ccsp-vpn.docx

VPN理论加密学原理VPN原理IKE协议原理Route-IPSECVPN配置-普通L2L配置加密学原理1、安全的定义:私密性:也就是加密,保证数据在传输过程中不能被其他人看到。完整性:确保数据在传输过程中没有被篡改。源认证:数据的唯一和真确性,而不是其它伪装源发的。不可否认性:数据的发送和接收,不能被否认。2、密码学算法分类:对称密钥算法、非对称密钥算法和散列函数对称密钥算法:使用相同的密钥和算法进行加解密。特点:通过同一个密钥用于加解密。优点:速度快、安全、紧凑、用于大块数据的加密。缺点:明文传输共享密钥,容易遭到劫持、用户的增加,密码的数量指数增长,密钥管理繁重、不支持数字签名和不可否认性。常用于数据的加密。常用算法有DES、3DES、RC2/4/5/6、AES。长度一般在40-256bit。非对称密钥算法:每一个用户,都需要产生一对公私钥,公钥共享给所有人,私钥需要严格保密,知道公钥无法推导私钥,私钥加密的文件需要公钥解(签名的过程,比如数据的源认证和不可否认性),公钥加密的文件需要私钥才能解密(数据加密的过程)。特点:用一个密钥加密的东西只能用另外一个密钥解密,可用于密钥交换(加密密钥)和数字签名(加密散列)。优点:安全,因为不需要发送私钥给接受者,所有不担心密钥被劫持,支持数字签名和不可否认性。缺点:非常慢,密文会变长,只能加密很小的数据。两大用途:签名和密钥交换。常用算法有RSA,DH,ECC,长度一般在512-2048bit。散列函数:把一个任意大的数据将其“压缩”成一个指纹或者摘要。散列函数的输出是一个固定大小的值,如果你修改了源数据,哪怕值修改一个位,那么输出的散列值也会完全不同。无法推导出一点最初的明文。常用的算法有MD5(128)和SHA-1(160)。数字签名:利用非对称加密算法,用私密加密散列函数,接受者用公钥解密,完成数据的源认证和不可否认性。数字证书:证明公钥的持有者到底是谁。因为密钥自身不能说明持有者是谁,所以需要数字证书帮我们来解决。里面包含信息有:公钥、公钥持有者姓名、有效期、认证机构的数字签名。OSI不同层的加密技术:应用层加密:Skype,MSNshell等软件会话层加密:SSL技术网络层加密:IPSECVPN物理和链路层加密:加密机,:块加密:把明文分成固定长度的块,逐块加密。基于算法,块长度有所不同(DES块大小为64bit),必要时需要补齐块边界大小,密文长度一般略大于明文。DES:DataEncryptionStandard数据加密标准,广泛使用的对称密钥算法,开发与1975的IBM公司,密钥长度为56bit,块大小64bit,仅仅因为密钥长度太短,易受到***攻击。流加密:数据逐bit加密,不改变信息的长度,广泛用于无线加密。DES块加密的两种工作模式:ECB和CBC。ECBmode:(odebood电子密码本),相同的明文总是产生相同的密文,易受到插入,重放,字典攻击。CBCmode:(cipherblockchaining加密块链接),在加密之前,需要将当前的明文块与一个IV字段值进行异或。3DES:密钥长度放大3度,长度为168bit基于DES算法。工作方式有2种:EDE(encrypt-decrypt-encrypt)和三次加密也是3DES。AES(advancedencryptionstandard):高级加密标准,密钥和块长度能够以32bit为单位增长。软件和硬件运行效率非常高,广泛用于对无线和语音的加密。RC4:流加密算法,软件运行效率非常高,广泛用于SSL加密,已大部分被AES替代。RSA:由三个人开发,公共密钥加密系统,长度通常在512-2048bit,是基于大素数因式分解的数学难题。RSA可用于加密密钥,实现密钥交换;加密散列,完成数字签名,实现源认证和不可否认性。散列函数:md5(messagedigest5)和SHA(securehashalgorithm)。MD5:长度为128bit,SHA-1:长度为160bit。HMAC(hashmessageauthenticationcode),增加一个KEY与数据一同做HASH,需要双方预先知道这个KEY,在保障数据完整性的基础上实现了源认证,消除了HASH易受中间人攻击的问题。二、VPN原理1、VPN:(work),将不同地域间的网络虚拟的连接起来,实现互通和访问。VPN需要解决的问题:数据的安全和带宽保障。VPN技术的分类:layer2VPN,增加一个二层的传输头部,常用有ATM和FrameRelay,能够封装各类三层数据流量,有很好QOS保障;layer3VPN,常用有GRE,MPLSVPN,IPSECVPN,增加一个三层传输头部。两种VPN模式:L2L-sitetosit