基于windows2003的ipsec实验

《基于windows2003的ipsec实验》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、基于Windows2003的IPSec实验1、IPSec简介：IPSec实际上是一套协议包而不是单个的协议，IPSec是在IP网络上保证安全通信的开放标准框架，它在IP层提供数据源验证、数据完整性和数据保密性。其中比较重要的有RFC2409IKE（InternetKeyExchange）互连网密钥交换、RFC2401IPSec协议、RFC2402AH（AuthenticationHeader）验证包头、RFC2406ESP（EncapsulatingSecurityPayload）加密数据等协议。

2、IPSec独立于密码学算法，这使得不同的用户群可以选择不同一套安全算法。IPSec主要由AH（认证头）协议，ESP（封装安全载荷）协议以及负责密钥管理的IKE（因特网密钥交换）协议组成。AH为IP数据包提供无连接的数据完整性和数据源身份认证。数据完整性通过消息认证码（如MD5、SHAD产生的校验值來保证，数据源身份认证通过在待认证的数据中加入一个共享密钥来实现。ESP为IP数据包提供数据的保密性（通过加密机制）、无连接的数据完整性、数据源身份认证以及防•重防攻击保护。AH和ESP可以单独使用，也可

3、以配合使用，通过组合可以配置多种灵活的安全机制。密傍管理包括IKE协议和安全联盟SA（SecurityAssociation）等部分。IKE在通信双方之间建立安全联盟，提供密钥确定、密钥管理机制，是一个产生和交换密钥材料并协商IPSec参数的框架。1KE将密钥协商的结果保留在SA中，供AH和ESP通信时使用。2、实验环境：本例主要介绍的是基于IPSec的VPN中网关到网关的模拟环境配置步骤。其中地址均为假设的。图示如下图1,所需环境为：两台安装Windows2003Server的PC机，分别安装两

4、块网卡，我们称其为A机和B机，A机所在私有地址段为192.168.5.0/255.255.255.0,互联网端网卡IP地址为202.1.1.1/255.255.255.0,B机所在私有地址段为192.168.6.0/255.255.255.0,互联网端网卡IP地址为202.1丄2/255.255.255.0,用一交叉网线直连A、B两机模拟互联网，另外一台内网PC机地址192.168.6.2/255.255.255.0,称为C机。目的是通过VPN将两段内部网络互联。E机1^址・192.188.8.1

5、flj~，E'thjeme'ti】~厂［192.les.0.2C枷图配置IPSec的模拟网络环境图IPSec网关A机和B机需要配置的主要内容为:创建IPSec策略;定义IPSec筛选器列表（印血list）;配置IPSec筛选器操作（FilterAction）;配置身份验证方法。具体步骤如下：3、创建IPSec策略:“）在A机上运行IPSec策略管理控制台。（方法：“开始叱“程序肚“管理工具v本地安全策略”）右击“IP安全策略，在木地机器”，选择“创建IP安全策略”，出现IP安全策略向导。b）单击“

6、下一步”c）命名所建的安全策略，比如“A和B的安全通信匕单击“下一步”d）清除“激活默认响应规则”复选框，单击“下一步”e）选中“编辑属性”复选框，单击“完成”，至此已创建名为“A和B的安全通信”的IP安全策略,以下步骤为设置其属性。4：定义IPSec筛选器列表：a）在“A和B的安全通信"属性框中，清“使用添加向导”复选框，单击“添加"按钮，添加IPIPSec筛选器b）命名筛选器，比如为“A到B的筛选器”，清除“使用添加向导”复选框，单击“添加"按钮，出现筛选器属性对话框c）“源地址”选择,，一个

7、特定的子网”，“目标地址”也选择“一个特定的子网”，分别填上IP地址，清除“镜像”复选框，在“协议”标签中“选择协议类型”为“任意”，如下图2所示，单击“确定”，再单击咲闭”，至此已添加好名为“A到B的筛选器''的筛选器。图2：“A到B的筛选器”具体配置信息4、定义IPSec筛选器操作a）在“编辑规则属性''对话框屮，单击“IP筛选器列表”标签，选屮新建的“A到B的筛选器”，再单击“IP筛选器操作”标签，单击“添加”按钮，在“筛选器操作属性”对话框中，选择“常规”标签，命名该操作，比如“A和B筛选

8、器操作”，选择“安全措施”标签，单击“添加”按钮b）选择“自定义”单选框，单击“设置”按钮c）在此对话框中，设置AH完整性算法和ESP完整性算法和加密算法，比如AH选MD5,ESP选SHA1和3DES,单击“确定匕再单击“确定"，出现如下对话框（图3）,单击“确定"，至此已添加好名为“A到B的筛选器操作”的筛选器操作。图3筛选器操作屈性对话框5：配置身份验证方法：身份验证方法定义在筛选器适用的通讯屮需如何验证标识。双方都必须至少有一个通用身份验证方法，否则通讯将失败。Windows