当前位置: 首页icon 软考首页 >考试科目 >网络规划设计师 课程 《网络规划设计师教程》

网络规划设计师 课程 《网络规划设计师教程》

作者:mb62147e277964a
下载资料 2023下半年软考备考资料+考试大纲
下载按钮 下载

摘要:小编为大家整理了网络规划设计师考点:IPSEC ,希望对在备考网络规划设计师的考生有所帮助。

IPSec不是一个单独的协议,它给出了应用于IP 层上网络数据安全的一整套体系结构。该体系结构包括认证头协议AH、封装安全负载协议ESP、密钥管理协议IKE和用于网络认证及加密的一些算法等。

1)认证头协议AH不能加密,只对数据报进行验证、保证报文的完整性,不能穿越NAT网络。

在IP包转发过程中,对于IP头中一些部分是变化的(比如服务类型TOS、TTL、分片相关的字段、校验和),因此在计算数据包完整性校验值的时候,必须把这些字段设置为0,其实就是不参与计算。对IP协议包的协议字段是51,表示采用AH。

2)IPsec封装安全负载(ESP):封装安全有效载荷协议ESP:具有加密性、既可以保证数据包的机密性,对IP协议包的协议字段是50,表示采用ESP,能够穿越NAT网络。

IPSec有两种操作模式:传输模式和隧道模式。

1)在传输模式下,IPsec包头增加在原IP包头和数据之间,在整个传输层报文段的后面和签名添加一些控制字段,构成IPsec数据报。这种方式是把整个传输层报文段都保护起来。因此只能保证原IP包数据部分的安全性;在传输模式中,两个需要通信的终端计算机运行IPsec协议。

2)隧道模式是对整个IP数据包提供安全传输机制。是在一个IP数据报的后面和前面都添加一些控制字段,构成IPsec数据报。在后面增加新的IP头部,分别是两个站点网关的源地址和目的地址。在隧道模式中,两个安全网关运行IPsec协议,对他们之间要加密的数据达成一致,再运用AH或ESP对数据进行保护。

建立SA的过程分两个阶段。建立加密隧道、传输加密的数据流。

第一阶段IKE SA:

通信双方彼此间建立了一个已通过身份验证和安全保护的通道,包括安全网关之间的认证方法,DH算法,数据完整性的检验,加密算法如DES,3DES,AES。这个阶段就是IKE的第一阶段。在阶段1,IKE提供了两种模式的选择:主模式和野蛮模式。主现在默认采用的都是主模式。

第二个阶段IPsec SA:

用第一阶段建立的安全通道为IPsec协商安全服务,即为IPsec协商具体的安全联盟。IPsec SA用于最终的 IP 数据安全传送。阶段2只有一个模式,快速模式。

所以IPSEC VPN的具体配置流程:

1,配置安全ACL

2,配置安全提议

3,配置IKE

4,配置安全策略

5,在接口应用安全策略

在线题库