![8791120c159b4fefb83c67ec75337817.gif](https://img-
blog.csdnimg.cn/8791120c159b4fefb83c67ec75337817.gif)
作者简介:一名云计算网络运维人员、每天分享网络与运维的技术与干货。
座右铭:低头赶路,敬事如仪
个人主页:网络豆的主页
目录
前言
一.IPSec体系结构
1.IPSec体系结构
2. IPSec驱动程序
① IPSec驱动程序
② IPSec工作流程
前言
本章将会讲解网络层的安全协议,了解IPSec体系结构,与工作原理。
一.IPSec体系结构
1.IPSec体系结构
IPSec(Internet协议安全)是一个工业标准网络安全协议,为IP网络通信提供透明的安全服务,保护TCP/IP通信免遭窃听和篡改,可以有效抵御网络攻击,同时保持易用性。
![6eb85316bddb4ae085619eec4b0d38f1.png](https://img-
blog.csdnimg.cn/6eb85316bddb4ae085619eec4b0d38f1.png)
IPSec有两个基本目标:
①保护IP数据包安全。
②为抵御网络攻击提供防护措施。
IPSec基于一种端到端的安全模式。这种模式有一个基本前提假设,就是假定数据通信的传输媒介是不安全的,因此通信数据必须经过加密。
而掌握加解密方法的只有数据流的发送端和接收端,两者各自负责相应的数据加解密处理,而网络中其他只负责转发数据的路由器或主机无须支持IPSec。
该特性有助于企业用户在下列方案中成功地配置IPSec。
- (1)局域网:C/S模式,对等模式。
- (2)广域网:路由器到路由器模式,网关到网关模式。
- (3)远程访问:拨号客户机,专网对Internet的访问。
![abb9ba2385254b0e9b56e247444ae168.png](https://img-
blog.csdnimg.cn/abb9ba2385254b0e9b56e247444ae168.png)
IPSec结合安全联盟、安全协议组和动态密钥管理三者来实现上述两个目标,如图所示,不仅能为企业局域网与拨号用户、域、网站、远程站点以及Extranet(外联网)之间的通信提供强有力且灵活的保护,而且还能用来筛选特定数据流。
IPSec(IP
Security)协议是IETF安全工作组制定的一套可以用于IPv4和IPv6上的、具有互操作性的、基于密码学的安全协议。IPv4可选支持IPSec,IPv6必须支持IPSec。
![cb34b24a4b704569810241cef464c64c.png](https://img-
blog.csdnimg.cn/cb34b24a4b704569810241cef464c64c.png)
IPSec提供的安全服务包括访问控制、无连接的完整性、数据源头的认证、防重放功能、数据保密和一定的数据流保密等。IPSec协议产生的初衷是解决Internet上IP传输的安全性问题,它包括从RFC2401到RFC2412的一系列RFC,定义了一套默认的、强制实施的算法,以保证不同的实施方案可以互通。
IPSec标准包含了IP安全体系结构、IP认证AH头、IP封装安全载荷ESP和Internet密钥交换(IKE)4个核心的基本规范,组成了一个完整的安全体系结构,如图所示。
![5b6ca0727edc404faa7db900697e16dd.png](https://img-
blog.csdnimg.cn/5b6ca0727edc404faa7db900697e16dd.png)
- (1)安全体系结构。包含一般的概念、安全需求和定义IPSec的技术机制。
- (2)ESP协议。加密IP数据包的默认值、头部格式以及与加密封装相关的其他条款。
- (3)AH协议。验证IP数据包的默认值、头部格式以及与认证相关的其他条款。
- (4)加密算法。描述各种加密算法如何用于ESP中。
- (5)验证算法。描述各种身份验证算法如何用于AH和ESP身份验证选项。
- (6)密钥管理。描述因特网IETF标准密钥管理方案。其中IKE是默认的密钥自动交换协议。
- (7)解释域DOI。是因特网统一协议参数分配权威机构中数字分配机制的一部分,它描述的值是预知的。包括彼此相关各部分的标志符及运作参数。
- (8)策略。决定两个实体之间能否通信,以及如何进行通信。策略的核心由三部分组成:SA、SAD、SPD。
- SA(安全关联))表示了策略实施的具体细节,包括源/目的地址、应用协议、SPI(安全策略索引)等;SAD为进入和外出包处理维持一个活动的SA列表;SPD决定了整个VPN的安全需求。
![fba4517fcd9a4406b5767707ba077f1b.png](https://img-
blog.csdnimg.cn/fba4517fcd9a4406b5767707ba077f1b.png)
2. IPSec驱动程序
① IPSec驱动程序
IPSec驱动程序负责监视、筛选和IP通信。它负责监视所有出入站的IP数据包,并将每个IP数据包与作为IP策略一部分的IP筛选器相匹配。一旦匹配成功,IPSec驱动程序通知IKE开始协商,图3-3为IPSec驱动程序服务示意图。
![a93fdb7fac68485385e43359ade2fb04.png](https://img-
blog.csdnimg.cn/a93fdb7fac68485385e43359ade2fb04.png)
协商成功完成后,发送端IPSec驱动程序执行以下步骤。
- (1)从IKE处获得SA和会话密钥。
- (2)在IPSec驱动程序数据库中查找相匹配的出站SA,并将SA中的SPI插人IPSec包头。
- (3)对数据包签名(完整性检查);如果要求机密,则另外加密数据包。
- (4)将数据包随同SPI发送IP层,然后进一步转发至目的主机。
接收端IPSec驱动程序执行以下步骤。
- (1)从IKE处获得会话密钥,SA和SPI。
- (2)通过目的地址和SPI,在IPSec驱动程序数据库中查找相匹配的人站SA。
- (3)检查签名,对数据包进行解密(如果是加密包的话)。
- (4)将数据包递交给TCP/IP驱动程序,然后再交给接收应用程序。
② IPSec工作流程
![b468f931927b4dfda797d70f741f59d8.png](https://img-
blog.csdnimg.cn/b468f931927b4dfda797d70f741f59d8.png)
IPSec的流程如下所述,为简单起见,本章假设这是一个Intranet例子,每台主机都有处于激活状态的IPSec策略。
- (1)用户甲(在主机A上)向用户乙(在主机B上)发送一消息。
- (2)主机A上的IPSec驱动程序检查IP筛选器,查看数据包是否需要以及需要受到何种保护。
- (3)驱动程序通知IKE开始协商。
- (4)主机B上的IKE收到请求协商通知。
- (5)两台主机建立第一阶段SA,各自生成共享“主密钥”。若两机在此前通信中已经建立起第一阶段SA,则可直接进行第二阶段SA协商。
- (6)协商建立第二阶段SA对:入站SA和出站SA。SA包括密钥和SPI。
- (7) 主机A上的IPSec驱动程序使用出站SA,对数据包进行签名(完整性检查)与加密。
- (8) 驱动程序将数据包递交IP层,再由IP层将数据包转发至主机B。
- (9)主机B网络适配器驱动程序收到数据包并提交给IPSec驱动程序。
- (10)主机B上的IPSec驱动程序使用入站SA,检查签名完整性并对数据包进行解密。
- (11)驱动程序将解密后的数据包提交上层TCP/IP驱动程序,再由TCP/IP驱动程序将数据包提交主机B的接收应用程序。
以上是IPSec的一个完整工作流程,虽然看起来很复杂,但所有操作对用户是完全透明的。
创作不易,求关注,点赞,收藏,谢谢~
学习网络安全技术的方法无非三种:
第一种是报网络安全专业,现在叫网络空间安全专业,主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、 计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习,多媒体技术,信息检索、舆情分析等。
第二种是自学,就是在网上找资源、找教程,或者是想办法认识一-些大佬,抱紧大腿,不过这种方法很耗时间,而且学习没有规划,可能很长一段时间感觉自己没有进步,容易劝退。
如果你对网络安全入门感兴趣,那么你需要的话可以点击这里👉网络安全重磅福利:入门&进阶全套282G学习资源包免费分享!
第三种就是去找培训。
接下来,我会教你零基础入门快速入门上手网络安全。
网络安全入门到底是先学编程还是先学计算机基础?这是一个争议比较大的问题,有的人会建议先学编程,而有的人会建议先学计算机基础,其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说,学习编程或者计算机基础对他们来说都有一定的难度,并且花费时间太长。
第一阶段:基础准备 4周~6周
这个阶段是所有准备进入安全行业必学的部分,俗话说:基础不劳,地动山摇
第二阶段:web渗透
学习基础 时间:1周 ~ 2周:
① 了解基本概念:(SQL注入、XSS、上传、CSRF、一句话木马、等)为之后的WEB渗透测试打下基础。
② 查看一些论坛的一些Web渗透,学一学案例的思路,每一个站点都不一样,所以思路是主要的。
③ 学会提问的艺术,如果遇到不懂得要善于提问。
配置渗透环境 时间:3周 ~ 4周:
① 了解渗透测试常用的工具,例如(AWVS、SQLMAP、NMAP、BURP、中国菜刀等)。
② 下载这些工具无后门版本并且安装到计算机上。
③ 了解这些工具的使用场景,懂得基本的使用,推荐在Google上查找。
渗透实战操作 时间:约6周:
① 在网上搜索渗透实战案例,深入了解SQL注入、文件上传、解析漏洞等在实战中的使用。
② 自己搭建漏洞环境测试,推荐DWVA,SQLi-labs,Upload-labs,bWAPP。
③ 懂得渗透测试的阶段,每一个阶段需要做那些动作:例如PTES渗透测试执行标准。
④ 深入研究手工SQL注入,寻找绕过waf的方法,制作自己的脚本。
⑤ 研究文件上传的原理,如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用(IIS、Nignix、Apache)等,参照:上传攻击框架。
⑥ 了解XSS形成原理和种类,在DWVA中进行实践,使用一个含有XSS漏洞的cms,安装安全狗等进行测试。
⑦ 了解一句话木马,并尝试编写过狗一句话。
⑧ 研究在Windows和Linux下的提升权限,Google关键词:提权
以上就是入门阶段
第三阶段:进阶
已经入门并且找到工作之后又该怎么进阶?详情看下图
给新手小白的入门建议:
新手入门学习最好还是从视频入手进行学习,视频的浅显易懂相比起晦涩的文字而言更容易吸收,这里我给大家准备了一套网络安全从入门到精通的视频学习资料包免费领取哦!
如果你对网络安全入门感兴趣,那么你需要的话可以点击这里👉网络安全重磅福利:入门&进阶全套282G学习资源包免费分享!
![](https://img-blog.csdnimg.cn/img_convert/95e459efcd70020b16e5d2e59d42575e.jpeg)