IPSEC VPN原理及配置案例解析

IT那活兒發(fā)布于2023-01-11 13:20 / 2372人閱讀

IPSEC VPN原理及配置案例解析

[

VPN概述

]

VPN即VirtualPrivateNetwork（虛擬專用網(wǎng)絡(luò)）。VPN被定義為通過一個公用互聯(lián)網(wǎng)絡(luò)建立一個臨時的、安全的連接，是一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定隧道，使用這條隧道可以對數(shù)據(jù)進(jìn)行幾倍加密達(dá)到安全使用互聯(lián)網(wǎng)的目的，廣泛使用企業(yè)辦公當(dāng)中。由于VPN是在Internet上臨時建立的安全專用虛擬網(wǎng)絡(luò)，用戶可以節(jié)省租用專線的費用。

按VPN的協(xié)議分類：VPN的隧道協(xié)議主要有三種，PPTP，L2TP和IPSec，其中PPTP和L2TP協(xié)議工作在OSI模型的第二層，又稱為二層隧道協(xié)議；IPSec是第三層隧道協(xié)議，也是最常見的協(xié)議。L2TP和IPSec配合使用是目前性能最好，應(yīng)用最廣泛的一種。今天給小伙伴們帶來ipsecvpn的技術(shù)原理及配置案例解析。

[

IPsec協(xié)議基本概念

]

IPSec(IPSecurity)協(xié)議族是IETF制定的一系列協(xié)議，它為IP數(shù)據(jù)報提供了高質(zhì)量的、可互操作的、基于密碼學(xué)的安全性。特定的通信方之間在IP層通過加密與數(shù)據(jù)源驗證等方式，來保證數(shù)據(jù)報在網(wǎng)絡(luò)上傳輸時的私有性、完整性、真實性。

IPSec(IPSecurity)是網(wǎng)絡(luò)安全協(xié)議的一個工業(yè)標(biāo)準(zhǔn)，IPSec主要功能是為IP通信提供加密和認(rèn)證，為IP網(wǎng)絡(luò)通信提供透明的安全服務(wù)，保護(hù)TCP/IP通信免遭竊聽和篡改，可以有效抵御網(wǎng)絡(luò)攻擊，同時保持易用性。

IPSec協(xié)議是一組協(xié)議，它既可以作為一個完整的VPN方案，也可以與其他協(xié)議配合使用，如PPTP、L2TP。它工作在OSI第3層(網(wǎng)絡(luò)層)，可以為上層應(yīng)用提供一個安全的網(wǎng)絡(luò)連接，提供基于一種端-對-端的安全模式。

[

IPSec中的三個主要協(xié)議

]

(1)AH協(xié)議(AuthenticationHeader)

　　AH協(xié)議為IP通信提供數(shù)據(jù)源認(rèn)證和數(shù)據(jù)完整性檢驗，它能保護(hù)通信免受篡改，但并不加密傳輸內(nèi)容，不能防止竊聽。AH聯(lián)合數(shù)據(jù)完整性保護(hù)并在發(fā)送接收端使用共享密鑰來保證身份的真實性;使用HASH算法在每一個數(shù)據(jù)包上添加一個身份驗證報頭來實現(xiàn)數(shù)據(jù)完整性檢驗。需要預(yù)約好收發(fā)兩端的HASH算法和共享密鑰。

(2)ESP協(xié)議(EncapsulatingSecurity Payload)

　　ESP主要區(qū)別于AH協(xié)議的是它的數(shù)據(jù)安全性保證，它使用預(yù)約好的加密算法和密鑰對IP包進(jìn)行加密，防止竊聽。它也提供AH類似的數(shù)據(jù)源認(rèn)證和數(shù)據(jù)完整性檢驗。AH協(xié)議與ESP協(xié)議可以聯(lián)合使用，也可以多帶帶使用。

(3)Internet密鑰交換協(xié)議IKE(InternetKey Exchange)

　　無論實現(xiàn)AH或ESP還是兩者的聯(lián)合，收發(fā)端兩臺計算機(jī)必須首先建立某種約定，這種約定，稱為：“安全關(guān)聯(lián)”，指雙方需要就如何保護(hù)信息、交換信息等公用的安全設(shè)置達(dá)成一致，更重要的是，必須有一種方法，使那兩臺計算機(jī)安全地交換一套密鑰，以便在它們的連接中使用。

IKE協(xié)議主要是對密鑰交換進(jìn)行管理，主要包括對使用的協(xié)議、加密算法和密鑰進(jìn)行協(xié)商;建立可靠的密鑰交換機(jī)制。IKE是一個混合協(xié)議，它使用到了三個不同協(xié)議的相關(guān)部分：安全關(guān)聯(lián)和密鑰交換協(xié)議ISAKMP，密鑰確定協(xié)議Oakley和SKEME。