【深圳大学网络安全】实验三 传输层安全实验

实验目的与要求

1. 理解SSL证书。
2. 理解HTTPS的运行机制。
3. 配置SSL VPN 服务端。
4. 配置客户端进行SSL VPN连接。

实验环境

Windows操作系统, SimpleISES

实验原理

HTTP (HyperText Transfer Protocol) 是超文本传输协议，它基于 TCP 实现，TCP 本身就没有安全策略，所以 HTTP
是不安全的。

SSL/TLS (Secure Sockets Layer/Transport Layer Security) 协议使用了非对称加密，对称加密以及 HASH
算法。

HTTPS (HTTP over SSL | TLS) 是安全超文本传输协议，是在 TCP 之上进行了加密之后，再基于 HTTP 传输。HTTPS在传输数据之前需要客户端（浏览器）与服务端（网站）之间进行一次握手，在握手过程中将确立双方加密传输数据的加密密钥。

SSL VPN 是基于WEB 应用的安全协议的VPN 技术。客户端程序为IE、Netscape Communicator 或Mozilla 等安全的Web
浏览器，通过认证后进入到公司服务器的VPN 网页，访问某个具有Web 功能的应用，因此它更像一个Web 服务器。

SSL VPN 优缺点：

SSL VPN 可以在任何地点，利用任何设备，连接到相应的网络资源上。迎合了用户对低成本、高性价比远程访问的需求。因为SSLVPN
采用操作系统自带的浏览器即可实现VPN 访问，不需要单独安装软件，接入方式更简单，更容易维护，成本较低。但是SLL
VPN更适合访问一些简单的应用，如电子邮件、电子表格和演示，如果需要访问的是整个网络，那么选择SSL VPN 就不适合了，它只适合点到网的访问，具有局限性。

HTTPS访问机制：

1. 双方协商交互参数

客户端发送 ClientHello 消息，组成部分如下：

客户端生成的随机数(RNc=Random Number of Client)：后面用于生成“会话密钥”

支持的 SSL/TLS 协议版本：比如 TLS1.2

支持的加密算法: 比如RSA公钥加密

支持的压缩算法

服务端响应 ServerHello 消息，组成部分如下：

服务端生成的随机数(RNs=Random Number of Server)：后面用于生成“会话密钥”

确认使用的 SSL/TLS 协议版本：比如 TLS1.2，这是挑选的双方都支持的协议版本，如果没有共同版本，则握手失败

确认使用的加密算法: 比如RSA公钥加密

确认使用的压缩算法

2. 双方交换并验证证书

服务端和客户端都可以有证书(客户端证书只出现在对安全性要求极高的情形)，以证明自己身份的真实性。

证书包含自己的名称、受信任的证书颁发机构(CA)和自己的公钥，这些证书通常基于 X.509。

证书验证的依据是：双方都预先安装公信的根证书颁发机构证书，可使用它们来验证双方的证书的有效性。

需要注意的是，握手阶段的通信都是明文的。

服务端：向客户端发送服务端证书(证书中包含服务端公钥)，并向客户端索要客户端证书；

客户端：收到服务端证书后，验证其身份有效性(可信机构颁发、域名一致、未过期等)，如验证失败则握手失败，如成功则从中取出服务端公钥；

客户端：向服务端发送客户端证书(证书中包含客户端公钥)；

服务端：收到客户端证书后，验证其身份真实性，如验证失败则握手失败。

3. 双方生成主密钥

客户端对随机数值(RNc+RNs)作哈希，并用自己的公钥私钥、对方公钥签名，并发送给服务端；

服务端以同样算法（自己的公钥私钥、对方公钥），检查客户端发送的哈希签名；

客户端生成随机数，称之为“预置主密钥”(PMS=Pre Master
Secret)，用于“主密钥”的因子。并用客户端私钥加密，再发送给服务端，服务端使用客户端公钥解密取得 PMS，至此双方有相同的 PMS；

双方使用一致的算法生成相同的“主密钥”(MS=Master Secret)：RNc+RNs+PMS，然后使用自己的公钥和私钥，再加上对方的公钥。

4.完成握手并开始交互

双方都使用“主密钥”作为加密和解密的密钥，完成握手。

此后，数据传输的记录层 (Record layer) 数据可以被随意压缩、加密，对方可以还原为普通的 HTTP 请求，进行交互。

实验内容

1. 举例HTTPS网址，查找SSL证书及其从属结构。
2. 配置SSL VPN服务端并实现客户端连接。

实验步骤与结果

1**、举例HTTPS网址，查找SSL****证书及其从属结构。**

（1）访问百度www.baidu.com查看其证书

（2）查看其从属结构

（3）查看证书各项信息

2**、配置SSL VPN服务端并实现客户端连接。**

一、 客户端安装

1.1 在客户端（其IP地址为172.22.3.1）上，双击桌面上的“openvpn-
install-2.3.10-I601-x86_64”进行安装，默认安装即可。 如图1所示

图1

1.2 在安装过程中会弹出如下提示，选中”始终信任来自OpenVPN
Technologies,INC的软件”，单击“安装”按钮，后面继续默认安装即可。如图2所示

图2

二、PN服务器软件安装

2.1 在服务端（其IP地址为172.21.3.2和172.22.3.2）上，双击桌面上的“openvpn-
install-2.3.10-I601-x86_64”进行安装，选中软件所有功能，然后单击“Next”安装。 如图3所示

图3

2.2 在安装过程中会弹出如下提示，选中”始终信任来自OpenVPN
Technologies,INC的软件”，单击“安装”按钮，后面继续默认安装即可。如图2所示

图4

2.3 复制一份目录“C:\Program Files\OpenVPN\easy-
rsa”下的vars.bat.sample文件，重命名为vars.bat，右键该文件，选择编辑。如图5所示

图5

2.4 修改配置文件的参数“set KEY_COUNTRY=CN、set KEY_PROVINCE=BJ、set KEY_CITY=BeiJing、set
KEY_ORG=xipu、set KEY_EMAIL=xipu@host.domain”，保存并关闭文件。如图6所示

图6

2.5 单击“开始”->”运行”->输入cmd命令。如图7所示

图7

2.6 在命令行下输入“cd C:\Program Files\openvpn\easy-rsa”。如图8所示

图8

2.7 输入命令“vars”，设置相应的局部环境变量。如图9所示

图9

2.8 输入命令“clean-all”，清理操作。如图10所示

图10

三、生成CA

3.1 继续在服务端的cmd上输入命令“vars”。如图11所示

图11

3.2 输入命令“build-ca”,填写参数，创建CA根证书（保持默认参数也可以）。如图12所示

图12

四、生成dh1024.pem文件

4.1 继续在服务端的cmd上输入命令“vars”。如图13所示

图13

4.2 输入命令“build-dh”。如图14所示

图14

五、生成服务端正书

5.1 继续在服务端的cmd上输入命令“vars”。如图15所示

图15

5.2 输入命令“build-key-server xipuserver”，填写参数，创建服务端证书。如图16所示

图16

六、生成客户端证书

6.1 继续在服务端的cmd上输入命令“vars”。如图17所示

图17

6.2 输入命令“build-key xipuclient”，生成客户端证书。如图18所示

图18

七、修改服务端配置文件参数

7.1 在服务端上，进入“C:\Program Files\OpenVPN\sample-
config”目录，右键server.ovpn文件，选择打开，修改服务端配置参数。如图19所示

图19

7.2 下面代码为配置文件中需要修改的地方，其他保持默认，修改完后保存即可。

cert xipuserver.crt #服务端证书

key xipuserver.key #服务端key

dh dh1024.pem #迪菲亚证书

server 10.10.10.0 255.255.255.0 #给虚拟局域网分配的网段

7.3 将修改后的server.ovpn文件复制到目录“C:\Program Files\OpenVPN\config”下，把“C:\Program
Files\OpenVPN\easy-
rsa\keys”目录中的“ca.crt、ca.key、dh1024.pem、xipuserver.crt、xipuserver.csr、xipuserver.key”复制到“C:\Program
Files\OpenVPN\config”目录下。如图20所示

图20

7.4 双击桌面上的OpenVPN GUI图标，启动软件。如图21所示

图21

7.5 在任务栏，右键openvpn图标，选择“Connect”即可。如图22所示

图22

7.6 图标变绿色，表示连接成功。如图23所示

图23

7.7 重新打开一个cmd，输入命令ipconfig，可以看到服务端VPN网卡IP地址分配为10.10.10.1。如图24所示

图24

八、客户端配置文件操作

8.1 在客户端上，进入“C:\Program Files\OpenVPN\sample-
config”目录，右键client.ovpn文件，选择打开，修改客户端配置参数。如图25所示

图25

8.2 修改客户端文件，参数按照下面进行更改。保存后关闭文件。将修改后的client.ovpn文件复制到目录“C:\Program
Files\OpenVPN\config”下。

remote 172.22.3.2 1194 #VPN服务端的IP地址和端口

cert xipuclient.crt #服务端证书

key xipuclient.key #服务端key

九、复制服务端配置文件到客户端机器上

9.1 在客户端上，单击“开始”->”运行”->”mstsc”。如图26所示

图26

9.2
在弹出的对话框输入服务器IP地址172.22.3.2、账号administrator和密码Simplexue123，远程连接服务器，拷贝客户端文件。如图27所示

（如果连接失败，检查一下服务器端的服务器IP地址是否有变化，然后在服务器机的控制面板新建一个管理员的账号，自己设置账户名和密码，重新连接）

图27

9.3 把服务端“C:\Program Files\OpenVPN\easy-
rsa\keys”目录中的“ca.crt、ca.key、xipuclient.crt、xipuclient.csr、xipuclient.key”复制到客户端“C:\Program
Files\OpenVPN\config”目录下。如图28所示

图28

9.4 双击客户端桌面上的OopenVPN GUI图标，启动软件。如图29所示

图29

9.5 在任务栏，右键openvpn图标，选择“Connect”即可。如图30所示

图30

9.6 图标变绿色，表示连接成功。如图31所示

图31

9.7 打开cmd，输入命令ipconfig，可以看到客户端VPN网卡IP地址1为10.10.10.6。如图32所示

图32

十、验证加密性

10.1 在服务端上为了使wireshark能够显示VPN网卡，需要进行下面几步的操作。

1） 单击开始–>控制面板–>硬件–>设备和打印机处的设备管理器，打开设备管理器。单击查看–>显示隐藏的设备。如图33所示

图33

2） 右键非即插即用驱动程序下的NetGroup Packet Filter Driver，选择属性。如图34所示

图34

3） 切换到驱动程序选项卡，将启动类型改为系统，单击确定。如图35所示

图35

4） 打开cmd，输入命令net stop npf和net start npf，重启npf服务。如图36所示

图37

5） 输入命令ipconfig，可以看到10.10.10.1所在的网卡为本地连接5，172.22.3.2所在的网卡为本地连接4。如图38所示

图38

10.2 在客户端打开两个命令行窗口,分别输入命令 ping 172.22.3.2 -t和ping 10.10.10.1 -t。如图39、40所示

图39

图40

10.3 双击桌面上的wireshark图标，选择本地连接4，单击开始捕获分组按钮。如图41所示

图41

10.4 抓取172.22.3.2所在网卡本地连接4的数据包。如图42所示

图42

10.5 关闭并重新打开wireshark，选择本地连接5，单击开始捕获分组按钮。如图43所示

图43

10.6 抓取10.10.10.1所在网卡本地连接5的数据包。如图44所示

图44

实验结论

通过本次实验，加深了对HTTPS访问机制、SSL VPN连接、SSL证书的了解，基本掌握了简单的SSL VPN服务端和客户端的配置，达到了实验的要求。

（by 归忆）

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2022年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才 需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！