协议原理及配置

IPSecVPN协议原理及配置 ISSUE1 1 日期 了解VPN的概念和分类理解IPSecVPN协议原理掌握ICG2000IPSecVPN配置方法 课程目标 学习完本课程 您应该能够 VPN概述IPSecVPN协议原理ICG2000IPSec配置与排错 目录 VPN的定义 VPN VirtualPrivateNetwork 合作伙伴 Internet 办事处 总部 分支机构 异地办事处 VPN的分类 按应用类型分类 AccessVPNIntranetVPNExtranetVPN按实现的层次分类 二层隧道VPN三层隧道VPN VPDN POP POP 用户直接发起连接 POP ISP发起连接 总部 隧道 适用范围 出差员工异地小型办公机构 IntranetVPN Internet ISPIPATM FR 总部 研究所 办事处 分支机构 ExtranetVPN Internet ISPIPATM FR 总部 合作伙伴 异地办事处 分支机构 按实现的层次分类 二层隧道VPNL2TP Layer2TunnelProtocol RFC2661 PPTP PointToPointTunnelProtocolL2F Layer2Forwarding三层隧道VPNGRE GenericRoutingEncapsulationIPSEC IPSecurityProtocol VPN设计原则 安全性隧道与加密数据验证用户验证防火墙与攻击检测可靠性经济性扩展性 VPN概述IPSecVPN协议原理ICG2000IPSec配置与排错 目录 IPSec IPSec IPSecurity 是IETF制定的为保证在Internet上传送数据的安全保密性能的框架协议IPSec包括报文验证头协议AH 协议号51 和封装安全载荷协议ESP 协议号50 两个协议IPSec有隧道 tunnel 和传输 transport 两种工作方式 IPSec的组成 IPSec提供两个安全协议AH AuthenticationHeader 报文验证头协议MD5 MessageDigest5 SHA1 SecureHashAlgorithm ESP EncapsulationSecurityPayload 封装安全载荷协议DES DataEncryptionStandard 3DES TripleDES AES AdvancedEncryptionStandard IPSec的安全特点 数据机密性 Confidentiality 数据完整性 DataIntegrity 数据来源认证 DataOriginAuthentication 反重放 Anti Replay IPSec基本概念 数据流 DataFlow 安全联盟 SecurityAssociation 安全参数索引 SecurityParameterIndex 安全联盟生存时间 LifeTime 安全提议 SecurityProposal 安全策略 SecurityPolicy AH协议 数据 IP包头 数据 IP包头 AH AH 新IP包头 传输模式 隧道模式 AH头结构 0 8 16 31 ESP协议 数据 IP包头 加密后的数据 IP包头 ESP头部 ESP头 新IP包头 传输模式 隧道模式 ESP尾部 ESP验证 ESP尾部 ESP验证 ESP协议包结构 IKE IKE InternetKeyExchange 因特网密钥交换协议 为IPSec提供了自动协商交换密钥 建立安全联盟的服务通过数据交换来计算密钥 IKE的安全机制 完善的前向安全性数据验证身份验证身份保护DH交换和密钥分发 IKE的交换过程 SA交换 密钥交换 ID交换及验证 发送本地IKE策略 身份验证和交换过程验证 密钥生成 密钥生成 接受对端确认的策略 查找匹配的策略 身份验证和交换过程验证 确认对方使用的算法 产生密钥 验证对方身份 发起方策略 接收方确认的策略 发起方的密钥生成信息 接收方的密钥生成信息 发起方身份和验证数据 接收方的身份和验证数据 Peer1 Peer2 DH交换及密钥产生 a c gamodp damodp peer2 peer1 b d gbmodp cbmodp damodp cbmodp gabmodp g p IKE在IPSec中的作用 降低手工配置的复杂度安全联盟定时更新密钥定时更新允许IPSec提供反重放服务允许在端与端之间动态认证 IPSec与IKE的关系 IKE IPSec IKE IPSec 加密的IP报文 IP IKE的SA协商 SA SA VPN概述IPSecVPN协议原理ICG2000IPSec配置与排错Web方式配置IPsec排错 目录 IPSec配置前的准备 确定需要保护的数据确定使用安全保护的路径确定使用哪种安全保护确定安全保护的强度 总部网关NavigatorA配置 配置上网参数 NavigatorA创建NATACL ACL3100 禁止总部子网192 168 1 0 24访问分支机构子网192 168 0 0 24时进行NAT转换 允许该子网访问公网时进行NAT在转换 NavigatorA创建NATACL续 NavigatorA创建安全ACL ACL3200 允许分支机构子网192 168 1 0 24通过IPSecVPN访问目的总部机构192 168 0 0 24的子网 NavigatorA重新绑定NAT 命令行配置界面 首先取消系统缺省NAT地址转换设置 然后对NAT地址转换绑定ACL3100system viewSystemView returntoUserViewwithCtrl Z NavigatorA interfaceEthernet0 0 NavigatorA Ethernet0 0 displaythisinterfaceEthernet0 0portlink moderoutenatoutboundipaddress202 1 1 10255 255 255 0ipsecpolicynavigator NavigatorA Ethernet0 0 undonatoutbound NavigatorA Ethernet0 0 natoutbound3100 NavigatorA创建IKE 创建IKEnavigator a NavigatorA创建IKE对等体 创建IKE对等体e2e NavigatorA创建IKE对等体续 查看IKE对等体 NavigatorA配置IPSec策略 创建IPSec策略 NavigatorA配置IPSec策略续 配置IPSec策略 NavigatorA删除缺省IPSec策略 删除系统缺省的IPSec策略 NavigatorA重新绑定IPSec策略 为E0 0重新绑定IPSec策略 NavigatorA接口绑定IPSec策略 绑定成功 Navigator配置完成 分支网关NavigatorB配置 分支网关配置与总部网关配置基本相似配置上网参数配置NATACL配置安全ACL配置IKE设置IKE对等体创建IPSec策略重新绑定IPSec策略后续列出与总部网关有区别的配置步骤 NavigatorB配置 配置上网参数 拨号方式 NavigatorB重新绑定NAT 命令行配置界面 进入PPPoE拨号接口视图Dialer10 首先取消系统缺省NAT地址转换设置 然后对NAT地址转换绑定ACL3100system viewSystemView returntoUserViewwithCtrl Z NavigatorB interfacedialer10 NavigatorB Dialer10 displaythis interfaceDialer10natoutboundlink protocolppppppchapuser10000088888pppchappasswordcipherV9ZK B WKQ Q MAF4 1 ppppaplocal user10000088888passwordcipherV9ZK B WKQ Q MAF4 1 NavigatorB Dialer10 undonatoutbound NavigatorB Dialer10 natoutbound3100 NavigatorB创建IKE对等体 创建IKE对等体 注意需配置总部网关IP地址 NavigatorB接口绑定IPSec策略 在拨号口绑定新创建的IPSec策略 配置完成 IPSec功能验证 由分支触发IPSec 实现总部与分支内网的安全互访 VPN概述IPSecVPN协议原理ICG2000IPSec配置与排错Web方式配置IPsec排错 目录 IPSec的显示与调试 IPSec显示与调试显示安全联盟的相关信息displayipsecsa brief remoteip address policypolicy name seq number duration 显示IPSec处理报文的统计信息displayipsecstatistics显示安全提议的信息displayipsecproposal proposal name 显示安全策略的信息displayipsecpolicy brief namepolicy name seq number 打开IPSec的调试功能debuggingipsec sa packet policypolicy name seq number parametersip addressprotocolspi number misc IKE的显示与调试 显示当前已建立的安全通道displayikesa显示每个IKE提议配置的参数displayikeproposal删除安全隧道resetikesa connection id 打开IKE的调试信息debuggingike error exchange message misc transport IPSec故障诊断与排错 非法用户身份信息检查协商两端接口上配置的安全策略中的ACL内容是否相容 建议用户将两端的ACL