一 网络的明文传输造成威胁：伪装 中间人

 

VPN建立的作用：

          实施VPN最大的动机是cost saving（省钱）

       使用加密技术防止数据被窃听

        数据完整性验证防止数据被破坏、篡改

        通过认证机制确认身份，防止数据被截获、回放

 

IPsec 框架

 

二 两种加密算法 ：

对称密钥：相同的密钥进行加解密

特点:

– 同一个密钥用于加解密。

• 优点:

– 速度快

– 安全

– 紧凑

• 缺点:

– 明文传输共享密钥，容易出现中途劫持和窃听的问题。

– 密钥数量是以参与者数量平方的速度增长（指数增长）。

– 因为数量过多，所以管理和存储会有很大问题。

– 不支持数字签名和不可否认性

 

 

 

非对称密钥：不相同的密钥进行加解密

 

特点:

– 用一个密钥加密的东西只能用另一个密钥来解密。

– 仅仅只用于:密钥交换（加密密钥）和数字签名（加密散列）。

• 优点:

– 安全。

– 因为不必发送密钥给接受者，所以非对称加密不必担心密钥被中途截获的

问题。

– 密钥数目和参与者的数目一样。

– 不需要事先在各参与者之间建立关系以交换密钥。

– 技术支持数字签名和不可否认性。

• 缺点:

– 非常非常慢。：是对称密钥1000倍

– 密文会变长。

 

一般只加密几百个字节

签名：私钥加密

确认：公钥解密

l  Cisco的路由器支持3个组：1、2、5，数字越大，密钥越安全。

l  防火墙支持组7

 

 

流行的加密算法

DES – Created by IBM,56-bit key

3DES — 168-bit keys. 但是不适合语音，无线，因为速度慢

AES –More efficient algorithm,128-,192-and 256-bit keys 适合语音，无线WPA2

RSA – Used for “MISC” encryption, 512-, 768-, 1024-,2048-bit 数字证书和数字签名

DH –

RC4：无线WPA

数学理论算法不一致，所以对称与非对称的密钥长度不具有可比性

安全性：DES<3DES<AES

耗费设备的资源：DES<3DES<AES

目前不建议使用DES，一台性能很好的计算机可在1个小时内破解

3DES目前还是较为安全的，但部分厂商没有使用第3个密钥，这对于实现不同厂商之间的通信可能出现问题

 

 

 

散列函数特点

1.固定大小

2.雪崩效应

3.单向

4.冲突避免

 

流行的散列函数：MD5  128位 SHA-1  160位 ：思科只有这两种

散列函数的运用

1.动态路由协议验证

2.IOS image校验

3.Chap认证

4.数字签名

5.IPSec

 

IPSec组成部分

• ESP（负载安全封装）协议 :三层协议不是状态化信息

• 认证头（AH）协议

• Internet密钥交换（IKE）协议

               二 类型与模式

类型：

站点到站点L2L：        ATM 帧中继 MPLS-vpn运营商技术  GRE  IPsec互联网技术

远程访问Remote Access：IPsec  PPTP （point-to-point tunneling protocol）

                       SSLvpn  L2TP （layer2 tunneling protocol）

 

IPsec连接模式：

传输transport mode

隧道 tunnel  mode

（封装过程不同）