A、加密学原理

 
知识准备
peer--意指两端做×××的设备
 
DPD(Dead peer detection )--在一端有两个peer时做冗余备份的东东，用来检测链路是否可用，远端设备是否有效。
 
对称加密算法--只有一个密匙，即用来加密，也用来解密，速度快，密文紧凑，用于大量数据的传送
 
非对称加密--有一对密匙，如果用其中一个加密，必须用另一个解密。速度较慢，密文不紧凑，通常只用于数字签名，或加密一些小文件。
非对称加密的三个代表：DH（diffie-hellman）、RSA、ECC
 
对称加密代表：3DES--有三个密匙，用第一个密匙加密，用第二个密匙解密，再用第三个密匙加密
非对称加密代表RSA--有一对密匙，一个公匙，一个私匙，私匙加密，公匙解密,或者公匙加密，私匙解密
通常的应用方法，用非对称加密法来传送对称加密的密匙，或用在数字签名当中。
数字签名是用私匙加密，公匙解密。
 
diffie-hellman key exchange--用对方的公匙和自已的私匙产生一个双方都能知道的KEY，作对称加密用
DH group 1的长度是768位
DH group 2的长度是1024位
 
md5是验证，不是加密，用来做哈希
 
PKI--公共密匙架构，基于证书的×××
 
HASH的特点：
1、不管输入什么数据，输出是定长的
2、只要输入有一点微小变化，输出就会发生很大的变化，也就是雪崩效应
 
ESP在IP中的协议号是50
AH在IP中的协议号是51
 
UDP 500  isakmp协商过程所用的端口
NAT-T    使用UDP 4500端口
 
SA--安全关联
SPI--用来唯一定义一条IPsec通道
IK8的台子可以做安全实验
 
SDM--使用外部界面来配置×××
 
B、IPsec-×××--virtual private network
什么是×××--虚拟专用网
×××作用--在公网上传输私网路由，将私有网络联系起来
 
IPsec-×××是三层的×××
×××的类型：
1、GRE  2、VPDN  3、MPLS（不提供加密，由SP帮你完成）  4、IPSEC（加密，由自已部署） 
另一种分类：1、remote ×××  2、L2L
 
IPsec-×××提供三个特性：
1、authentication  每一个IP包的认证
2、data integrity  验证数据完整性,保证在传输过程中没有被人为改动
3、confidentiality （私密性）数据包的加密
 
 
IPsec协议集包括三个协议：
1、internet key exchange(IKE)密匙交换协议
   协议双方使用的算法，密匙，协商用的，协商完成再用下面的方法封装数据。
   IKE动态的，周期性的在两个PEER之间更新密钥
2、encapsulating secutity payload(ESP)封装安全负载
   可以对数据包认证，加密,封装，协议号--50，通常使用3DES来进行加密
3、authentication header (AH)
   只提供认证，封装，不提供加密，明文传送,协议号--51
 
IPsec×××的两种模式--
传输模式：在原包头之后插入一个字段,ESP使用
通道模式：产生一个新IP包头，AH使用,site-to-site的×××就是这种模式
 
--------------------------------------------------------------------------------------------------------------------------
①IKE
也是由三个不同的协议组成：
1、SKEME
2、Oakley
3、ISAKMP--定义了信息交换的体系结构,也就是格式//都是用来交换密钥
 
IKE的作用：用于在两个peer之间协商建立IPsec-×××通道
1、协商参数
2、产生KEY，交换KEY、更新KEY
 
 
建立×××通道的过程：分两个分阶段
第一阶段：
1、authenticate the peers
2、negotiate a bidirectional SA
3、main mode or aggressive mode（主模式或主动模式）
 
第二阶段：
1、IPsec SAs/SPIs
2、quick mode（快速模式）
 
 
②ESP
是一个三层协议，协议号是50
 
--------------------------------------------------------------------
 
 
 
IPsec×××的两种模式--
传输模式：在原包头之后插入一个字段,ESP使用
通道模式：产生一个新IP包头，AH使用
 
site-to-site ipsec ×××的协商过程,分两个阶段
1、establish ISAKMP policy
2、configure IPsec transform set
3、configure crypto ACL  配置感兴趣流,内部私网的地址去访问对端私网的地址就是感兴趣流。
4、configure crypto map
5、apply crypto map to the interface  在接口下应用
6、configure interface ACL 确定在外网接口放行哪些流量 
 
建立×××通道的过程：分两个分阶段
第一阶段：
1、authenticate the peers
2、negotiate a bidirectional SA
3、main mode or aggressive mode（主模式或主动模式）
 
第二阶段：
1、IPsec SAs/SPIs
2、quick mode（快速模式）
 
第一阶段的协商过程总共有6个包：
 
1、消息1和消息2用于peer之间协商加密机制
   ISAKMP包含有ISAKMP头、SA负载、提议负载、转换负载等字段
   总之是让双方协商好我们之间使用啥子协议、加密方法
 
2、消息3和消息4用于相互之间交换公共密匙
   两端的peer先各自生成自已的私匙和公匙，同时还产生一个临时值。然后再使用消息3或消息4将各自的公匙和临时值进行交换。
   交换完公匙后，每个peer先根据对方的公匙和自已的私匙生成一个共享秘密（使用DH算法），再根据共享秘密、对方的临时值、预共享密钥产生出三个SKEY：
   SKEYID_d--此密匙被用于计算后续IPsec密匙资源
   SKEYID_a--此密匙被用于提供后续IKE消息的数据完整性以及认证
   SKEYID_e--此密匙被用于对后续IKE消息进行加密
   消息3和4的ISAKMP包含以下字段：ISAKMP包头、密匙交换负载（KE）、临时值负载
 
3、消息5和消息6用于两个peer之间进行认证，这两个消息是用SKEYID_e进行过加密的。
  每个peer根据一大堆东东生成一个Hash值，再将这个值和自已的标识ID（通常是IP或主机名）发送给对方。当然，使用的就是消息5或消息6。
  每个peer收到对方的ID和Hash值后，先根据对方的ID找到对方的公匙，再计算本地Hash值,如果本地Hash值和对方的Hash值一样，就表示认证成功。
  这一步完成后，IKE SA被建立，主模式认证完成
 
第二阶段的协商过程总共有3条消息：
1、第一、二条信息是两个peer之间协商形成IPsec SA的封装协议、模式、加密算法，还要互发用DH重新生成的新的公匙和临时值，以及其它一些参数，像SPI、ID等等。
 
2、第三条消息通常由发起者发送给响应者，起一个确认的作用
  第三条信息发送前，两端的peer必须先用和DH相关的信息生成一个新的DH秘密，然后用该值和SKEYID_d以及其他一些参数一起来生成最终加解密的KEY。
 
本置实例：
 
一、定义感兴趣流：(只有这些原目地址才是×××感兴趣的,即要封装的.)
ip access-list extended ×××
  permit ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255
 
二、IKE第一阶段
crypto isakmp policy 10
  encryption des
  hash md5
  authentication pre-share
  group 2
 
crypto isakmp key cisco address 202.100.13.3
 
pre-share key 定义
 
三、IKE第二阶段
crypto ipsec transform-set MYSET esp-des esp-md5-hmac
  mode tunnel
 
四、把感兴趣流与转换集映射一下
crypto map MYMAP 10 ipsec-isakmp
  set peer 202.100.13.3    设置×××对等体的地址
  set tranform-set MYSET  设置转换集
  match address ×××     感兴趣流和转换集的绑定
  
五、MAP与接口绑定
int s0
  crypto map MYMAP
 
show crypto isakmp policy
show crypto isakmp sa  第一阶段的SA
show crypto ipsec sa   第二阶段的SA
show crypto engineer
crypto ipsec security-association lifetime kilobytes   第二阶段的一个协商时间，也就是说多长时间后重新协商密匙。也可按已发了多少流量来进行协商。
 
clear crypto isakmp   清第一阶段   
clear crypto sa   清第二阶段
 
UDP 500协商过程所用的端口
NAT-T使用UDP 4500端口
 
SA安全关联
SPI用来唯一定义一条IPsec通道
 
设定接口只允许跑×××流量,在接口入设置
access-list 100 permit udp any eq 500 any eq isakmp
access-list 100 permit esp any any
或access-list 100 permit ahp any any
注意：在老IOS中，对包解密后还会再匹配一次访问列表，新的IOS中就不会，所以在老的IOS中要加入一条
access-list 100 permit ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255
 
GRE
GRE是通常在tunnal中使用，可用来建×××，但不能加密
GRE通用路由封装---一个三层协议，能够将非IP的流量转换成IP流量，能对IP或非IP包进行再封装，在原始包头的前面增加一个GRE包头和一个新IP包头。明文传送，没有安全性。
新IP | GRE | 老IP | TCP | data
20字节  4字节
 
GRE有很好的隧道特性
1、支持多协议
2、支持组播
但是不安全
 
小知识：在tunnal中，指定目标地址之后，只要在本地路由表中有这个地址，tunnal就会up
注意在GRE中感兴趣流的定义：
access-list 100 permit gre host 202.100.13.3 host 202.100.12.2  必须定义公网地址
 
clear crypto ipsec sa   清第二阶段
 
GRE over IPsec(实用性很高的技术，不像IPsec×××那样麻烦)
原理：在tunnel中，先用GRE对数据包封装成IP包，再用IPsec加密
新IP | esp | GRE | 老IP | TCP | data
深蓝色的是加密的部分
IPsec只能对IP包加密，不能对非IP包加密。
 
 
easy×××---ramote access 使用这种方法
两个主要目的：
1、简单的client配置,easy ××× remote
2、中心的client配置，动态的推送配置到client,easy ××× server
所以client很easy,server端的配置一点都不easy
 
××× 3005以上的设备都可以做server
1700、1800可以做client，实际上不光可以用硬件来做client，软件也可以做，在移动办公中就是软件做
1800以上都可以做server
 
比site-to-site方式多了一个1.5阶段，使用主动模式
 
 
 
 
 
用SDM配置ipsec-×××
HTTPS: tcp 443端口
SSH: tcp 22端口
<http://www.cisco.com/go/sdm>
安装时要先装一个JAVE虚拟机
 
路由器上要先配置：
ip domain-name cisco.com
clock timezone GMT +8
clock set 
 
ip http secure-server
username ccnp privilege 15 password cisco
line vty 0 4
  login local  只能用local
  transport input ssh  只允许ssh
  
 
测试：从R3上登录R2一下：
R3# ssh -l ccnp 202.100.12.2
password:cisco
 
----------------------------------------
 
crypto isakmp keepalive 10 3 开启DBD检测
 
crypto map MYMAP 10 ipsec-isakmp
  set peer 202.100.13.3 default
  set peer 202.100.1.2          设置两个peer 冗余备份
  set tranform-set MYSET  
  match address ×××