IPSEC

IPSec 协议简介

1. IPSec 协议

IPSec 是一系列网络安全协议的总称,它是由IETF(Internet Engineering Task

Force,Internet 工程任务组)开发的,可为通讯双方提供访问控制、无连接的完整

性、数据来源认证、反重放、加密以及对数据流分类加密等服务。

IPSec 是网络层的安全机制。通过对网络层包信息的保护,上层应用程序即使没有

实现安全性,也能够自动从网络层提供的安全性中获益。这打消了人们对***

(Virtual Private Network,虚拟专用网络)安全性的顾虑,使得*** 得以广泛应

用。

2. 加密卡

在实际应用中,IPSec 对报文的处理包括进行ESP 协议处理、加密后给报文添加认

证头、对报文完成认证后删除认证头。为了确保信息的安全性,加密/解密、认证的

算法一般比较复杂,路由器IPSec 软件进行加密/解密运算将会占用了大量的CPU

资源,从而影响了整机性能。模块化路由器还可以使用加密卡(模块化硬件插卡)

以硬件方式完成数据的加/解密运算,消除了路由器VRP 主体软件处理IPSec 对性

能的影响,提高了路由器的工作效率。

(1) 加密卡进行加密/解密的工作过程是:路由器主机将需要加密/解密的数据发送

给加密卡,加密卡对数据进行加密/解密运算并给数据添加/删除加密帧头,然

后加密卡将完成加密/解密的数据发送回主机,由主机转发处理后的数据。

(2) 多块加密卡分流处理用户数据:模块化路由器支持多块加密卡,主机软件通过

轮循方式将用户数据发送给多块状态正常的加密卡进行分流处理,实现多块加

密卡对用户数据的同步处理,从而提高了数据加密/解密的处理速度。

(3) 对于应用于加密卡侧的IPSec,当该路由器所有加密卡都状态异常则加密卡将

无法进行IPSec 处理,此时若已经打开主机备份处理开关,并且VRP 主体软

件IPSec 模块支持该加密卡使用的加密/认证算法,则VRP 主体软件IPSec

模块将替代加密卡进行IPSec 处理,实现对加密卡的备份。

3. IPSec 对报文的处理过程

IPSec 对报文的处理过程如下(以AH 协议为例):

(1) 对报文添加认证头:从IPSec 队列中读出IP 模块送来的IP 报文,根据配置选

择的协议模式(传输或是隧道模式)对报文添加AH 头,再由IP 层转发。

(2) 对报文进行认证后解去认证头:IP 层收到IP 报文经解析是本机地址,并且协

议号为51,则查找相应的协议开关表项,调用相应的输入处理函数。此处理

函数对报文进行认证和原来的认证值比较,若相等则去掉添加的AH 头,还原

出原始的IP 报文再调用IP 输入流程进行处理;否则此报文被丢弃。

4. 与IPSec 相关的几个术语

数据流:在 IPSec 中,一组具有相同源地址/掩码、目的地址/掩码和上层协议

的数据集称为数据流。通常,一个数据流采用一个访问控制列表(acl)来定

义,所有为ACL 允许通过的报文在逻辑上作为一个数据流。为更容易理解,

数据流可以比作是主机之间一个的TCP 连接。IPSec 能够对不同的数据流施

加不同的安全保护,例如对不同的数据流使用不同的安全协议、算法或密钥。

安全策略:由用户手工配置,规定对什么样的数据流采用什么样的安全措施。

对数据流的定义是通过在一个访问控制列表中配置多条规则来实现,在安全策

略中引用这个访问控制列表来确定需要进行保护的数据流。一条安全策略由

“名字”和“顺序号”共同唯一确定。

安全策略组:所有具有相同名字的安全策略的集合。在一个接口上,可应用或

者取消一个安全策略组,使安全策略组中的多条安全策略同时应用在这个接口

上,从而实现对不同的数据流进行不同的安全保护。在同一个安全策略组中,

顺序号越小的安全策略,优先级越高。

安全联盟(Security Association,简称SA):IPSec 对数据流提供的安全服

务通过安全联盟SA 来实现,它包括协议、算法、密钥等内容,具体确定了如

何对IP 报文进行处理。一个SA 就是两个IPSec 系统之间的一个单向逻辑连

接,输入数据流和输出数据流由输入安全联盟与输出安全联盟分别处理。安全

联盟由一个三元组(安全参数索引(SPI)、IP 目的地址、安全协议号(AH

或ESP))来唯一标识。安全联盟可通过手工配置和自动协商两种方式建立。

手工建立安全联盟的方式是指用户通过在两端手工设置一些参数,然后在接口

上应用安全策略建立安全联盟。自动协商方式由IKE 生成和维护,通信双方基

于各自的安全策略库经过匹配和协商,最终建立安全联盟而不需要用户的干

预。

安全联盟超时处理:安全联盟更新时间有“计时间”(即每隔定长的时间进行

更新)和“计流量”(即每传输一定字节数量的信息就进行更新)两种方式。

安全参数索引(SPI):是一个32 比特的数值,在每一个IPSec 报文中都携

带该值。SPI、IP 目的地址、安全协议号三者结合起来共同构成三元组,来唯

一标识一个特定的安全联盟。在手工配置安全联盟时,需要手工指定SPI 的取

值。为保证安全联盟的唯一性,每个安全联盟需要指定不同的SPI 值;使用IKE

协商产生安全联盟时,SPI 将随机生成。

安全提议:包括安全协议、安全协议使用的算法、安全协议对报文的封装形式,

规定了把普通的IP 报文转换成IPSec 报文的方式。在安全策略中,通过引用

一个安全提议来规定该安全策略采用的协议、算法等。

实验拓扑图:

clip_image002

配置R1:

inter e1

ip add 192.168.1.1 24

inter s0

ip add 192.168.10.200 24

ip route-static 0.0.0.0 0 192.168.10.1

acl 3000

rule permit ip source 192.168.1.0 0.0.0.255 dest 192.168.2.0 0.0.0.255

rule deny ip source any dest any

quit

ipsec proposal tran1

encapsulation-mode tunnel

transform esp

esp authentication-algorithm md5-hmac-96

esp encryption-algorithm des

quit

ipsec policy policy1 10

ipsec policy policy1 10 isakmp

sec acl 3000

proposal tran1

tunnel local 192.168.10.200

tunnel remote 192.168.20.200

quit

ike pre-shared-key 12345 remote 192.168.20.200

inter s0

ipsec policy policy1

[R1]dis cu

Now create configuration...

Current configuration

!

version 1.74

local-user user1 service-type administrator password simple 123

sysname R1

undo pos-server addr-switch

firewall enable

aaa-enable

aaa accounting-scheme optional

!

ike pre-shared-key 12345 remote 192.168.20.200

!

acl 3000 match-order auto

rule normal permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

rule normal deny ip source any destination any

!

ipsec proposal tran1

!

ipsec policy policy1 10 isakmp

security acl 3000

proposal tran1

tunnel local 192.168.10.200

tunnel remote 192.168.20.200

!

controller e1 0

!

interface Aux0

async mode flow

link-protocol ppp

!

interface Ethernet0

ip address 192.168.100.1 255.255.255.0

!

interface Ethernet1

ip address 192.168.1.1 255.255.255.0

!

interface Serial0

clock DTECLK1

link-protocol ppp

ip address 192.168.10.200 255.255.255.0

ipsec policy policy1

!

interface Serial1

link-protocol ppp

!

!

quit

ip route-static 0.0.0.0 0.0.0.0 192.168.10.1 preference 60

!

return

配置R2:

inter s0

ip add 192.168.10.1 24

inter s1

ip add 192.168.20.1 24

[R2]dis cu

Now create configuration...

Current configuration

!

version 1.74

local-user user1 service-type administrator password simple 123

sysname R2

undo pos-server addr-switch

firewall enable

aaa-enable

aaa accounting-scheme optional

!

ipsec proposal tran1

!

interface Aux0

async mode flow

link-protocol ppp

!

interface Ethernet0

ip address 192.168.100.2 255.255.255.0

!

interface Ethernet1

ip address 192.168.30.1 255.255.255.0

shutdown

!

interface Serial0

link-protocol ppp

ip address 192.168.10.1 255.255.255.0

!

interface Serial1

link-protocol ppp

ip address 192.168.20.1 255.255.255.0

!

return

配置R3:

inter e1

ip add 192.168.2.1 24

inter s1

ip add 192.168.20.200 24

ip route-static 0.0.0.0 0 192.168.20.1

acl 3000

rule permit ip source 192.168.2.0 0.0.0.255 dest 192.168.1.0 0.0.0.255

rule deny ip source any dest any

quit

ipsec proposal tran2

encapsulation-mode tunnel

transform esp

esp authentication-algorithm md5-hmac-96

esp encryption-algorithm des

quit

ipsec policy policy2 10

ipsec policy policy2 10 isakmp

sec acl 3000

proposal tran2

tunnel local 192.168.20.200

tunnel remote 192.168.10.200

quit

ike pre-shared-key 12345 remote 192.168.10.200

inter s1

ipsec policy policy2

R3]dis cu

Now create configuration...

Current configuration

!

version 1.74

local-user user1 service-type administrator password simple 123

sysname R3

firewall enable

aaa-enable

aaa accounting-scheme optional

!

ike pre-shared-key 12345 remote 192.168.10.200

!

acl 3000 match-order auto

rule normal permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

rule normal deny ip source any destination any

!

ipsec proposal tran2

!

ipsec policy policy2 10 isakmp

security acl 3000

proposal tran2

tunnel local 192.168.20.200

tunnel remote 192.168.10.200

!

interface Aux0

async mode flow

link-protocol ppp

!

interface Ethernet0

ip address 192.168.100.9 255.255.255.0

!

interface Ethernet1

ip address 192.168.2.1 255.255.255.0

!

interface Serial0

link-protocol ppp

!

interface Serial1

clock DTECLK1

link-protocol ppp

ip address 192.168.20.200 255.255.255.0

ipsec policy policy2

!

quit

ip route-static 0.0.0.0 0.0.0.0 192.168.20.1 preference 60

!

return

结果:

clip_image004