《数据通信与网络》笔记--IPSec
1.IP层的安全:IPSec
IP层安全(IP security,IPsec)是由因特网工程任务组(IETF)设计用来为IP层的分组提供安全的一组协议。IPsec帮助
生成经过鉴别的与安全的IP层的分组,如下图:
1.1.两种方式
在传输方式(transport mode)下,IPsec保护传输层到网络层传递的内容,换言之,传输方式保护网路层的有效载荷,在网络层
中封装有效载荷。
传输方式通常用于主机到主机的数据保护,发送主机使用IPsec鉴别和/或加密来自传输层的有效载荷。接受主机使用IPSec检验鉴别
1.2.两种安全协议
安全协议,鉴别头部(AH)协议和封装安全载荷(ESP)协议,在IP层提供鉴别和/或加密。
1.2.1.鉴别头部协议
当由IP数据报携带鉴别头部时,IP头部中协议字段的初始值就替换为值51。在鉴别头部内的一个字段(写一个头部字段)规定了协
议字段的初始值(由IP数据报携带的有效载荷类型)。加入鉴别头部的步骤如下:
a. 鉴别头部加入到有效载荷中,将鉴别数据字段的值置为0.
b. 散列处理是根据总的分组计算的。但是,IP头部中只有在传输过程中不发生改变的那些字段才包含在报文摘要(鉴别数据)的
计算过程中。
c. 将鉴别数据加入到鉴别头部中协议字段的值改为51,将IP头部加入。
1.2.2.封装安全载荷
当IP数据报携带ESP的头部和尾部时,IP头部中协议字段的值更改为50。在ESP尾部内有一个字段(下一个头部字段)保留着协议字段的初始值
(IP数据报所携带的载荷类型,比如TCP或UDP)。ESP过程遵循下列步骤:
a. 对ESP尾部加入到有效载荷中。
b. 对有效载荷和尾部进行加密。
c. 加入ESP头部。
d. 使用ESP头部,有效载荷以及ESP尾部生成鉴别数据。
e. 将鉴别数据加入到ESP尾部的末尾。
f. 将协议值改为50后,在加入到IP头部。
1.2.3.AH和ESP
1.2.4.IPSec提供的服务
AH和ESP两个协议可在网路层对分组提供几种安全服务。
访问控制:IPSec通过安全关联数据库(SADB)简介地提供访问控制,当一个分组到达目的端时,如果还没有为该分组建立安全关联,那么就
丢弃该分组。
报文鉴别:AH和ESP两者通过使用鉴别数据提供报文的完整性。生成一个数据摘要,该摘要由发送方发给接收方,由接收方进行检验。
实体鉴别:在AH和ESP中,用发送方发送的安全关联和秘钥散列数据摘要鉴别数据的发送方。
保密性:在ESP中报文加密提供保密性,但是AH没有提供保密性。如果需要保密性,我们应该用ESP而不是AH。
避免重放攻击:在两个协议中,用序列号和一个滑动窗口防止重放攻击(reply
attack)。当建立安全关联时,每个IPSec头部都有一个
1.3.安全关联
安全关联数据库(SADB)
1.4.因特网密钥交换(IKE)
现在我们来解决最后的部分,如何创建SADB。因特网密钥交换(Internet key exchange,IKE)是用于建立SADB中入关联于
出关联的一个协议。
IKE是在其他三个协议(Oakley,SKEME和ISAKMP)之上的一个更复杂的协议。如下图所示:
Oakley协议时由Hilarieorman开发的一个协议,他是在Diffie-Hellman密钥交换方法基础上的一个密钥生成协议,但做了一些改进,
Oakley是一个无格式的协议,就是说没有规定交换的报文格式。
SKEME是有HugoKrawcyzk设计的,它是另一个密钥交换协议,它使用公钥密码和密钥交换作为实体鉴别。
因特网安全关联和密钥管理协议(Internet SecurityAssociation and Key Management Protocol, ISAKMP)是由国家安全机构(NSA)
设计的协议,它具有实现IKE定义的交换。在生成标准化的和格式化的保温过程中,它允许IKE交换的多个分组,协议以及参数,从而生成安
全关联。
2.虚拟专用网(VPN)
《数据通信与网络》笔记--IPSec的更多相关文章
- 《数据通信与网络》笔记--虚电路网络:帧中继和ATM
在之前的文章中已经介绍过虚电路交换,详细请参见:http://blog.csdn.net/todd911/article/details/9069447 这边介绍下使用虚电路交换的2中WAN技术:帧中 ...
- 《数据通信与网络》笔记--TCP中的拥塞控制
1.拥塞窗口 发送方窗口的大小不仅取决于接收方,而.而且还取决于网络拥塞的情况. 发送方有2种信息:接收方通告的窗口大小和拥塞窗口的大小,实际的窗口大小事这两者中的最小者. 实际窗口大小 = min( ...
- 《数据通信与网络》笔记--QoS
QoS(Quality of Service)服务质量,是网络的一种安全机制, 是用来解决网络延迟和阻塞等问题的一种技术. 1.QoS参数 衡量服务质量QoS的参数主要包括: 端到端延迟(Delay) ...
- 《数据通信与网络》笔记--SSL/TLS
上次简单地介绍了IP层的安全,今天来介绍下在传输层提供安全性最主要的2个协议:安全套接字层(SSL)协议和传输 层安全(TLS)协议.TLS实际上就是SSL的IETF版本. 1.SSL服务 设计安全套 ...
- 《数据通信与网络》笔记--SCTP
SCTP(stream control transmission protocol)是一种新的可靠的,面向报文的传输层控制协议.它兼有UDP和TCP的特性,它是可靠的面向报文的协议,它保存报文的边界, ...
- 网络笔记02数据解析 -1-JSON解析
1.JSON解析 1.JSON介绍 JSON是最网络传输数据最为广泛的数据格式,没有之一,出身草根,是Javascript的子集,专门负责描述数据格式.Javascript是网页开发的一种脚本语言,和 ...
- 网络笔记-unity 实现AOP
该文章来自网络,如有冒犯,请及时联系! 前提 引用以下文件 Microsoft.Practices.ObjectBuilder2.dll Microsoft.Practices.Unity.dll M ...
- Android网络笔记
(1)网络状态: ConnectivityManager负责管理所有连接的服务(如:系统服务,3G/4G,WiFi,蓝牙等).查看网络状态的类是NetWorkInfo,它是通过Connectivity ...
- Github上点赞90k的计算机基础、操作系统、网络笔记,赶紧收藏
最近,有粉丝发消息给我,说想要好好学习计算机,但是找不到门路啊,所以小编打算给大家推荐一些很奈斯的计算机学习的资料,希望大家赶紧收藏起来好好学习. 资料分为四份,给大家展示了部分内容,头条受限,无法全 ...
随机推荐
- JAVA判断上传表单中file是否为空
<form action="update.do"method="post" enctype="multipart/form-data" ...
- html checkbox全选或者全不选
/* 全选或全不选 */ function CheckedAllOrNo() { var arr = $(':checkbox'); for (var i = 1; i < arr.length ...
- javascript自定义浏览器右键菜单
javascript自定义浏览器右键菜单 在书上看到document对象还有一个contextmenu事件,但是不知为什么w3school中找不到这个耶... 利用这个特性写了个浏览器的右键菜单, ...
- SRM 588 D2 L3:GameInDarknessDiv2,DFS
题目来源:http://community.topcoder.com/stat?c=problem_statement&pm=12710 采用DFS搜索,第一次写的时候忘了加访问标志,结果状态 ...
- C++刷称号——2707: 素数与要素
Description 从键盘输入的随机整数n,如果n不是质数,然后计算n所有的因素(不含1).例如,对于16,出口2,4,8:否则输出"It is a prime number." ...
- HDU--4784 Dinner Coming Soon DP+BFS
题意非常长非常变态.一个人要到他男朋友家,他最初有R元以及T分钟的时间来赶到他男朋友家.有N个房子M条道路,每条道路有须要消耗的时间以及过路费,同一时候还要顺路做食盐生意,起初身上没有食盐,最多带B袋 ...
- TPCC-UVA测试环境搭建与结果分析
一. 准备 操作系统 :Linux, 内核版本2.6 需要软件:tpccuva-1.2.3, postgresql-8.1.15, gnuplot-4.2.5. tccuva是实现标准TPC-C ...
- Javascript进阶篇——总结--DOM案例+选项卡效果
断断续续的把慕课的JavaScript基础和进阶看完了,期间不怎么应用有的都忘记了,接下来多开始写些效果,进行实际应用. 制作一个表格,显示班级的学生信息. 1. 鼠标移到不同行上时背景色改为色值为 ...
- linux删除ORACLE【weber出品必属精品】
关闭数据库 sqlplus / as sysdba shutdown abort 清除oracle软件 su - oracle cd $ORACLE_BASE rm -rf * rm -rf /etc ...
- Linux下使用多线程模拟异步网络通信
服务器 /* socket server * 2014-12-15 CopyRight (c) arbboter */ #include <unistd.h> #include <s ...