網絡運維|防火墻的IPSec VPN
2020-06-09 16:48 作者：艾銻無限 瀏覽量：
網絡運維|防火墻的IPSec VPN大家好，我是一枚從事IT外包的網絡安全運維工程師，今天和大家分享的是網絡安全設備維護相關的內容，在這里介紹下防火墻的IPSecVPN， 網絡安全運維，從Web管理輕松學起,一步一步學成網絡安全運維大神。
網絡維護是一種日常維護，包括網絡設備管理(如計算機，服務器)、操作系統維護(系統打補丁，系統升級)、網絡安全(病毒防范)等。+
北京艾銻無限科技發展有限公司為您免費提供給您大量真實有效的北京網絡維護服務，北京網絡維修信息查詢，同時您可以免費資訊北京網絡維護，北京網絡維護服務，北京網絡維修信息。專業的北京網絡維護信息就在北京艾銻無限+
+
北京網絡維護全北京朝陽豐臺北京周邊海淀、大興、昌平、門頭溝、通州、西城區、燕郊、石景山、崇文、房山、宣武、順義、平谷、延慶全北京網絡維護信息
IPSec
通過手工協商方式或IKE（即ISAKMP, Internet Security Association and Key Management Protocol）協商方式可建立IPSec（Internet Protocol Security）安全聯盟，對傳輸數據進行加密保護。IPSec簡介
介紹IPSec安全聯盟、典型場景以及IKE的基本概念等。IPSec安全聯盟
IPSec安全聯盟是要建立IPSec隧道的通信雙方對隧道參數的約定，包括隧道兩端的IP地址，隧道采用的驗證方式、驗證算法、驗證密鑰、加密算法、加密密鑰、共享密鑰以及生存周期等一系列參數。安全聯盟概述
進行IPSec通信的端點稱為IPSec對等體。為了建立IPSec隧道，IPSec對等體間需要協商隧道參數。安全聯盟是要建立IPSec隧道的通信雙方對隧道參數的約定，包括隧道兩端的IP地址，隧道采用的驗證方式、驗證算法、驗證密鑰、加密算法、加密密鑰、共享密鑰以及生存周期等一系列參數。
安全聯盟是單向（Inbound方向或outbound方向）的，在兩個對等體之間的雙向通信，最少需要兩個安全聯盟來分別對兩個方向的數據流進行安全保護。如圖10-1所示，為了在USG_A和USG_B之間建立IPSec隧道，需要建立兩個安全聯盟，其中，安全聯盟1規定了對從USG_A發送到USG_B數據采取的保護方式，安全聯盟2規定了對從USG_B發送到USG_A數據采取的保護方式。安全聯盟1對于USG_A是Outbound方向，而對于USG_B則是Inbound方向。安全聯盟2則相反。
圖10-1 IPSec安全聯盟
安全聯盟建立方式
在USG上，有兩種方式建立安全聯盟：- 手工方式
- IKE協商
當與USG進行通信的對等體設備數量較少時，或是在小型靜態環境中，手工方式建立安全聯盟是可行的。在中型和大型的動態網絡環境中，推薦使用IKE自動協商方式建立安全聯盟。
IPSec典型應用
IPSec比較典型的應用是在公司總部和分公司之間的通信中。IPSec為處于不同物理地域的企業和用戶提供了建立安全通信隧道的方式，防止數據在網絡內或通過公網傳輸時被非法查看或篡改。
當分布于不同地域的企業或個人通過Internet進行通信時，由于處于不同的物理地域，它們之間進行通信的絕大部分流量都需要穿越Internet上的未知網絡，無法保證在網絡上發送和接收數據的安全性。
IPSec提供了一種建立和管理安全隧道的方式，通過對要傳輸的數據報文提供認證和加密服務來防止數據在網絡內或通過公網傳輸時被非法查看或篡改，相當于為位于不同地域的用戶創建了一條安全的通信隧道。IPSec的典型應用有以下幾種。
網關到網關模式
IPSec應用最常用的組網方式是網關到網關（gateway-to-gateway）的組網方式。網關到網關模式的典型組網如圖10-2所示。此模式下兩個網關之間的連接是加密的。但從客戶到客戶的網關之間的連接，服務器和服務器的網關之間的連接是未加密的。兩側的網關都必須支持IPSec。圖10-2中，比如網絡A中的用戶要訪問網絡B的服務器，則網絡A作為客戶端，網絡B作為服務器端。從網絡A到Device_A之間的連接是未加密的，而從Device_B到網絡B之間的連接也是未加密的。
圖10-2 網關到網關模式典型組網
移動設備遠程接入網關
出差員工PC或AP（Access Point）等移動設備要遠程訪問一個IPSec網關，可以通過L2TP over IPSec的方式，如圖10-3所示。AP設備接入IPSec網關還可通過IKEv2+EAP認證方式，如圖10-4所示。此模式下主機側（PC或AP）需要有支持IPSec的客戶端，網關側需要支持IPSec。圖10-3 采用L2TP over IPSec方式接入IPSec網關
GRE over IPSec
由于IPSec本身不支持組播、廣播和非IP報文，通過GRE封裝這些報文后，IPSec就可以認為這些報文是普通的單播報文，而進行IPSec封裝。如圖10-5所示。圖10-5 GRE over IPSec組網圖
IKE簡介
與手工方式建立的IPSec隧道相比，IKE方式配置相對簡單，具有更高的靈活性，應用也比較廣泛。IKE概述
IKE協議建立在由Internet安全聯盟和密鑰管理協議ISAKMP（Internet Security Association and Key Management Protocol）定義的框架上。它能夠為IPSec提供自動協商交換密鑰、建立安全聯盟的服務，以簡化IPSec的使用和管理。IKE具有一套自保護機制，可以在不安全的網絡上安全地分發密鑰、驗證身份、建立IPSec安全聯盟。
IKE協商過程
IKE經過兩個階段為IPSec進行密鑰協商并建立安全聯盟：- 第一階段交換，通信各方彼此間建立了一個已通過身份驗證和安全保護的通道，此階段的交換建立了一個ISAKMP安全聯盟，即ISAKMP SA（也可稱為IKE SA）。
- 第二階段交換，用已經建立的安全聯盟（IKE SA）為IPSec協商安全服務，即為IPSec協商具體的安全聯盟，建立IPSec SA，IPSec SA用于最終的IP數據安全傳送。
圖10-6 IKE和IPSec的關系示意圖
圖10-7 安全聯盟建立過程示意圖
- 當一個報文從某接口外出時，如果此接口應用了IPSec，會進行安全策略的匹配。
- 如果找到匹配的安全策略，會查找相應的安全聯盟。如果安全聯盟還沒有建立，則觸發IKE進行協商。IKE首先建立第一階段的安全聯盟，即IKE SA。
- 在第一階段安全聯盟的保護下協商第二階段的安全聯盟，即IPSec SA。
- 使用IPSec SA保護通訊數據。
IKE協商模式
在RFC 2409中規定，IKE第一階段的協商可以采用兩種模式：- 主模式（Main Mode）
- 野蠻模式（Aggressive Mode）
雖然野蠻模式存在一些功能限制，但可以滿足某些特定的網絡環境需求。例如：遠程訪問時，如果響應者（服務器端）無法預先知道發起者（終端用戶）的地址或者發起者的地址總在變化，而雙方都希望采用預共享密鑰驗證方法來創建IKE SA，那么，不進行身份保護的野蠻模式就是唯一可行的交換方法；如果發起者已知響應者的策略，或者對響應者的策略有全面的了解，采用野蠻模式能夠更快地創建IKE SA。
IKE安全機制
IKE的安全機制包括：- DH（Diffie-Hellman）算法及密鑰分發
- 完善的前向安全性
- 身份認證
- 身份保護
IKEv2概述
作為IPSec VPN實現中的首選密鑰交換協議，IKE保證了安全聯盟SA建立過程的安全性和動態性。IKE協議是一個混合型協議，其自身的復雜性不可避免地帶來一些安全及性能上的缺陷，已經成為目前實現的IPSec系統的瓶頸。新版的IKEv2協議保留了IKEv1（此處稱傳統IKE為IKEv1，以示區分）的基本功能，并針對研究過程中發現的問題進行修訂。同時兼顧簡潔性、高效性、安全性和健壯性的需要，整合了相關文檔，由RFC 4306單個文檔替代。通過核心功能和默認密碼算法的最小化規定，新協議極大地提高了不同IPSec VPN系統的互操作性。
IKEv2與IKEv1相比有以下優點：
- 用4條消息就可以完成一個IKE SA和一對IPSec SA的協商建立，提高了協商效率。
- 刪除了原有協議中的DOI、SIT以及域名標識符、提交位這些功能不強且難以理解、容易混淆的數據結構。
- 修復了多處公認的密碼學方面的安全漏洞，提高了安全性能。
- 定義了獨立的通訊量選擇載荷，分擔了原有ID載荷的部分功能，增加了協議靈活性。
- 加入對EAP身份認證方式的支持，提高了認證方式的靈活性和可擴展性。
安全策略模板概述
在實際的IPSec組網環境中，存在一些不確定因素，例如網絡中存在移動辦公用戶時，用戶在每次撥入后，為其分配的IP地址可能會不同。這樣，IPSec隧道端點的地址、要保護的數據流就無法確定，給IPSec的部署帶來很大困難。在這種情況下，我們可以在IPSec隧道接收方配置安全策略模板來滿足需要。安全策略模板是指定義一個策略模板，其中配置部分參數，而沒有配置的參數采用發起方的相應參數。
如圖10-8所示，在USG上應用安全策略模板后，USG響應移動用戶發起的IPSec隧道建立請求。IPSec隧道建立成功后，移動用戶即可通過IPSec隧道訪問內部網絡中的業務服務器，在不安全的公共網絡中保證了數據的傳輸安全。
圖10-8 安全策略模板應用示意圖
相關文章
IT電腦維護外包
關閉