IPSEC VPN

相关内容

1.什么是数据认证，有什么作用，有哪些实现的技术手段？

数字认证证书它是以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的安全性、完整性。 使用了数字证书，即使您发送的信息在网上被他人截获，甚至您丢失了个人的账户、密码等信息，仍可以保证您的账户、资金安全。 简单来说就是保障你的在网上交易的安全。

证书实际是由证书签证机关（CA）签发的对用户的公钥的认证。

证书的内容包括：电子签证机关的信息、公钥用户信息、公钥、权威机构的签字和有效期等等。目前，证书的格式和验证方法普遍遵循X.509 国际标准。

2.什么是身份认证，有什么作用，有哪些实现的技术手段？

身份验证又称“验证”、“鉴权”，是指通过一定的手段，完成对用户身份的确认。身份验证的方法有很多，基本上可分为：基于共享密钥的身份验证、基于生物学特征的身份验证和基于公开密钥加密算法的身份验证

身份验证的方法有很多，基本上可分为：基于共享密钥的身份验证、基于生物学特征的身份验证和基于公钥加密解密算法的身份验证。不同的身份验证方法，安全性也各有高低

3.什么VPN技术？

虚拟专用网络(Virtual Private Network，VPN)是专用网络的延伸，它包含了类似Internet的共享或公共网络链接。通过VPN可以以模拟点对点专用链接的方式通过共享或公共网络在两台计算机之间发送数据。

4.VPN技术有哪些分类？

隧道技术

加解密技术

数据认证技术

身份认证技术

密钥管理传输技术

5.IPSEC技术能够提供哪些安全服务？

机密性
完整性
数据源鉴别
重传保护
不可否认行

6.IPSEC的技术架构是什么？

ipsec 有两个安全封装协议
ESP
加密算法
鉴别算法
机密性 完整性 可用性
AH
鉴别算法
完整性 可用性 密钥管理与分发协议
IKE internet key exchange

7.AH与ESP封装的异同？

AH（Authentication Header）是验证头部协议，ESP（Encapsulating Security Payload）是封装安全载荷协议，从名字上来看AH主要用于验证IP头部，ESP主要用于加密

AH 不提供加密服务，而 ESP 提供加密服务。

它们验证的范围不同，ESP 不验证 IP 报头，而 AH 验证 IP 报头，所以往往需要结合使用 AH 和 ESP 才能保证 IP 报头的机密性和完整性（如上图所示）；AH 为 IP 报头提供尽可能多的验证保护，验证失败的包将被丢弃，不交给上层协议解密，这种操作模式可以减少拒绝服务攻击成功的机会。

8.IKE的作用是什么？

协商封装协议以及工作模式 esp ah
协商加密和鉴别算法
密钥参数的协商 — 密钥产生算法、密钥有效期、密钥分发者身份认证、密钥长度、认证算法
为ipsec通信双方，动态的建立安全联盟SA，对SA进行管理与维护。为ipsec生成密钥，提供AH/ESP加解密和验证使用

9.详细说明IKE的工作原理？

IKE 经过俩个阶段为 ipsec 进行密钥协商病建立安全联盟：
第一个阶段 ：通信各方彼此之间需要建立一个已通过身份验证和安全保护的通道，交换建立一个 iskmp 安全联盟，iskmp sa 。
第二个阶段： 用已经建立的安全联盟 iskmp sa(ike sa) 的安全通道为 ipsec 协商安全服务，建立 ipsec sa，产生用于业务数据加密的密钥。

10.IKE第一阶段有哪些模式？有什么区别，使用场景是什么？

• 主模式
• 野蛮模式

主模式	野蛮模式
6个包	三个包
以IP地址作为身份标识	以多种形式进行身份标识
基于IP地址来共享秘钥	基于ID来共享秘钥
安全高	安全低

实验

以r3为例 剩下的配置基本一样

[r3-Tunnel0/0/0]ip add 192.168.1.3 24
[r3-Tunnel0/0/0]tunnel-protocol gre p2mp 
[r3-Tunnel0/0/0]source g0/0/0
[r3-Tunnel0/0/0]ospf network-type p2mp
[r3-Tunnel0/0/0]nhrp entry multicast dynamic 
[r3-Tunnel0/0/0]nhrp redirect##开启重定向，总部和一级分部需要配置
[r3-Tunnel0/0/0]nhrp shortcut ## 一级分部和二级分部需要配置
[r3-Tunnel0/0/0]nhrp entry 192.168.1.1 200.1.12.1 register 
[r3-Tunnel0/0/0]nhrp network-id 100
[r3]ike proposal 1
[r3-ike-proposal-1]encryption-algorithm aes-cbc-128
[r3-ike-proposal-1]dh group5
[r3-ike-proposal-1]authentication-algorithm md5 
[r3-ike-proposal-1]sa duration 3600
[r3]ike peer aaa v1
[r3-ike-peer-aaa]exchange-mode aggressive 
[r3-ike-peer-aaa]pre-shared-key cipher 1234
[r3-ike-peer-aaa]ike-proposal 1
[r3-ike-peer-aaa]local-id-type name 
[r3-ike-peer-aaa]re-authentication
[r3-ike-peer-aaa]remote-name xh
[r3]ipsec proposal aaa
[r3-ipsec-proposal-aaa]encapsulation-mode transport 
[r3-ipsec-proposal-aaa]transform ah-esp 
[r3-ipsec-proposal-aaa]ah authentication-algorithm sha1
[r3-ipsec-proposal-aaa]esp authentication-algorithm sha1
[r3-ipsec-proposal-aaa]esp encryption-algorithm 3des 
[r3-ipsec-proposal-aaa]q
[r3]ips	
[r3]ipsec prof	
[r3-ipsec-profile-aaa]ike-peer aaa
[r3-ipsec-profile-aaa]proposal aaa
[r3-ipsec-profile-aaa]q
[r3]int t0/0/0	
[r3-Tunnel0/0/0]ipsec profile aaa
[r3-Tunnel0/0/0]q
[r3]ospf 1 router-id 3.3.3.3
[r3-ospf-1]a 0
[r3-ospf-1-area-0.0.0.0]network 200.1.0.0 0.0.255.255
[r3-ospf-1-area-0.0.0.0]network 192.168.0.0 0.0.0.255
[r3-ospf-1-area-0.0.0.0]

测试