IPsec实验

IPsec实验

实验目的

了解ipsec安全策略的工作原理，以及工作过程

实验工具

虚拟机，两个windowsxp的系统。之所以使用xp系统是因为他比较小，进行实验时会比较快速

实验内容

ipsec协议

IPSec提供了两种安全机制： 认证（采用ipsec的AH）和加密（采用ipsec的ESP）。IPSec主要功能为加密和认证，为了进行加密和认证，IPSec还需要有密钥的管理和交换的功能，以便为加密和认证提供所需要的密钥并对密钥的使用进行管理。以上三方面的工作分别由AH，ESP和IKE（Internet Key Exchange，Internet 密钥交换）三个协议规定。为了介绍这三个协议，需要先引人一个非常重要的术语SA（Security Association安全关联）。所谓安全关联是指安全服务与它服务的载体之间的一个“连接”。AH和ESP都需要使用SA，而IKE的主要功能就是SA的建立和维护。要实现AH和ESP，都必须提供对SA的支持。通信双方如果要用IPSec建立一条安全的传输通路，需要事先协商好将要采用的安全策略，包括使用的加密算法、密钥、密钥的生存期等。当双方协商好使用的安全策略后，我们就说双方建立了一个SA。SA就是能向其上的数据传输提供某种IPSec安全保障的一个简单连接，可以由AH或ESP提供。当给定了一个SA，就确定了IPSec要执行的处理，如加密，认证等。SA可以进行两种方式的组合，分别为传输临近和嵌套隧道。

实验过程

首先在ip的安全策略中，新建一个ip安全策略，并以学号进行命名。

切记，两台虚拟机都要进行ipsec的配置。

这这里，我对两台都进行了ipsec的配置。以便后续结果进行访问。
在配置过程中，一切选择默认选项，直到要我们添加身份验证访问方式时，需要自己输入口令。切记，两台机器的口令一定要一样。

实验结果

当只配置了一台机器，或者两台机器创建安全策略时候输入的ipsec口令不一样，则会出现ip安全认证的失败。如图

通过查询自己的ip地址，可通过命令提示符，输入ipconfig进行查询。当我ping远端另外一台机器时，发现无法ping通。
进行抓包，发现

之后，我对两台机器都配置了ipsec，并且口令一致。发现可以相互ping通，且抓包也没问题。

思考总结

IPSec的工作原理类似于包过滤防火墙，可以看作是对包过滤防火墙的一种扩展。当接收到一个IP数据包时，包过滤防火墙使用其头部在一个规则表中进行匹配。当找到一个相匹配的规则时，包过滤防火墙就按照该规则制定的方法对接收到的IP数据包进行处理。这里的处理工作只有两种：丢弃或转发。IPSec通过查询SPD（Security Po1icy Database安全策略数据库）决定对接收到的IP数据包的处理。但是IPSec不同于包过滤防火墙的是，对IP数据包的处理方法除了丢弃，直接转发（绕过IPSec）外，还有一种，即进行IPSec处理。正是这新增添的处理方法提供了比包过滤防火墙更进一步的网络安全性。进行IPSec处理意味着对IP数据包进行加密和认证。包过滤防火墙只能控制来自或去往某个站点的IP数据包的通过，可以拒绝来自某个外部站点的IP数据包访问内部某些站点，也可以拒绝某个内部站点对某些外部网站的访问。但是包过滤防火墙不能保证自内部网络出去的数据包不被截取，也不能保证进入内部网络的数据包未经过篡改。只有在对IP数据包实施了加密和认证后，才能保证在外部网络传输的数据包的机密性、真实性、完整性，通过Internet进行安全的通信才成为可能。IPSec既可以只对IP数据包进行加密，或只进行认证，也可以同时实施二者。但无论是进行加密还是进行认证，IPSec都有两种工作模式，一种是隧道模式，另一种是传输模式。