VPN和IPSEC相关知识

1.什么是数据认证，有什么作用，有哪些实现的技术手段?

数据认证：是一种加密技术，主要通过使用数字证书对网络上传输的信息进行加密和解密、数字签名和签名验证，以确保信息在传递过程中的安全性和完整性。

作用：

        1. 防止数据篡改：数据认证可以确保数据在传输过程中没有被篡改或修改。通过使用加密哈希算法，对数据进行计算得到一个固定长度的认证值，将该值附加到数据中。在接收端，对接收到的数据进行相同的计算，然后将计算得到的认证值与接收到的认证值进行比较，如果一致，则说明数据没有被篡改。

        2. 确保数据的完整性：数据认证可以验证数据的完整性，即数据在传输过程中没有丢失或损坏。通过计算数据的哈希值并将其附加到数据中，接收端可以使用相同的算法对接收到的数据进行计算，并与发送端附加的哈希值进行比较，如果一致，则说明数据完整无误。

        3. 防止伪造数据：数据认证可以防止数据的伪造，即防止恶意主体发送伪造的数据来冒充合法的发送方。通过在数据中附加认证值，接收端可以验证数据的真实性，确保数据来自合法的发送方。

        4. 数据完整性验证：数据认证还可以用于验证数据的来源和完整性。通过使用数字证书和公钥加密技术，可以对数据进行签名和验证，以确保数据来自具有合法身份的发送方，并且在传输过程中没有被篡改。

技术手段：

1. 数字签名：使用公钥密码学的机制对数据进行签名，验证数据的完整性和真实性。数字签名是通过私钥对数据进行加密，然后通过公钥对加密数据进行解密来完成认证。

2. 哈希函数：将数据经过哈希算法处理生成固定长度的摘要，验证数据的完整性。只要数据发生改变，哈希值就会改变，从而可以检测到数据的篡改。

3. 密码学技术：例如对称加密、非对称加密、消息认证码（MAC）等方法，用于保护数据的机密性和完整性。

4. 区块链技术：通过分布式账本和共识机制，确保数据的一致性和不可篡改性。区块链技术可以实现去中心化的数据认证，让多个节点共同验证数据的真实性。

5. 数字证书：使用第三方机构（如证书颁发机构）对数据进行认证，并颁发数字证书。数字证书能够验证数据的真实性和数据来源的可信度。

2.什么是身份认证，有什么作用，有哪些实现的技术手段?

身份认证：是通过信息技术设计和开发相应的安全系统，对用户进行身份核实的过程。它的作用是确保操作人员的物理身份与数据身份相匹配，是保护网络信息安全的重要步骤。

作用：

        1. 访问控制：身份认证可以用于控制对系统、网络或资源的访问。只有经过身份认证的用户或实体才能获得访问权限，从而确保系统和资源只被合法用户使用。

        2. 数据保护：身份认证可以确保敏感数据只能被授权的用户或实体访问。通过验证用户的身份，可以限制对敏感数据的访问，并防止未经授权的用户获取敏感信息。

        3. 防止身份伪造：身份认证可以防止恶意用户冒充他人的身份来获取系统或资源的访问权限。通过验证用户提供的身份信息，可以确保用户的身份是真实的，从而防止身份伪造行为。

        4. 审计和追踪：身份认证可以用于审计和追踪用户的活动。通过对用户进行身份认证，可以记录用户的登录和操作行为，从而方便后续的审计和追踪工作。

        5. 用户体验：身份认证可以提供个性化的用户体验。通过身份认证，系统可以根据用户的身份信息提供定制化的服务和功能，从而提升用户的体验和满意度。

技术手段：

        1. 用户名密码认证: 用户通过输入预先设置的密码进行身份认

        2. 信任物体认证: 例如使用IC卡认证的方式，用户通过IC卡对身份进行认证。

        3. 生物体征认证: 通过对用户进行刷脸认证或瞳孔技术等方法，来验证操作人员是否为授权用户。

        4. 动态验证: 包括动态密码、验证码、动态口令等多种具体的方法，通过动态生成的验证信息进行身份认证。

        5. UK身份识别: 使用UK（Universal Key）进行身份识别的方式。

3.什么VPN技术?

VPN: 虚拟私有网(virtual private network )，实现是隧道技术。是一种通过安全性较低的网络（如 Internet）创建安全加密连接的技术。VPN 技术的开发是为了允许远程用户和分支机构安全地访问企业应用程序和其他资源。为确保安全，数据通过安全隧道传输，VPN 用户必须使用身份验证方法（包括密码，令牌或其他唯一身份识别程序）才能访问 VPN 服务器。

4.VPN技术有哪些分类?

        4.1.VPN的使用方式：

• 远程接入VPN：远程用户通过公共网络连接到私有网络，实现安全访问企业资源。
• 站点到站点VPN：将不同地理位置的私有网络通过公共网络连接在一起，形成一个私密的虚拟网络。

        4.2.VPN的隧道协议：

• PPTP（Point-to-Point Tunneling Protocol）：一种较早的VPN隧道协议，通常支持多种操作系统，但安全性较低。
• L2TP/IPsec（Layer 2 Tunneling Protocol/Internet Protocol Security）：结合了L2TP和IPsec两种协议，提供更高的安全性。
• OpenVPN：基于SSL/TLS协议的开源VPN软件，支持跨平台部署，提供较高的安全性。
• WireGuard：一种现代的VPN协议，被认为是更快、更简单和更安全的解决方案。

        4.3.VPN的认证方式：

• 预共享密钥（PSK）：使用事先共享的密钥进行认证，常用于小型环境和个人用户。
• 数字证书：使用公钥/私钥进行认证，常用于企业级环境，提供更高的安全性。

        4.4.VPN的运营方式：

• 自建VPN：企业自己建立和管理VPN服务器。
• 第三方VPN服务：通过购买第三方提供的VPN服务来实现连接和数据传输。

5.IPSEC技术能够提供哪些安全服务?

• 机密性
• 完整性
• 数据源鉴别
• 重传保护
• 不可否认行

6.IPSEC的技术架构是什么?

ipsec有俩个安全封装协议

1. ESP

• 加密算法
• 鉴别算法
• 机密性 完整性 可用性

2. AH

• 鉴别算法

7.AH与ESP封装的异同?

相同点：

AH和ESP都会提供数据的完整性、认证和保密性，以确保数据在传输过程中不被篡改、伪造或窃取。

不同点：

ESP：使用对称加密算法来加密和解密数据报，并使用HMAC算法进行数据认证。

加密结果：完整性、可用性、机密性（完全性很全面）

AH：提供数据完整性验证和数据源身份认证。它使用HMAC算法来生成认证数据，并将其添加到原始IP数据报后面。AH还提供了防止数据篡改和重放攻击的保护。与此相还提供了加密功能。

加密结果：完整性、可用性（没有私密性）

8.IKE的作用是什么?

1. 为ipsec通信双方，动态的建立安全联盟SA，对SA进行管理与维护。
2. 为ipsec生成密钥，提供AH/ESP加解密和验证使用
3. 确保虚拟专用网络VPN（virtual private network）与远端网络或者宿主机进行交流时的安全。

 

9.详细说明IKE的工作原理?

1. 阶段1（Phase 1）：

   • 双方建立安全的通信通道：首先，通过ISAKMP（Internet Security Association and Key Management Protocol）协商算法、加密算法、哈希算法和身份验证方法等参数，双方建立一个安全的通信通道，称为ISAKMP SA（Security Association），用于后续的协商。
   • 完成身份验证：接下来，双方进行身份验证，确保双方是合法和可信的。常用的身份验证方法包括预共享密钥、数字证书和基于公钥/私钥的身份验证。
   • 交换密钥材料：身份验证完成后，双方协商生成用于后续阶段2的密钥材料，用于保证数据的加密和解密。

2. 阶段2（Phase 2）：

   • 协商IPsec SA：在阶段2中，通过ISAKMP SA建立的安全通道上进行协商，确定IPsec SA的参数，如加密算法、哈希算法、传输协议（ESP或AH），以及会话密钥等。
   • 数据传输：完成IPsec SA协商后，双方可以通过建立的安全通道进行加密的数据传输。数据被加密和完整性保护，确保数据的机密性和完整性。

3. 通信状态维持：

   • IKE保持存活状态：IKE通过周期性的IKE心跳消息（IKE keep-alive）来维护通信的存活状态。如果一方长时间没有接收到对方的心跳消息，就可以认为通信链路出现故障，从而采取相应的重连或断开操作。

10.IKE第一阶段有哪些模式? 有什么区别，使用场景是什么?

1. IKE第一个阶段的两个模式：

1. 主模式：

6个包交互，默认使用ip地址作为身份标识，默认传递自己的接口地址作为身份标识，对方的公网作为端口身份标识去检查

 安全提议：加密算法、HASH算法、身份认证方式、密钥交换算法、密钥有效期

 

注意：

ci：表述本地的cookie信息，SAi表述协商的安全策略参数，SAr对方协商参数的确认，Cr对方的cookie信息的确认

xi，yi是交换的公钥信息，ni为随机数

id是身份信息，HASH验证信息

      2. 野蛮模式：

注意：

X，Y就是交互的公钥。Ni和Nr是随机数

 

2. 区别：

主模式：

• 包含6个交换消息：需要进行三个回合（6次消息交换），用于建立ISAKMP SA和协商秘钥材料。
• 提供更强的身份验证和密钥材料保护：使用Diffie-Hellman密钥交换算法来协商秘钥材料，同时提供额外的协商步骤用于身份验证和保护密钥材料。
• 更安全但效率稍低：由于需要多个消息交换，相对来说效率稍低，但提供了更强的安全性，特别适用于需要更严格安全要求的场景。

野蛮模式：

• 包含3个交换消息：只需要进行两个回合（3次消息交换），用于快速建立ISAKMP SA和协商秘钥材料。
• 身份验证不如主模式安全：在密钥交换过程中一般不进行Diffie-Hellman密钥交换，而是直接使用预共享密钥进行协商，因此身份验证的安全性较低。
• 效率较高但安全性较弱：由于消息交换次数较少，比主模式效率更高，但相对来说安全性较弱。它适用于资源有限或对连接速度敏感的场景。

3.使用场景：

主模式：需要较高安全要求的场景中，如企业网络的连接、跨不同组织的连接等。主模式提供更强的身份验证和密钥材料保护，可以确保通信的安全性。

野蛮模式：通常用于一些速度较为重要而对安全性要求较低的场景，例如远程移动设备的快速连接、网关到网关的连接等。由于野蛮模式减少了交换消息的次数，能够更快地建立连接，但相对而言安全性较低。