实验2IPSec—IP安全协议.doc

《实验2IPSec—IP安全协议.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、实验2IPSec—IP安全协议伴随着密码学的发展，数字签名技术也得以实现，利用数字签名技术可以保证信息传输过程中的数据完整性以及提供对信息发送者身份的认证和不可抵赖性。一、实验目的1.了解IPSec主要协议2.理解IPSec工作原理3.Windows环境下能够利用IPSec在两台主机间建立安全隧道二、实验环境Windows，交换网络结构，每组2人，密码工具，网络协议分析器三、实验原理IPSec工作原理IPSec包含4类组件：（1）IPSec进程本身：验证头协议(AH)或封装安全载荷协议(ESP)；（2）

2、Internet密钥交换协议(IKE，InternetKeyExchange)：进行安全参数协商；（3）SADB(SADatabase)：用于存储安全关联(SA，SecurityAssociation)等安全相关参数；（4）SPD(SecurityPolicyDatabase，安全策略数据库)：用于存储安全策略。IPSec的工作原理类似于包过滤防火墙。IPSec是通过查询安全策略数据库SPD来决定接收到的IP包的处理，但不同于包过滤防火墙的是，IPSec对IP数据包的处理方法除了丢弃、直接转发(绕过IP

3、Sec)外，还有进行IPSec的处理。进行IPSec处理意味着对IP数据包进行加密和认证，保证了在外部网络传输的数据包的机密性、真实性、完整性，使通过Internet进行安全的通信成为可能。在IETF的标准化下，IPSec的处理流程受到了规范。1．IPSec流出处理如图2-1，在流出处理过程中，传输层的数据包流进IP层，然后按如下步骤执行：图2-1IPSec流出处理流程（1）查找合适的安全策略。从IP包中提取出“选择符”来检索SPD，找到该IP包所对应的流出策略，之后用此策略决定对该IP包如何处理：绕过

4、安全服务以普通方式传输此包或应用安全服务。（2）查找合适的SA。根据策略提供的信息，在安全关联数据库中查找为该IP包所应该应用的安全关联SA。如果此SA尚未建立，则会调用IKE，将这个SA建立起来。此SA决定了使用何种基本协议(AH或ESP)，采用哪种模式(隧道模式或传输模式)，以及确定了加密算法，验证算法，密钥等处理参数。（3）根据SA进行具体处理。根据SA的内容，对IP包的处理将会有几种情况：使用隧道模式下的ESP或AH协议，或者使用传输模式下的ESP或AH协议。2．IPSec流入处理如图2-2，在

5、流入处理过程中，数据包的处理按如下步骤执行：图2-2IPSec流入处理流程（1）IP包类型判断：如果IP包中不包含IPSec头，将该包传递给下一层；如果IP包中包含IPSec头，会进入下面的处理。（2）查找合适的SA：从IPSec头中摘出SPI，从外部IP头中摘出目的地址和IPSec协议，然后利用在SAD中搜索SPI。如果SA搜索失败就丢弃该包。如果找到对应SA，则转入以下处理。（3）具体的IPSec处理：根据找到的SA对数据包执行验证或解密进行具体的IPSec处理。（4）策略

6、查询：根据选择符查询SPD，根据此策略检验IPSec处理的应用是否正确。最后，将IPSec头剥离下来，并将包传递到下一层，根据采用的模式的不同，下一层或者是传输层，或者是网络层。一、实验步骤本练习主机A、B为一组，C、D为一组，E、F为一组。下面以主机A、B为例，说明实验步骤。IPsec虚拟专用网络的设置1.进入IPsec配置界面（1）主机A、B通过“开始”｜“程序”｜“管理工具”｜“本地安全策略”打开IPSec相关配置界面，如图2-3所示。（2）在默认情况下IPsec的安全策略处于没有启动状态，必须进

7、行指定，IPsec才能发挥作用。IPsec包含以下3个默认策略，如图2-3所示。图2-3本地安全设置l安全服务器：对所有IP通讯总是使用Kerberos信任请求安全。不允许与不被信任的客户端的不安全通讯。这个策略用于必须采用安全通道进行通信的计算机。l客户端：正常通信，默认情况下不使用IPSec。如果通信对方请求IPSec安全通信，则可以建立IPSec虚拟专用隧道。只有与服务器的请求协议和端口通信是安全的。l服务器：默认情况下，对所有IP通信总是使用Kerberos信任请求安全。允许与不响应请求的客户端

8、的不安全通信。（3）以上策略可以在单台计算机上进行指派，也可以在组策略上批量指派，为了达到通过协商后双方可以通信的目的，通信双方都需要设置同样的策略并加以指派。2.定制IPSec安全策略（1）双击“安全服务器(需要安全)”项，进入“安全服务器属性”页，可以看到在“规则”页签中已经存在3个“IP安全规则”，单击“添加”按钮，进入向导添加新安全规则。（2）在本练习中，我们实现的是两台主机之间的IPSec安全隧道，而不是两个网络之间的安全通信，因