OSI安全体系结构
建立七层模型主要是为解决异种网络互连时所遇到的兼容性问题。它的最大优点是将服务、接口和协议这三个概念明确地区分开来;也使网络的不同功能模块分担起 不同的职责。也就是说初衷在于解决兼容性,但当网络发展到一定规模的时候,安全性问题就变得突出起来。所以就必须有一套体系结构来解决安全问题,于是 OSI安全体系结构就应运而生。
OSI安全体系结构是根据OSI七层协议模型建立的。也就是说OSI安全体系结构与OSI七层是相对应的。在不同的层次上都有不同的安全技术。OSI安全体系结构如下图所示:
![]() |
每层相应的安全技术如下:
数据链路层:点到点通道协议(PPTP),以及第二层通道协议L2TP
点到点通道协议PPTP,英文全称是Point – to – point Tunneling
Protocol。是一种支持多协议虚拟专用网的新型技术,它可以使远程用户通过Internet安全的访问企业网。也就是平时所用的VPN技术。使用此
协议,远程用户可以通过任意一款网络操作系统以拨号方式连接到Internet,再通过公网连接到他们企业网络。即PPTP在所用的通道上做了一个简单的
加密隧道。
![]() |
L2TP是Cisco的L2F与PPTP相结合的一个协议。L2TP有一部分采用的是PPTP协议,比如同样可以对网络数据流进行加密。不过也有不同之
处,比如PPTP要求网络为IP网络,L2TP要求面向数据包的点对点连接;PPTP使用单一隧道,L2TP使用多隧道;L2TP提供包头压缩、隧道验
证,而PPTP不支持。
网络层:IP安全协议(IPSEC)
IPV4在设计时,只考虑了信息资源的共享,没有过多的考虑到安全问题,因此无法从根本上防止网络层攻击。在现有的IPV4上应用IPSEC可
以加强其安全性,IPSEC在网络层提供了IP报文的机密性、完整性、IP报文源地址认证以及抗伪地址的攻击能力。IPSEC可以保护在所有支持IP的传
输介质上的通信,保护所有运行于网络层上的所有协议在主机间进行安全传输。IPSEC网关可以安装在需要安全保护的任何地方,如路由器、防火墙、应用服务
器或客户机等。
![]() |
IPSEC主要由三个协议组成:
1. AH(Authentication Header)认证报头,提供对报文完整性的报文的源地址进行认证。
2. ESP(Encapsulating Security Payload)封装安全载荷,提供对报文内容的加密和认证功能。
3. IKE(Internet Key Exchange)
Internet密钥交换,协商信源和信宿节点间保护IP报文的AH和ESP的相关参数,如加密、认证的算法和密钥、密钥的生存时间等。又称为安全联盟。
AH和ESP是网络层协议,IKE是应用层协议。一般情况下,IPSEC仅指网络层协议AH和ESP。由于
IPSEC服务是在网络层提供的,任何上层协议都可以使用到此服务。
传输层:安全套接字层(SSL)和传输层安全协议TLS
安全套接层(Secure Sockets
Layer,SSL)是网景公司(Netscape)在推出Web浏览器首版的同时,提出的协议。SSL采用公开密钥技术,保证两个应用间通信的保密性和
可靠性,使客户与服务器应用之间的通信不被攻击者窃听。可在服务器和客户机两端同时实现支持,目前已成为互联网上保密通讯的工业标准,现行Web浏览器普
遍将Http和SSL相结合,从而实现安全通信。SSL协议的优势在于它是与应用层协议独立无关的。高层的应用层协议
(例如:Http、FTP、Telnet等等 )
能透明的建立于SSL协议之上。SSL协议在应用层协议通信之前就已经完成加密算法、通信密钥的协商以及服务器认证工作。在此之后应用层协议所传送的数据
都会被加密,从而保证通信的私密性。
![]() |
传输层安全协议(TLS)是确保互联网上通信应用和其用户隐私的协议。当服务器和客户机进行通信,TLS确保没有第三方能窃听或盗取信息。TLS是安全
套接字层(SSL)的后继协议。TLS由两层构成:TLS记录协议和TLS握手协议。TLS记录协议使用机密方法,如数据加密标准(DES),来保证连接
安全。TLS记录协议也可以不使用加密技术。TLS握手协议使服务器和客户机在数据交换之前进行相互鉴定,并协商加密算法和密钥。TLS利用密钥算法在互
联网上提供端点身份认证与通讯保密,其基础是公钥基础设施(public key
infrastructure,PKI)。不过在实现的典型例子中,只有网络服务者被可靠身份验证,而其客户端则不一定。这是因为公钥基础设施普遍商业运
营,电子签名证书相当昂贵,普通大众很难买得起证书。协议的设计在某种程度上能够使主从式架构应用程序通讯本身预防窃听、干扰(Tampering)、和
消息伪造。
会话层:SOCKS代理技术
SOCKS是一种网络传输协议,主要用于客户端与外网服务器之间通讯的中间传递。SOCKS是SOCKetS的缩写。
当防火墙后的客户端要访问外部的服务器时,就跟SOCKS代理服务器连接。这个代理服务器控制客户端访问外网的资格,允许的话,就将客户端的请
求发往外部的服务器。这个协议最初由Devid Koblas开发,而后由NEC的Ying-Da
Lee将其扩展到版本4。最新协议是版本5,与前一版本相比,增加支持UDP、验证,以及IPv6。根据OSI模型,SOCKS是位于应用层与传输层之间
的中间层。
应用层:应用程序代理
应用程序代理工作在应用层之上,位于客户机与服务器之间,完全阻挡了二者间的数据交流。从客户机来看,代理服务器相当于一台真正的服务器;而从
服务器来看,代理服务器又是一台真正的客户机。当客户机需要使用服务器上的数据时,首先将数据请求发给代理服务器,代理服务器再根据这一请求向服务器索取
数据,然后再由代理服务器将数据传输给客户机。由于外部系统与内部服务器之间没有直接的数据通道,外部的恶意侵害也就很难伤害到企业内部网络系统。并对应
用层以下的数据透明。应用层代理服务器用于支持代理的应用层协议,如:HTTP、HTTPS、FTP、TELNET等。由于这些协议支持代理,所以只要在
客户端的浏览器或其他应用软件中设置“代理服务器”项,设置好代理服务器的地址,客户端的所有请求将自动转发到代理服务器中。然后由代理服务器处理或转发
该请求。
OSI安全体系结构的更多相关文章
- ISO/OSI网络体系结构和TCP/IP协议模型
1. ISO/OSI的参考模型共有7层,由低层至高层分别为:物理层.数据链路层.网络层.传输层.会话层.表示层. 应用层.各层功能分别为: (1)物理层 提供建立.维护和拆除 ...
- OSI网络体系结构
为把在一个网络结构下开发的系统与在另一个网络结构下开发的系统互连起来,以实现更高一级的应用,使异种机之间的通信成为可能,便于网络结构标准化,国际标准化组织(ISO)于1983年形成了开放系统互连基本参 ...
- 【计算机网络】ISO/OSI 网络体系结构
ISO/OSI 网络体系结构 计算机网络是相当复杂的系统,相互通信的两个计算机系统必须高度协调才能正常工作.为了设计这样复杂的计算机网络,人们提出了将网络分层的方法.分层可将庞大而复杂的问题转换为若干 ...
- OSI/RM体系结构
OSI/RM体系结构是第一个标准化的计算机网络体系结构. 它是针对广域网通信(也就是不同网络之间的通信)进行设计 的,将整个网络通信的功能划分为七个层次,由低到高分别是物理层(Physical L ...
- 第一章:1-06、 试将TCP/IP和OSI的体系结构进行比较。讨论其异同之处?
<计算机网络>谢希仁著第四版课后习题答案答:(1)OSI和TCP/IP的相同点是二者均采用层次结构,而且都是按功能分层.(2)OSI和TCP/IP的不同点:①OSI分七层,自下而上分为物理 ...
- TCP/IP 与OSI结构图
OSI参考模型各层的作用 物理层:在物理媒体上传输原始的数据比特流. 数据链路层:将数据分成一个个数据帧,以数据帧为单位传输.有应有答,遇错重发. 网络层:将数据分成一定长度的分组,将分组穿过通信子网 ...
- <TCP/IP原理> (二) OSI模型和TCP/IP协议族
1.OSI参考模型 1)作用 2)各层的名称和功能 2.对分层网络协议体系的理解 1)不同节点:层次组成不同,作用不同 2)横向理解:虚通信.对等实体.协议.PDU 3)纵向理解:封装与解封.服务.接 ...
- TCP/IP模型及OSI七层参考模型各层的功能和主要协议
注:网络体系结构是分层的体系结构,学术派标准OSI参考模型有七层,而工业标准TCP/IP模型有四层.后者成为了事实上的标准,在介绍时通常分为5层来叙述但应注意TCP/IP模型实际上只有四层. 1.TC ...
- [编织消息框架][传输协议]sctp
OSI(Open System Interconnect),即开放式系统互联. 一般都叫OSI参考模型,是ISO(国际标准化组织)组织在1985年研究的网络互联模型. 该体系结构标准定义了网络互连的七 ...
随机推荐
- 数据结构 《6》----堆 ( Heap )
Practival Problems: a. Construct a Huffman code b. Compute the sum of a large set of floating point ...
- mantis增加密码修改
解决方式就是考虑修改Mantisbt PHP程序,增加一个密码修改框,这样管理员就可以直接修改用户密码了. 操作步骤如下: 1) 修改文件 manage_user_edit_page.p ...
- Alice and Bob(不断补充)
我之前做过一些博弈的题目,以为博弈都是DP,结果被坑了很多次,其实博弈有很多种,在此,把我见过的类型都搬上来. 1,HDU3951(找规律) 题意:把n枚硬币围成一个圆,让Alice和Bob两个人分别 ...
- mac下U盘装机系统的制作(命令行)
1,不插入U盘和插入U盘分别命令检测硬盘,确定要制作的U盘号:diskutil list 2,卸载usb盘,不推出,diskutil umountDisk /dev/disk1 3,将dmg写入U盘, ...
- HDU 4405
http://acm.hdu.edu.cn/showproblem.php?pid=4405 题意:飞行棋,可以跳,从0走到n,问期望步数 题解:dp[i]表示从i走到n的期望,逆推,因为每次都要走一 ...
- css让一个正方形方块垂直居中
这里有top和margin-top的区别,top(left,right,bottom)是绝对定位,要用position,margin-top是相对定位,相对于相邻的元素或者父元素. 代码如下: < ...
- phpcms站---去除域名绑定目录中的HTML
原网址:http://www.xker.com/page/e2014/1207/148536.html 打开 \install_package 打开 \caches\configs 目录下的 syst ...
- 本地日志数据实时接入到hadoop集群的数据接入方案
1. 概述 本手册主要介绍了,一个将传统数据接入到Hadoop集群的数据接入方案和实施方法.供数据接入和集群运维人员参考. 1.1. 整体方案 Flume作为日志收集工具,监控一个文件目录或者一个文 ...
- spark+hcatalog操作hive表及其数据
package iie.hadoop.hcatalog.spark; import iie.udps.common.hcatalog.SerHCatInputFormat; import iie.ud ...
- lanuchy快捷操作
down arrow: display history shift+delete: remove the item from the distory