VPN理论第二天

2019年7月31日 06:42 作者：金淼淋分类：Security / VPN  801

C 巧 C 0
第一天：加密学原理与技术
CCSP VPN 理论
第三天： IKE 与 L2L 配置实例
作者：现任明教教，
北京 WOLF 安全实验室出品
面而伊 CCSP VPN 理论现任明教教主出品
VPNÅ* 与 sec 基本理论
第二天课程介绍
· VPN 技术介绍
· IPSec 基本理诠 CCSP VPN 理论现任明教教主出品
第一部分： VPN 技术介绍
实施 VPN(Virtual Private Network) 的动机
使用租用链路连接
使公有网络连接
0
实施 VPN 最大的动机是 c 。 st saving （省钱） ccsp VPNN
• Data security
• Lack of dedicated bandwidth between sites ccsp VPN"
• Layer 2 VPN
• Add a Layer 2 "delivpry header"
• Layer 3 vpy
• Add a Layer 3 "delivery header" ccsp VPNN
Layer 2 VPN
• Layer 2
• ATM
• Frame Relay
• Layer 2 CCSPVPN 理论现任明教教主出品
弟一部分： VPN 技术介绍
Layer 3 VPN
· Layer 3 VPN 实例
· GRE
（优点．完整的 vp 弋动能缺点．缺乏安全性）
· MPLS VPN
（优点： any ． to ． any ，缺点：需要 SP 接入点，缺
乏安全性）
· IPSec VPN
（优点：省钱，安全，缺点：带宽不能保障） CCSPVPN 理论现任明教教主出品
弟一部分： VPN 技术介绍
两种 VPN 模型
站点到站点 (L2L ， Siteto Site)
远程访问 (RemoteAccess ccsp VPNN
• ATM
• Frame Relay
. GRE
• MPLS VPN
. Ipsec ccsp VPNIWié
• IPSec
. ppTp
• L2TP + IPSec
• SSLVPN ccsp VPNN
IPSecffJfr
• IPSec is a defined encryption standard that
encrypts the upper layers of the OSI model by
adding a new predefined set of headers. A
number of RFCs defined IPSec. IPSec is a
mandatory requirement for IP version 6. (IPV6
is not covered in the examination.) IPSec
ensures that the network layer of the OSI
model is secured. In TCP/IP's case, this would
be the IP network layer. CCSPVPN 理论现任明教教主出品
弟二部分」 PSec 基本理论
IPSec 组成部分
ESP （负载安全封装）协议
· 认证头 (AH) 协些
· Internet 密钥交换 (IKE) 协议 ccsp VPNNiè
• Transport Mode
• Tunnel Mode ccsp VPNN
Transport Modens,ü141
Original IP
Header
Original IP
TCP
Data
TCP Data
I Except Mutable Fields
Original IP
ESP
TCP
Header
Data
Encrypted I
ESP
Auth. Header
Header
New IP
Header
ccsp VPNN
Tunnel ModenxÆ141
TCP
TCP
Authenbcat«l Except Mtnable Fields I
ESP
IP
ESP
Ererypted 1
ESP 1.1.10124
L2L
Header
SIP:202.100.1.1
DIP:61.128.1.1
ccsp VPNN
61.128.1.'
Site2
72.20124
Internet
PCI
IP Header
SIP:I.I.I.I
DIP:22.2.2
Sitel
IP Payload
Header SIP:' .1.11 p payload
(ESPIAH) DIP:2.2.2.2
1.1.1.0/24 5 2.2.2.0124
202.100.1.1 5 61.128.1.1
IP Header
SIP:I.I.I.I
01P:2.2.2.2
IP Payload
iEEE: Mode ccsp VPNN
Remote Access
10.'.1.0/24
•100.1,'
Header
Header
SIP:61 128.1.1 Header SIP:123.1.1.1
DIP:IO.I.I.I
123.1.1.1 10.1,
IP Payload
61.128.1.1 5 202.100.1.1
A: jLÆk8WYNiRkhTunnel Mode
123.1.1.1/24 CCSPVPN 理论现任明教教主出品
弟二部分」 PSec 基本理论
PC to PC 实例分析
pc
我的甩肭
137 · 7 & 5 · 5
实验室网络
137 ． 7 & 10 · 1 闐
视顰务器
IP Header
p ： 137 ． 7 & 5 ． 5
Header IP payload
D 《 P 37 ． 7 & 1 100 (ESPIAH)
通讯点： 137 ． 78 ． 5 ． 5 与 137 ． 78 ． 10 ． 100
加密点： 137 ． 78 ． 5 ． 5 与 137 ． 78 ． 10 ． 100
注意：加密点等于通讯点为 Transpo 戊 Mode ccsp VPNN
ESP @14+0
8
15
24
31
Security Parameter Index (SPI)
Sequence Number
Payload Data (Vari@le)
P
(0-255) Bytes
Original IP
Header
Authentication Data (Variable)
ESP
TCP
uthenticatio
ESP
Security
Field
Initialization Vector
Payload Data
Puiding Of Any)
Pad Next
Length Header
Authentication
ESP
Authentication ccsp VPNN
Sequence
The sequence number is a unique monotonically increasing
number inserted into the header by the sender Sequence
numbers, along with the sliding receive window, provide anti-
replay services. The anti-replay protection scheme is
common to both ESP and AH
N+16 ccsp VPNN
Padding in the ESP header is the addition of bits to
the ESP header; the number of bits to be padded
depends on the encryption algorithm that is used.
The Pad Length field indicates the number of pad
bytes added so that the original data can be restored
on decryption ccsp VPNN
Next
The next header payload identifies the type of
data in the payload. For example, if ESP is used in
tunnel mode, this value will be 4. ccsp VPNN
Authentication digest in the ESP header is used to
verify data integrity. Because authentication is
always applied after encryption, a check for validity of
the data is done upon receipt of the packet and
before decryption '96 Bitk)ü) CCSPVPN 理论现任明教教主出品
弟二部分」 PSec 基本理论
ESP 包外出处理 Step 1 （填充）
Header
TCP
Payload
6
冖 0 丷 00g 工 ON
乇 0 = 0 凵 6u 一 ℃ ℃ 0 戗
煩充
填充
填充
填充随机填充
处理此包
下一个
序列号
SA 的 SPI ccsp VPNN
step 4
A uthenticationed
Encrypted
TCP
payload
Header
50
2
TCP CCSPVPN 理论现任明教教主出品
弟二部分」 PSec 基本理论
ESP 包输入处理示意图
传输模式处理方式：
引就 1J7 寻 & 》 5 Hed"
Header
O 沪． 13 7 ． 1 100 (ESPIAHJ
隧道模式处理方式：
P 《 0
S 20 ，《里身 Header SIP: 01 1 Pay 《 00d
DIP:61_128.1_1 《上 SP ， ^ H 》 D 》 P ： 2
Pay 《 00d
伊 P@尹N划
0 谁孬由表
0 中之 2 下一条 CCSPVPN 理论现任明教教主出品
弟二部分」 PSec 基本理论
ESP 对分片的处理 1
1 ．先加密后分片（非常消耗 Router 资源）
IP Header
引 p 1 1 1 Payload
S 《 P ！ 2 当 00 当的 Header SIP:I-I.I.I 00d
D 《 P ：、 12 & 1 巧《 ESP 卜《》 D ． 27
如果大于
出骁分片
1 ． R “ 确熏奘分片
2 out “ 负夤麟密
《 OS Process 隽 Ch
HeadM
S 《 p ： 2 囗 2 10D VI 分片 1
《 P
引 P ： 202 ． 100 上 1 分片 2
引 p ； 20t100 」． 1 分片 CCSPVPN 理论现任明教教主出品
弟二部分」 PSec 基本理论
ESP 对分片的处理 2
1 ．先分片后加密
SIP:it 10 Paytæd
O ： 2
S ： 202 · 10c00 } 出 d 起 r 卜
O 伊， 5t12 引 1 ． 1 (ESP'AH)
每一个包都
足料立的。
# 不是分片
D 》 P
S 甲 02 · 10c ， f, ， He er 怄
Rout “ 巒
0 伊、 1 1 、 1 S 就磊 H 》魇
支捋 CSF
分片 2
S 丰 0 ， 100
是養 PC6 责 0 斬装
分片疒
0 丰： 222 ． 2 ccsp VPNN
AH (Authentication Header)
•AH is described in RFC 2402. The IP protocol
destination port is 51.
•AH provides connectionless integrity, data
authentication, and optional replay protection
•AH doesn't provide data confidentiality (or
encryption). ccsp VPNN
8
16
31
Next Header
Payload Length
RESERVED
Security Parameter Index (SPI
Sequence Number
AuthenticationData (Variable)
Original IP
Header
AH
henticationed*
TCP
Data CCSPVPN 理论现任明教教主出品
弟二部分」 PSec 基本理论
AH 保护的 | P 头部字段
0
版
7
本载荷长度
存活时间
服务类型
IP 协 ' 议
2
总长度
分段偏移
头校验和
源 IP 地址
目标 IP 地址
因 hiP 地址被认为是需要被 Authenticationed 的，所以如果
IPSec VPN 使用 AH 封装，就不能穿越 NAT （第二个严重问题） CCSPVPN 理论现任明教教主出品
弟二部分」 PSec 基本理论
问题？
现在我们学习了 ESP 和 AH 这两种 IPSec 的封
装方式。以 ESP 为例，它既能加密也能认证数据
包，但是如何决定什么流量需要加密呢？我们使
用什么密钥和算法来加密呢？我们使用什么
Hash 算法来认证数据呢？好像我们都不知道！
所以下面我们要通过对一系列知识点的介绍，来
让大家理解什么是 SA ，它是怎么来的！它有什
么作用。 SPD
SPD
Bypass
Discard
Ipsec
SAD
SADB
SA Policyl
SA Policy2
SA Policy3
ccsp VPNN
Active SA
Inbound SA
SA:SPI Y
Outbound SA
KEN
nbound Traffic
utbound Traffic