IPSec及IKE原理

1、ipsec及ike原理,课程内容,第一章 ipsec 第二章 ike,ipsec,ipsec（ip security）是ietf制定的为保证在internet上传送数据的安全保密性能的框架协议 ipsec包括报文验证头协议ah（协议号51） 和报文安全封装协议esp（协议号50）两个协议 ipsec有隧道（tunnel）和传送（transport）两种工作方式,ipsec 的组成,ipsec 提供两个安全协议 ah (authentication header)报文认证头协议 md5(message digest 5) sha1(secure hash algorithm) esp (enca

2、psulation security payload)封装安全载荷协议 des (data encryption standard) 3des 其他的加密算法：blowfish ，blowfish、cast,ipsec 的安全特点,数据机密性（confidentiality） 数据完整性（data integrity） 数据来源认证 （data authentication） 反重放（anti-replay,ipsec 基本概念,数据流 (data flow) 安全联盟 (security association) 安全参数索引 (security parameter index) 安全联盟生

3、存时间 (life time) 安全策略 (crypto map) 转换方式(transform mode,ah协议,数据,ip 包头,数据,ip 包头,ah,ah,新ip 包头,传输模式,隧道模式,ah头结构,0,8,16,31,esp 协议,数据,ip 包头,加密后的数据,ip 包头,esp头部,esp头,新ip 包头,传输模式,隧道模式,esp尾部,esp验证,esp尾部,esp验证,esp协议包结构,课程内容,第一章 ipsec 第二章 ike,ike,ike（internet key exchange，因特网密钥交换协议） 为ipsec提供了自动协商交换密钥、建立安全联盟的服务 通过

4、数据交换来计算密钥,ike的安全机制,完善的前向安全性 数据验证 身份验证 身份保护 dh交换和密钥分发,ike的交换过程,sa交换,密钥交换,id交换及验证,发送本地 ike策略,身份验证和 交换过程验证,密钥生成,密钥生成,接受对端 确认的策略,查找匹配 的策略,身份验证和 交换过程验证,确认对方使用的算法,产生密钥,验证对方身份,发起方策略,接收方确认的策略,发起方的密钥生成信息,接收方的密钥生成信息,发起方身份和验证数据,接收方的身份和验证数据,peer1,peer2,dh交换及密钥产生,a,c=gamodp,damodp,peer2,peer1,b,d=gbmodp,cbmodp,damodp= cbmodp=gabmodp,g ,p,ike在ipsec中的作用,降低手工配置的复杂度 安全联盟定时更新 密钥定时更新 允许ipsec提供