Window系統(tǒng)中IPSec協(xié)議配置及數(shù)據(jù)包分析

1、一、傳輸模式的實(shí)現(xiàn)1.啟動(dòng)vmware，建立兩個(gè)windows server 2003虛擬機(jī)2. IP1:192.168.72.128 IP2:192.168.72.13 2. 新建本地安全策略 IP安全策略-1（用作IPSec傳輸模式）13編輯安全策略-1的屬性,新建IP安全規(guī)則4.設(shè)置安全規(guī)則的模式（傳輸模式）5.設(shè)置對(duì)所有網(wǎng)絡(luò)連接都是用這個(gè)安全策略新建并設(shè)置IP篩選器列表7.設(shè)置源地址為我的IP地址，目標(biāo)地址為192.168.72.1318添加篩選器操作，選用不同的加密模式 9.設(shè)置共享密鑰的密碼。10.完成，設(shè)置剛剛創(chuàng)建的規(guī)則為當(dāng)前IP策略的規(guī)則查看當(dāng)前規(guī)則的基本信息11. 完成后，指

2、派當(dāng)前的安全策略。12. 在另一臺(tái)機(jī)器上新建安全策略，將源地址和目標(biāo)地址分別設(shè)為本機(jī)和192.168.72.128，設(shè)置篩選器操作以及共享密鑰必須跟第一臺(tái)機(jī)器上的設(shè)置完全相通不指派查看結(jié)果.13.14. 指派一方IP策略查看結(jié)果15. 雙方指派IP策略查看結(jié)果二、隧道模式的實(shí)現(xiàn)1.添加兩個(gè)篩選器列表2. 采用同樣的方式設(shè)置篩選器列表in和篩選器列表out的操作3. 不同的地方是，指定IP為192.168.72.128，out策略的隧道終點(diǎn)的IP地址為192.168.72.1314. In策略的隧道終點(diǎn)為本身IP，指定IP為192.168.72.131，out策略的隧道終點(diǎn)的IP地址為192.1

3、68.72.128 In策略的隧道終點(diǎn)為本身IP5.6. 同時(shí)設(shè)置篩選器目標(biāo)地址和源地址的IP規(guī)則：IP：192.168.72.128 篩選器out 源地址：本身 目標(biāo)地址：192.168.72.131 篩選器in 源地址：192.168.72.131 目標(biāo)地址：本身IP：192.168.72.131 篩選器out 源地址：本身 目標(biāo)地址：192.168.72.128 篩選器in 源地址：192.168.72.128 目標(biāo)地址：本身指派雙方的安全策略，查看結(jié)二. 抓包分析isakmp協(xié)議過(guò)程A. 第一階段主模式原理分析MM 模式下：6個(gè)包 1-2包：雙方互相提供可以實(shí)現(xiàn)的isakmp參數(shù)，包括

4、以下內(nèi)容1-2 包：雙方互相提供可以實(shí)現(xiàn)的Isakmp參數(shù) 包括下面的內(nèi)容        1 對(duì)端ip        2 authentication 方式：presharekey CA 等        3 加密類(lèi)型  des 3des aes        4 hash md5 sha-1 &#

5、160;      5 DH 1,2.73-4 包 通過(guò)DH算法產(chǎn)生可以密鑰         1 給isakmp phase 1 階段使用         2 給ISakmap phase2 階段使用5-6 包 驗(yàn)證對(duì)等體的身份,建立isakmp sa       1 共享密鑰    &#

6、160;  2 CA       3 NO-nonceMM模式下要配置參數(shù)在         1 cryipsec isakmp key cisco address X.x.X.X-配置共享密鑰         2 authentication 方式：presharekey CA 等       &

7、#160; 3 加密類(lèi)型  des 3des aes         4 hash md5 sha-1         5 DH 1,2.7 第1-2個(gè)數(shù)據(jù)包1.作用（1）通過(guò)數(shù)據(jù)包源地址確認(rèn)對(duì)端體的和合法性。（2）協(xié)商IKE策略2.第一個(gè)包的格式通過(guò)比較收到的數(shù)據(jù)包的源地址和本端配置的CRYPTO ISAKMP KEY 密碼 address IP 中的IP 是否相等驗(yàn)證合法性。相等就接收設(shè)個(gè)包，不相等就丟棄。·通過(guò)

8、上圖可以看出，模式是主模式，載荷類(lèi)型是SA，數(shù)目是一個(gè)，內(nèi)容是IKE策略。3.第二個(gè)包通過(guò)上面的圖可以看出是協(xié)商后的策略。  第3-4個(gè)數(shù)據(jù)包1.作用（1）通過(guò)協(xié)商DH產(chǎn)生第一階段的密碼。2 第三個(gè)包格式從上圖可看出模式主模式，載荷類(lèi)型是密鑰交換和廠商載荷。說(shuō)明：DH是一種非對(duì)稱密鑰算法，基于一個(gè)知名的單項(xiàng)函數(shù)，A=Ga mode p 這個(gè)函數(shù)的特點(diǎn)是在G 和p 很多的情況下已知a求A很容易，反之基本不可能。關(guān)于這個(gè)算法詳情可以參考網(wǎng)絡(luò)上的相關(guān)文章。IPSEC就是通過(guò)這種方式，協(xié)商密鑰的。有了這個(gè)秘密就可以通過(guò)衍生算法得到密鑰和HMAC吃了IKE的密鑰，感興趣的密鑰也從這個(gè)

9、密鑰衍生出來(lái)的，所以說(shuō)這個(gè)密鑰是IPSEC的始祖。3.第四個(gè)包基本這第三個(gè)相同第5-6個(gè)數(shù)據(jù)包1.作用這個(gè)過(guò)程主要任務(wù)是認(rèn)證。（通過(guò)1-2和3-4的協(xié)商已經(jīng)具備策略和密鑰所以這個(gè)階段已經(jīng)在安全環(huán)境中進(jìn)行了）2.第五個(gè)包的格式從上圖可以看出，模式只主模式，載荷聯(lián)系身份認(rèn)證，F(xiàn)LAGS這個(gè)開(kāi)源參考IETF IP 安全標(biāo)識(shí)數(shù)據(jù)的特定細(xì)節(jié)。（這些已經(jīng)比較難了）3.第六個(gè)包格式 說(shuō)明此文檔只是驗(yàn)證了共享密鑰的驗(yàn)證方法，證書(shū)驗(yàn)證在以后的文章中給出。第二階段快速模式 3個(gè)包l 1 對(duì)MM模式的IKE參數(shù)做加密驗(yàn)證l 2 交換 IPSEC 轉(zhuǎn)換集transformer-setl 3 接受者確認(rèn)發(fā)起者

10、提出的參數(shù)，并建立ipsec sa1.作用l 在安全的環(huán)境中協(xié)商處理感興趣流的策略。l 主要包括：l （1）感興趣流l （2）加密策略l （3）散列函數(shù)l （4）封裝協(xié)議l （5）封裝模式l （6）密鑰的有效期2.第一個(gè)包發(fā)送方會(huì)把感興趣流和相關(guān)的IPSEC策略發(fā)給對(duì)方，有對(duì)方選擇合適的策略。l 從上圖可以看出模式是快速模式，類(lèi)型是HASH載荷，已經(jīng)是安全環(huán)境了。l 由于是加密的數(shù)據(jù)，所以在這里看不出具體的內(nèi)容。3.第二 三個(gè)包  l 由于是加密數(shù)據(jù)包在此看不出什么。其實(shí)在第二 三包中已經(jīng)有了個(gè)SPI,l 說(shuō)明：SPI簡(jiǎn)單的說(shuō)就是一個(gè)字段，用于唯一標(biāo)識(shí)一個(gè)IPSEC SA。

11、l 另外第一階段的SA是雙向的，這個(gè)階段（快速模式）的SA是單向的。l 也就是說(shuō)進(jìn)入和出去使用不同SA。l 還有一點(diǎn)就SPI是由目的設(shè)備決定，以為發(fā)送方接收的SPI是接收方產(chǎn)生的。l2個(gè)階段有什么聯(lián)系和區(qū)別：l 1 MM模式成功建立一個(gè)可以信賴的isakmp sa 并利用DH算法產(chǎn)生用于1.2 需要使用的密鑰，實(shí)際上位2階段做準(zhǔn)備l 2 實(shí)際在加密中使用的SA是2階段的ipsec sa 而不是1階段的sal 3 MM 模式的sa lifetime 24h  在Qm模式下是1hl 4 在MM階段并未使用AH ESP  只有在QM模式才使用 AH ESP 因此的實(shí)際應(yīng)有在階段l 5 主模式MM_SA，為建立信道而進(jìn)行的安全關(guān)聯(lián) 快速模式QM_SA，為數(shù)據(jù)傳輸而建立的安全關(guān)聯(lián)ll 安全關(guān)聯(lián)SA（Security Association）是單向的，在兩個(gè)使用 IPSec的實(shí)體（主機(jī)或路由器）間建立的邏輯連接，定義了實(shí)體間如何使用安全服務(wù)（如加密）進(jìn)行通信。它由下列元素組成：l 安全參