关构建安全的ASP.NET应用程序的起点和完整概述，请参见登陆页面。总结IPSec是一种由Windows2000提供的技术，它允许您在两台服务器之间创建加密通道。IPSec可用于筛选IP通信并验证服务器身份。本“如何做”说明如何配置IPSec以提供安全（加密）通道。如何做：使用IPSec在两台服务器之间提供安全通信Internet协议安全性(IPSec)可以用来保护在两台计算机（例如一台应用程序服务器和一台数据库服务器）之间发送的数据。IPSec对于应用程序是完全透明的，这是因为加密、完整性和身份验证

2、服务都是在传输层实现的。应用程序继续使用TCP端口和UDP端口以普通方式彼此通信。使用IPSec，您可以：●通过加密两台计算机之间传送的所有数据来实现消息保密。●在两台计算机之间实现消息完整性（无需加密数据）。●在两台计算机之间提供相互身份验证。例如，可以建立只允许来自特定客户端计算机（如应用程序或Web服务器）的请求的策略，帮助保证数据库服务器的安全。●限制哪些计算机可以彼此通信。也可以限制只与特定的IP协议和TCP/UDP端口通信。本“如何做”说明如何保护应用程序服务器和运行SQLServer2000的数据库服务器之间的通信通道。应用程序服务器使用建议的

3、TCP/IP客户端网络库连接到SQLServer，并使用默认的SQLServerTCP端口1433。图1显示了此配置。{Insertfigure:HowTo-IPSec.gif}图1“如何做”解决方案配置本“如何做”说明如何使用一个简单的IPSec策略来实现以下方面：8●应用程序服务器到SQLServer的通信只能通过端口1433使用TCP完成。●丢弃所有其他IP数据包，包括ICMP(ping)。●加密在两台计算机之间发送的所有数据以保证保密性。此方法的优点是：●为在两台计算机之间发送的所有数据提供数据保密性。●SQLServer上的攻击点明显减少。剩下的唯

4、一攻击点是以交互方式登录到数据库服务器，或者获得应用程序服务器的控制权并尝试在端口1433上通过TCP攻击SQLServer。●IPSec策略的定义和实现特别简单。此策略有以下缺点：●SQLServer不能与域控制器通信，因此：●不能应用组策略（数据库服务器应该是独立服务器）。●应用程序服务器和数据库服务器之间的Windows身份验证要求两台计算机上的本地帐户同步（具有相同的用户名和密码）。●您不能使用更可靠的应用IPSec的方法（Windows2000默认值/Kerberos）。●SQLServer将不能与其他计算机通信，包括DNS服务器。●本“如何做”中

5、介绍的方法使用预共享密钥身份验证，对于生产方案不建议使用此方法。生产系统应该使用证书或Windows2000域身份验证。使用预共享机密的IPSec策略只适合在开发或测试环境中使用。●两台计算机都必须有静态IP地址。备注●IPSec策略由一套筛选器、筛选器操作和规则组成。●“筛选器”由以下内容组成：●源IP地址或地址范围。●目标IP地址或地址范围。●IP协议，如TCP、UDP或“任意”。●源和目标端口（仅限于TCP或UDP）。●筛选器还可以在两台计算机上镜像。镜像筛选器在客户端和服务器计算机上应用相同的规则（源地址和目标地址互换）。●“筛选器操作”指定调用特定

6、的筛选器时采取的操作。它可以是下面任何一种：●允许。通信不受保护；可以不受干预地进行发送和接收。●禁止。不允许通信。●协商安全性。终结点必须达成一致，然后使用安全方法进行通信。如果它们未就通信方法达成一致，则不会发生通信。如果协商失败，您可以指定是否允许不安全的通信或是否应该禁止所有的通信。●“规则”将筛选器与筛选器操作关联。●“镜像”策略是将规则应用于所有数据包的策略（指定源IP地址和目标IP地址正好互换）。本“如何做”中创建镜像策略。8要求以下各项介绍了推荐的硬件、软件、网络基础结构、技巧和知识以及您需要的服务包。●两台运行Microsoft®Windo

7、ws®2000Server操作系统的计算机您必须知道它们的IP地址●数据库服务器计算机上有Microsoft®SQLServer™2000总结本“如何做”包括如下过程：1.创建IP筛选器2.创建筛选器操作3.创建规则4.将IPSec策略导出到远程计算机5.分配策略6.验证它是否正常运行1.创建IP筛选器u在数据库服务器计算机上创建新的IP筛选器1.作为管理员登录到数据库服务器。2.从“管理工具”程序组启动“本地安全策略”Microsoft管理控制台(MMC)管理单元。3.在左窗格中，右击“本地计算机上的IP安全策略”，然后单击“管理IP筛选器表和筛选器操作”

8、。您将看到，已经为所有的ICMP通信和所有的IP通信