ipsec协议.pptx

IP安全协议IPSec
最初设计TCP/IP协议族时,设计者根本没有考虑协议的安全,出现了各种各样的安全危机;
安全协议工作组(简称IETF IPSec工作组),负责IP安全协议和密钥管理机制的制定;
于1998年制定了一组基于密码学的安全的开放网络安全协议体系,总称为IP安全协议(IP security protocol,IPSec);
IPSec在协议栈中的位置
各种应用层协议
数据链路层
(HTTP, FTP, SMTP 等)
运输层
TCP, UDP
应用层
ICMP
IPSec/IP
ARP
网络层
(网际层)
IGMP
物理层
ppp
IPSec提供的安全性服务
访问控制
无连接的完整性
数据源身份认证
抗重发攻击
保密性
主要内容
1. IPSec体系结构
2. IPSec安全关联

4. IPSec模式
5. IP认证包头
6. IP封装安全负载
7. IPSec密钥管理
8. IPSec应用实例
一、IPSec体系结构
IPSec是一套协议包,而不是一个单独的协议;
在IPSec协议族中由3个主要的协议;
IP认证包头(IP authentication header,AH),为IP包提供信息源的验证和完整性保证;
IP封装安全负载(IP encapsulating security payload,ESP),提供加密保证;
密钥交换( key exchange,IKE),用于动态管理和维护SA的协议。
创建SAD(安全关联数据库)
二、IPSec安全关联
所谓安全关联(SA)就是通信双方协商好的安全通信的构建方案,是通信双方共同协商签署的“协议”,即通信双方之间为了给需要受保护的数据流提供安全性服务而对某些要素的一种约定,如IPSec协议(AH、ESP)、协议的操作模式、密码算法、密钥及密钥的有效生存期等;
SA是单向逻辑的,要么对数据包进行“入站”保护,要么“出站”保护;
例如,主机X和主机Y通信,需要建立如下4个SA。
安全关联SA通过一个三元组(安全参数索引SPI、目的IP地址和安全协议AH或ESP)来唯一标识。
实现IPsec必须维护这两个数据库:
安全策略数据库(SPD):对所有出/入业务应采取的安全策略
安全关联数据库(SAD):为进入和外出包处理维持一个活动的SA列表
安全关联数据库
当安全参数创建完毕之后,通信双方将安全参数保存在一个数据库中,该数据库称为安全关联数据库(security association database,SAD) ;
为处理进入和外出的数据包维持一个活动的SA列表;
三、IPSec安全策略
安全策略决定了对数据包提供的安全服务,所有IPSec 实施方案的策略都保存在一个数据库中,这个数据库就是安全策略数据库(security policy database,SPD);
IP包的外出和进入处理都要以安全策略为准。在进行IP包的处理过程中,系统要查阅SPD,并判断为这个包提供的安全服务有哪些;
进入或外出的每一个数据包,都有3种可能的选择:丢弃、绕过IPSec或应用IPSec。
TCP层的数据包
查询SPD
处理策略
协商成功
进行IPSec处理
添加IPSec头
添加IP头
返回
启动IKE协商
安全关联
丢弃数据包,记录出错信息
丢弃
绕过IPSec
应用IPSec,查询SAD
是
否
SA不存在或无效
IPSec对数据包的处理