IPSec原理

最新推荐文章于 2024-03-06 19:17:53 发布
最新推荐文章于 2024-03-06 19:17:53 发布
阅读量1.2k 收藏 10
点赞数 1
分类专栏： # 路由交换 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/a13554371686/article/details/115869580
版权

IPSec框架

IPSec是一个框架，它不是具体指某个协议，而是定义了一个框架，由各种协议组和协商而成。该框架涉及到的主要有加密算法、验证算法、封装协议、封装模式、密钥有效期等等。

散列函数

主要算法包含MD5与SHA-1，主要任务是验证数据完整性。
主要使用HMAC(密钥化散列信息认证代码)方式
这项技术不仅能够实现完整性校验，还能完成源认证的任务，例如：ip ospf message-digest-key 1 md5 cisco 命令，配置预共享密钥cisco，这种加上与共享密钥一起进行散列计算的技术叫做HMAC。
特点：

  • 散列值长度固定
    MD5:128bit
    SHA1:160bit
  • 雪崩效应
  • 不可逆
  • 唯一性

加密算法

对称加密：DES,3DES,AES,RC4
非对称加密：RSA,DH(IPSEC 产生密钥资源的主要协议)，ECC

对称加密算法
特点

对称秘钥算法：用相同的秘钥进行加减密。

加解密过程

加密：明文数据 -----共享秘钥加密 --------密文数据
解密：密文数据 -----共享秘钥解密 --------明文数据

对称加密算法优点
  • 速度快
  • 安全
  • 紧凑
对称加密算法缺点
  • 明文传输共享秘钥，容易出现中途劫持和窃听的问题。
  • 秘钥数量是以参与者数量平方的速度增长。即指数增长 。
  • 因为数量过多，所以管理和存储会有很大问题。
  • 不支持数字签名和不可否认性。
  • 适用做大数据加密。
常见对称算法
  • DES，数据加密标准DES（Data Encryption Standard）它使用56位的密钥对一个64位的明文块进行加密。
  • 3DES，3DES（Triple Data Encryption Standard），3DES是一种增强型的DES标准，它在需要保护的数据上使用3次DES，即使用三个不同的56位的DES密钥（共168位密钥）对明文进行加密。
  • AES, 先进加密标准AES（Advanced Encryption Standard）
  • AES被设计用来替代3DES，提供更快和更安全的加密功能。AES可以采用三种密钥：AES-128、AES-192和AES-256，其密钥长度分为128位、192位、256位。
    随着密钥长度的提升，加密算法的保密及安全性要求越高，但计算速度也越慢。一般情况下128bit就可以充分满足安全需求。
非对称加密算法
特点

非对称秘钥算法，一对密钥，公钥和私钥。公钥加密，私钥解密。
用私钥加密，公钥解密叫做数字签名。
仅仅只用于密钥交换（加密密钥）和数字签名（加密散列）。

非对称加密算法的优点
  • 安全
  • 因为不必发送密钥给接受者，所以非对称密钥不必担心密钥被中途截获的问题。
  • 密钥数目和参与者数目一样。
  • 不需要事先在各参与者之间建立关系以交换密钥。
  • 技术支持数字签名和不可否认性。
非对称加密算法的缺点
  • 非常非常慢。
  • 密文会很长。
  • 适用于小数据加密。
常见非对称加密算法
  • RSA， 512/768/1024/2048bit ro lager。
  • DH，768,、102/1536bit or lager。只适用于虚拟专用网 。
IPSec解决方案
  • 通过非对称加密算法加密(对称加密算法)的密钥
  • 再用对称加密算法加密(实际要传输的数据)

封装协议

AH
  • AH是一种基于IP的传输层协议，协议号为51。
  • 只能支持认证 ，不支持数据加密 。
  • 对整个头部进行认证。
    其对IP头部进行认证，导致数据包不允许经过NAT

Ah报文

ESP(这个是比较常用的)
  • 是一种基于IP的传输层协议，协议号为50。
  • 其工作原理是在每一个数据包的标准IP报头后面添加一个ESP报文头，并在数据包后面追加一个ESP尾（ESP Tail和ESP Auth data）。
  • 与AH不同的是，ESP将数据中的有效载荷进行加密后再封装到数据包中，以保证数据的机密性，但ESP没有对IP头的内容进行保护。

ESP报文

AHESP验证ESP加密
ah-md5-hmac
ah-sha-hmac		esp-md5-hmac
esp-sha-hmac		esp-null
esp-des
esp-3des
esp-aes 128
esp-aes 192
esp-aes 256

封装模式

传输模式

传输模式在AH、ESP处理前后IP头部保持不变，主要用于End-to-End的应用场景。

  • 保留原始IP头部
  • 效率高
  • 无法直接在互联网上面传输 传输模式
隧道模式

实现站点到站点保护
隧道模式则在AH、ESP处理之后再封装了一个外网IP头，主要用于Site-to-Site的应用场景

  • 保护原始IP头部
  • 重写IP，可直接在互联网上传输
  • 效率较低
    隧道模式

密钥有效期

  • cisco设备默认每一个小时就要更新一次密钥
  • 加密的数据多，有效期就应该短
  • 加密的数据越少，它的有效期就可以长
    PFS是更新密钥的方式
  • 默认不启用
  • crypto map WORD 10 set pfs group2

IKE(互联网密钥交换协议)

特点

  • 对建立的IPSec的双方进行认证(需要预先协商认证方式)
  • 通过密钥交换，产生用于加密和HMAC的随机密钥
  • 协商协议参数（加密算法、验证算法、封装协议、封装模式、密钥有效期）
  • IKE协议是一个混合协议由三个部分组成：SKEME、Oakley、ISAKMP
    IKE协议

两个阶段

第一阶段

通信各方彼此间建立了一个已通过身份验证和安全保护的通道，用于传输第二阶段的对称密钥，此阶段的交换生成了一个ISAKMP SA（也可称为IKE SA）
这个时候有两种模式

主模式（Main Mode）

MSG1 :发起方提供加密和验证算法
MSG2 :响应方回应接受的提案
MSG3 :发起方的DH公共值和随机数
MSG4 :响应方的DH公共值和随机数
MSG5 :发起方的签名，个人信息和密钥
MSG6 :响应方的签名，个人信息和密钥

主动(野蛮)模式

1.包发起方建议SA，发起DH交换。
2.包接收方接受SA。
3.包发起方认证接受方。

IPSec主模式和野蛮模式的区别包含如下几点：

  1. 交换的消息：主模式为6个，野蛮模式为3个。
  2. NAT支持：对预共享密钥认证：主模式不支持NAT转换，而野蛮模式支持。而对于证书方式认证：两种模式都能支持。
  3. 对等体标识：主模式只能采用IP地址方式标识对等体；而野蛮模式可以采用IP地址方式或者Name方式标识对等体。这是由于主模式在交换完3、4消息以后，需要使用预共享密钥来计算SKEYID，当一个设备有多个对等体时，必须查找到该对等体对应的预共享密钥，但是由于其对等体的ID信息在消息5、6中才会发送，此时主模式的设备只能使用消息3、4中的IP报文源地址来找到与其对应的预共享密钥；如果主模式采用Name方式，Name信息却包含在消息5、6中，而设备必须在消息5、6之前找到其对等体的预共享密钥，所以就造成了矛盾，无法完成Name方式的标识。
    而在野蛮模式中，ID消息在消息1、2中就已经发送了，设备可以根据ID信息查找到对应的预共享密钥，从而计算SKEYID。但是由于野蛮模式交换的3个消息没有经过加密，所以ID信息也是明文的，也相应造成了安全隐患。
  4. 提议转换对数量：在野蛮模式中，由于第一个消息就需要交换DH消息，而DH消息本身就决定了采用哪个DH组，这样在提议转换对中就确定了使用哪个DH组，如果第一个消息中包含多个提议转换对，那么这多个转换对的DH组必须相同(和DH消息确定的DH组一致)，否则消息1中只能携带和确定DH组相同的提议转换对。
  5. 协商能力：由于野蛮模式交换次数的限制，因此野蛮模式协商能力低于主模式。
  6. 在主动模式中数据包是在明文中进行交换的，不提供身份保护

配置主模式

Router(config)#crypto isakmp policy 10 
Router(config-isakmp)#hash md5  //完整性校验算法为md5
Router(config-isakmp)#authentication pre-share  //配置认证模式
Router(config-isakmp)#group 5 //DH组为5
Router(config-isakmp)#exit
Router(config)#crypto isakmp key 6 cisco address 10.0.25.5  //设置密码和对端地址
第二阶段

双方协商IPSec安全参数，称为变换集transform set ，建立一个供数据传输的安全通道 。 此阶段的交换生成了IPsec SA

Router(config)#crypto ipsec transform-set Trans esp-des esp-md5-hmac //配置第二阶段策略，命名为Trans esp（加密头部） 加密方式为des 完整性校验为md5定义封装模式
Router(cfg-crypto-trans)#mode tunnel   //指定模式
抓取感兴趣流
Router(config)#ip access-list extended ipsecvpn
Router(config-ext-nacl)#permit ip 1.1.1.0 0.0.0.255 2.2.2.0 0.0.0.255   //定义一个扩展的ACL
Router(config-ext-nacl)#crypto map mapcisco 10 ipsec-isakmp/ /定义一个map（名称等本地有效）
Router(config-crypto-map)#set transform-set Trans   //关联第二阶段的策略
Router(config-crypto-map)#set peer 10.0.25.5 //指定对端地址
Router(config-crypto-map)#match address ipsecvpn  //关联ACL
Router(config-crypto-map)#exit
Router(config)#interface e0/0
Router(config-if)#crypto map mapcisco   //使用map

SA(安全关联)

协商完成后的结果就叫安全关联（SA）
SA一共有两种类型

  • IKE SA
    安全防护协议的细节
  • IPSec SA
    安全防护实际用户流量的细节

配置

从历史上来说存在两个版本的IKE分别是IKEv1和IKEv2，由于IKEv1已经没多少使用，这里下面的配置是IKEv2.

点对点配置

R1

Router(config)#crypto isakmp policy 10 
Router(config-isakmp)#hash md5  //完整性校验算法为md5
Router(config-isakmp)#authentication pre-share  //配置认证模式
Router(config-isakmp)#group 5 //DH组为5
Router(config-isakmp)#exit
Router(config)#crypto isakmp key 6 cisco address 10.0.25.5  //设置密码和对端地址
Router(config)#crypto ipsec transform-set Trans esp-des esp-md5-hmac //配置第二阶段策略，命名为Trans esp（加密头部） 加密方式为des 完整性校验为md5定义封装模式
Router(cfg-crypto-trans)#mode tunnel   //指定模式
抓取感兴趣流
Router(config)#ip access-list extended ipsecvpn
Router(config-ext-nacl)#permit ip 1.1.1.0 0.0.0.255 2.2.2.0 0.0.0.255   //定义一个扩展的ACL
Router(config-ext-nacl)#crypto map mapcisco 10 ipsec-isakmp/ /定义一个map（名称等本地有效）
Router(config-crypto-map)#set transform-set Trans   //关联第二阶段的策略
Router(config-crypto-map)#set peer 10.0.25.5 //指定对端地址
Router(config-crypto-map)#match address ipsecvpn  //关联ACL
Router(config-crypto-map)#exit
Router(config)#interface e0/0
Router(config-if)#crypto map mapcisco   //使用map

R2

Router(config)#crypto isakmp policy 10 
Router(config-isakmp)#hash md5  //完整性校验算法为md5
Router(config-isakmp)#authentication pre-share  //配置认证模式
Router(config-isakmp)#group 5 //DH组为5
Router(config-isakmp)#exit
Router(config)#crypto isakmp key 6 cisco address 10.1.21.1  //设置密码和对端地址
Router(config)#crypto ipsec transform-set Trans esp-des esp-md5-hmac //配置第二阶段策略，命名为Trans esp（加密头部） 加密方式为des 完整性校验为md5定义封装模式
Router(cfg-crypto-trans)#mode tunnel   //指定模式
抓取感兴趣流
Router(config)#ip access-list extended ipsecvpn
Router(config-ext-nacl)#permit ip 2.2.2.0 0.0.0.255 1.1.1.0 0.0.0.255   //定义一个扩展的ACL
Router(config-ext-nacl)#crypto map mapcisco 10 ipsec-isakmp/ /定义一个map（名称等本地有效）
Router(config-crypto-map)#set transform-set Trans   //关联第二阶段的策略
Router(config-crypto-map)#set peer 10.1.21.1 //指定对端地址
Router(config-crypto-map)#match address ipsecvpn  //关联ACL
Router(config-crypto-map)#exit
Router(config)#interface e0/0
Router(config-if)#crypto map mapcisco   //使用map

远程接入配置

R1

Router(config)#crypto isakmp policy 10 
Router(config-isakmp)#hash md5  //完整性校验算法为md5
Router(config-isakmp)#authentication pre-share  //配置认证模式
Router(config-isakmp)#group 5 //DH组为5
Router(config-isakmp)#exit
Router(config)#crypto isakmp key 6 cisco address 0.0.0.0  //这里什么对端是任意的地址
Router(config)#crypto ipsec transform-set Trans esp-des esp-md5-hmac
Router(cfg-crypto-trans)#mode tunnel   //指定模式
Router(config)#crypto dynamic-map DMAP 10  //配置成动态map
Router(config-crypto-map)#set transform-set Trans  //关联传输集
Router(config-ext-nacl)#crypto map MAP 10 ipsec-isakmp dynamic DMAP/ /因为创建动态map无法在接口下面调用，所以设置一个MAP映射DMAP 给接口调用
Router(config)#interface e0/0
Router(config-if)#crypto map MAP

远程接入

Router(config)#ip access-list extended ipsecvpn
Router(config-ext-nacl)#permit ip 2.2.2.0 0.0.0.255 1.1.1.0 0.0.0.255   //定义一个扩展的ACL
Router(config)#crypto isakmp policy 10 
Router(config-isakmp)#hash md5  //完整性校验算法为md5
Router(config-isakmp)#authentication pre-share  //配置认证模式
Router(config-isakmp)#group 5 //DH组为5
Router(config)#crypto isakmp key 6 cisco address 10.1.21.1
Router(config)#crypto ipsec transform-set Trans esp-des esp-md5-hmac 
Router(cfg-crypto-trans)#mode tunnel   
Router(config-ext-nacl)#crypto map mapcisco 10 ipsec-isakmp/ /定义一个map（名称等本地有效）
Router(config-crypto-map)#set transform-set Trans   //关联第二阶段的策略
Router(config-crypto-map)#set peer 10.1.21.1 //指定对端地址
Router(config-crypto-map)#match address ipsecvpn  //关联ACL
Router(config-crypto-map)#exit
Router(config)#interface e0/0
Router(config-if)#crypto map mapcisco   //使用map

测试

查看配置的协商信息

Router#show crypto isakmp key
Keyring      Hostname/Address                            Preshared Key
default      10.0.25.5                                   (encrypted)

查看协商的sa的IKE部分

Router#show crypto isakmp sa detail
Codes: C - IKE configuration mode, D - Dead Peer Detection
       K - Keepalives, N - NAT-traversal
       T - cTCP encapsulation, X - IKE Extended Authentication
       psk - Preshared key, rsig - RSA signature
       renc - RSA encryption
IPv4 Crypto ISAKMP SA

C-id  Local           Remote          I-VRF  Status Encr Hash   Auth DH Lifetime Cap.

1001  10.0.25.5       10.1.21.1              ACTIVE des  md5    psk  5  23:11:44
       Engine-id:Conn-id =  SW:1

IPv6 Crypto ISAKMP SA

查看协商的sa的IPSec部分

interface: Ethernet0/0
    Crypto map tag: mapcisco, local addr 10.0.25.5

   protected vrf: (none)
   local  ident (addr/mask/prot/port): (1.1.1.0/255.255.255.0/0/0)
   remote ident (addr/mask/prot/port): (2.2.2.0/255.255.255.0/0/0)
   current_peer 10.1.21.1 port 500
     PERMIT, flags={origin_is_acl,}
    #pkts encaps: 9, #pkts encrypt: 9, #pkts digest: 9
    #pkts decaps: 9, #pkts decrypt: 9, #pkts verify: 9
    #pkts compressed: 0, #pkts decompressed: 0
    #pkts not compressed: 0, #pkts compr. failed: 0
    #pkts not decompressed: 0, #pkts decompress failed: 0
    #send errors 0, #recv errors 0

     local crypto endpt.: 10.0.25.5, remote crypto endpt.: 10.1.21.1
     plaintext mtu 1446, path mtu 1500, ip mtu 1500, ip mtu idb Ethernet0/0
     current outbound spi: 0x6870E09B(1752227995)
     PFS (Y/N): N, DH group: none

     inbound esp sas:
      spi: 0x7E16D7F7(2115426295)

查看接口状态

Router#show crypto engine connections active
Crypto Engine Connections

   ID  Type    Algorithm           Encrypt  Decrypt LastSeqN IP-Address
    1  IPsec   DES+MD5                   0        9        9 10.0.25.5
    2  IPsec   DES+MD5                   9        0        0 10.0.25.5
 1001  IKE     MD5+DES                   0        0        0 10.0.25.5
凯歌响起
关注
  • 1
    点赞
  • 踩
  • 10
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
ipsec原理讲解
03-15
很翔实，讲的很不错，可以用来加深理解。。
IPSEC原理及组成
热门推荐
LDF-Dicky的博客
09-20 4万+
1.IPsec介绍 IPsecurity是一套完整的加密系统   IPsec-VPN提供三个特性： authentication  每一个IP包的认证 data integrity  验证数据完整性，保证在传输过程中没有被人为改动 confidentiality（私密性）数据包的加密   2.IPsec组成 IPsec协议集包括三个协议： ①internet keyexch
IPsec VPN协议框架
最新发布
Mario_Ti的博客
03-06 853
本文介绍IPsec VPN协议框架，主要从安全协议、封装模式、加密和验证算法、密钥交换方面介绍。
ipsec 原理
Jian Sun_的博客
01-10 858
IPSEC ×××之配置详解篇 【主要内容】 1. IPSEC ×××理解 2. 封装模式 3. IKE两个阶段 4. ipsec vpn配置 【IPSEC ×××理解】 IPSEC 是一套保护IP数据在不同的地点间传输时安全性的功能特性集。 ×××可以仅仅是两个端点间的一条隧道或链路。 IPSEC ×××就是有安全保护的×××。 IPSEC有四个功能特性：数据机密性，数据完整性，数据源认证，防重放。 IPSEC ×××是通过相应的协议封装来实现的。 IPSEC使用的协议： 1）IKE，Int...
IPsec 技术原理总结
挑灯看剑的专栏
11-09 1万+
技术点详解---IPSec VPN基本原 IPSec VPN是目前VPN技术中点击率非常高的一种技术，同时提供VPN和信息加密两项技术，这一期专栏就来介绍一下IPSec VPN的原理。 IPSec VPN应用场景 IPSec VPN的应用场景分为3种： 1.      Site-to-Site（站点到站点或者网关到网关）：如弯曲评论的3个机构分布在互联网的3个不同的地方
IPsec原理
Goallegoal的博客
04-08 732
IPsec 应用场景 既可以在路由器、防火墙上部署，也可以配置专业的 VPN 网关产品。企业员工出差时，只要安装了客户端，就可以通过拨号访问公司的内网。 1、传统专线价格比较昂高； 2、IPsec VPN 基于加密线路传输； 3、部署非常方便，客户能够既上网又能与分支相互通信； 4、IPsec VPN 在企业网络/校园网络分支之间使用。 IPsec原理 IP security 是一套完整的加密系...
ipsec原理总结
03-15
很好的原理总结，可以下来学习一下，总结的很到位，很不错的资源
ipsec原理与实现的学习笔记，自己整理
11-08
ipsec原理与实现的学习笔记，自己整理
IPSec原理与实践.docx
02-03
IPSec原理与实践.docx
IPSec原理与实践.doc
07-10
IPSec原理与实践.doc
ipsec基本原理
夜离人吖的博客
06-28 295
ipsec 及IKE原理
04-06
ipsec IKE PKI 防火墙 linux
IPSec 原理
爱意随风起，人生不可弃。
04-11 6044
虚拟专用网络（VPN，Virtual Private Network）就是在公共网络中建立的连接多个局域网的隧道，如通过配置两端的路由器，可以为两个局域网创建一条隧道，让两个局域网之间能够互相通信。通过加密和身份验证技术实现数据通信的安全，达到像专线一样的效果。 专用网络也叫专线业务，大多面向企业、政府及其其它要求带宽稳定、对服务质量要求较高的客户。可以通过数字数据网（DDN）、帧中继（FR）、数...
IPSec 原理简介
qq_23930765的博客
08-17 2730
一、 概述 IPSec是一项标准的安全技术，它通过在数据包中插入一个预定义头部的方式，来保障上层数据的安全。IPSec主要应用于IP网络层的安全保护。 IPSec技术提供了如下安全特性： 完整性：确保数据在传输中没有被第三方篡改； 源认证：认证数据发送源，确保合法源发送； 私密性：对数据进行加密，即使第三方能够捕获加密后的数据，也不能恢复。 另外IPSec头部有1个序列号片段，单调增长，用来标识一个数据包，从而抵御重放攻击，即第三方将截获的数据包复制，反复发送消耗接收方系统资源的手段。接收方
【转】IPSec的原理
RToax
02-13 844
IPSec 的原理 IPSec其实是IP Security的简称，IPSec是目前技术中点击率非常高的一种技术，同时提供VPN和信息加密两项技术，这一期专栏就来介绍一下IPSec的原理。 IPSec应用场景 IPSec 的应用场景分为3种： Site-to-Site（站点到站点或者网关到网关）：如3个机构分布在互联网的3个不同的地方，各使用一个商务领航网关相互建立隧道（T...
IPSec基础－密钥交换和密钥保护
weixin_34220963的博客
08-05 1906
Internet密钥交换（IKE） 　　两台IPSec计算机在交换数据之前，必须首先建立某种约定，这种约定，称为"安全关联"，指双方需要就如何保护信息、交换信息等公用的安全设置达成一致，更重要的是，必须有一种方法，使那两台计算机安全地交换一套密钥，以便在它们的连接中使用。见图七。   图七、Internet密钥交换 　　Internet 工程任务组IETF制定的安全关联标准法和密钥...
IPSec ***原理与配置
weixin_34071713的博客
04-15 436
本篇主要讲解IPSEC ×××相关理论概念，工作原理及配置过程。从安全和加密原理入手，讲解了IPSEC 在***对等体设备实现的安全特性，如数据的机密性、数据的完整性，数据验证等。重点分析IKE阶段1和阶段2的协商建立过程，为×××等体间故障排查打下坚实的理论基础，最后，分别在Cisco的路由器和防火墙上实现IPSEC ×××的应用和配置，并结合企业需求进行案例分析和...
IPSec原理与应用
qq_70188105的博客
07-04 266
IPv6是IETF为IP协议分组通信制定的新的因特网标准，IPSec在RFC 6434以前是其中必选的内容，但在IPv4中的使用则一直只是可选的。密钥协议（IKE），提供对称密码的钥匙的生存和交换。从1986年到1991年，美国国家安全局在其安全数据网络系统（SDN）计划下赞助了互联网安全协议的开发，包括摩托罗拉在内的各种供应商聚集在一起，于1988年生产了一种网络加密设备，这项工作于1988年由NIST公开发表，其中第3层的安全协议（SP3）演变为ISO标准的网络层安全协议（NLSP）。
ciscoAP配置
凯歌响起的博客
08-15 1万+
ciscoAP的配置，一些实践。
ipsec的实现原理知道吗
03-08
IPsec是一种安全协议，用于保护网络通信的安全性和隐私性。它通过加密和认证数据包来确保数据的机密性、完整性和可用性。IPsec协议可以在网络层提供安全性，可以在IP层对数据进行加密和认证，从而保护数据在传输过程...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值