分享
 
 
 

安全路由器组网及IPSec技术介绍

王朝other·作者佚名  2008-05-19
窄屏简体版  字體: |||超大  

一个大的企业/公司需要把分布在全国的各个分公司或办事处通过广域网联系起来,做到相互之间共享信息资源,由于需要在公用的数据网上传输数据,众所周知在公用的数据网上传输数据信息并不是特别的安全。为了提高所传输的数据的安全性可以考虑使用安全路由器。安全路由器可以隐藏公司内部的网络拓扑结构图,同时还可以加密需要传输的数据,从而做到即使传输的数据在公网上给其它用户拦截到时,他们也不能通过IP包来获取公司内部的网络IP地址及了解到内部的网络拓扑结构图,经过加密的数据,没有专门的解密工具一般的用户是不可能知道所传输的数据包的内容。使用安全路由器的网络拓扑图如下图所示:

图 利用安全路由器组网

由于安全路由器具有数据加密的功能,局域网上的需要传输的数据在通过安全路由器向外发送时,安全路由器会根据一定的加密算法把数据加密,接收到该数据的对端也要使用相同的算法才能把数据还原。

安全路由器的IPSec的隧道模式还具有隐藏内部网络拓扑结构图的功能,安全路由器对所有需要发送的IP包,进行重新封装,在原来的IP包上封装源和目的网关的IP地址;目的路由器对接收到的IP包,先去掉IPSec所增加的IP包头,然后再根据IP包的源和目的地址,把该IP包发送到局域网上的目的主机上。

当局域网A上的用户要给局域网B上的用户发送数据时,首先A用户的IP报文通过出口安全路由器时被重新打包,在原来的IP包上封装源和目的网关的IP地址,封装后的IP报文传送到目的地B端的安全路由器时,可被自动识别出来,同时IP报文重新被解包,最终传送到B端用户。

IPSec技术介绍

IPSec是一个开放式标准的框架。基于IETF开发的标准,IPSec可以在一个公共IP网络上确保数据通讯的可靠性和完整性。IPSec对于实现通用的安全策略所需要的基于标准的灵活的解决方案提供了一个必备的要素。

TCP/IP协议簇提供了一个开放式协议平台,正将越来越多的部门和人员用网络连接起来,网络正在快速地改变着我们工作和生活的方式,但是安全性的缺乏已经减慢了联网的发展速度。目前网络面临的各种威胁包括保密数据的泄露、完整性的破坏、身份伪装和拒绝服务等。

首先是保密数据的泄露。一个罪犯可能会在公网上窃听保密性数据。这个可能是目前互相通信之间的最大障碍。没有加密,每个发送的信息可能被一个未被授权的组织所窃听。由于早期协议对安全考虑的匮乏,各种用户验证信息如用户名或口令均以明码在网络上传输。窃听者可以很容易得到用户的帐户信息。

其次是数据完整性的破坏。即使数据不是保密的,还要确保数据完整性。也许你不在乎别人看见你的交易过程,但你肯定在意交易是否被篡改。如果一旦你能用向银行验证你的身份,你一定想确保交易本身的内容不会被以某种方式被修改,如存款数额不会被修改。

再次是身份伪装。除了保护数据本身以外,你肯定还要保护自己的身份。一个聪明的入侵者可能会伪造你的有效身份,存取只限于你本人可存取的保密信息。目前许多安全系统依赖于IP地址来唯一地识别用户。不幸的是,这种系统很容易被欺骗并导致侵入。

另一种威胁是拒绝服务。一旦联网之后,必须确保系统随时可以工作。在过去数年内,攻击者已在TCP/IP协议簇及其具体实现中发现若干弱点,以使他们可造成某些计算机系统崩溃。

对于抵抗上述威胁保障网络安全并没有一个简单的答案。加密和验证是抵抗上述威胁保障的关键服务。很明显,如果数据在传输过程中加密,那么sniffer就不能侦听和篡改。而网络层验证可以防止身份伪装和拒绝服务。如果设备能正确识别数据的来源,那么就很难模仿一个友好的设备去实现拒绝服务的攻击。

为实现IP网络上的安全,IETF建立了一个Internet安全协议工作组负责IP安全协议和密钥管理机制的制定。经过几年的努力,该工作组提出一系列的协议,构成一个安全体系,总称为IP Security Protocol,简称为IPSec。

IPSec主要包括两个安全协议AH(Authentication Header)和ESP(Encapsulating Security Payload)及密钥管理协议IKE(Internet Key Exchange)。AH提供无连接的完整性、数据发起验证和重放保护。ESP 还可另外提供加密。密钥管理协议IKE 提供安全可靠的算法和密钥协商。这些机制均独立于算法,这种模块化的设计允许只改变不同的算法而不影响实现的其它部分。协议的应用与具体加密算法的使用取决于用户和应用程序的安全性要求。

IPSec可以为IP提供基于加密的互操作性强高质量的通信安全,所支持的安全服务包括存取控制、无连接的完整性、数据发起方认证和加密。这些服务在IP上实现,提供IP层或IP层之上的保护。实现网络层的加密和验证可以在网络结构上提供一个端到端的安全解决方案。这样终端系统和应用程序不需要任何改变就可以利用强有力的安全性保障用户的网络内部结构。因为加密报文类似于通常IP报文,因此可以很容易通过任意IP网络,而无须改变中间的网络设备。只有终端网络设备才需要了解加密,这可以大大减小实现与管理的开销。由于IPSec的实现位于网络层上,实现IPSec的设备仍可进行正常的IP通信,这样可以实现设备的远程监控和配置。

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
推荐阅读
 
 
 
>>返回首頁<<
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有