ebook33-7

Size: px

Start display at page:

Download "ebook33-7"

半封
5 years ago
Views:

1 7 Internet I P S e c I P S A S A I n t e r n e t I K E S A I K I P S e c S A S A D B R F C 2409 I K E I n t e r n e t I S A K M P R F C 2408 I K E O a k l e y S K E M E I K E O a k l e y Hilarie Orman O a k l e y I K E O a k l e y O a k l e y I K E O a k l e y I K E O a k l e y S K E M E Hugo Krawczyk S K E M E S K E M E D i ff i e - H e l l m a n P F S I K E S K E M E P F S I S A K M P N S A N S N S A I S A K M P I S A K M P O a k l e y S K E M E I K E I K I S A K M P O a k l e y S K E M E I K E O a k l e y S K E M E I K E I S A K M P 7.1 ISAKMP I S A K M P I S A K M P

2 64 I n t e r n e t I P I S A K M P I S A K M I S A K M P Cookie Cookie ID 7-1 ISAKMP I D I S A K M P I S A K M P I S A K M P / I S A K M P I S A K M I K E I S A K M P I S A K M P 13 I S A K M P I S A K M P 0 X. 509 C R L P K C S # ISAKMP I S A K M P n o n c e

3 7 Internet 65 n o n c e I D I D i ff i e - H e l l m a n ISAKMP SA I P S e c S A / C A S T / I A N A I n t e r n e t V P I 16 V P I A / F 4 2

4 66 A / F = 1 4 A / F = 0 A / F = 1 4 A / F = I S A K M P 7-4 I S A K M P 0 I S A K M P U D 500 / U D P 500 I A N A I S A K M P I S A K M P U D 500 Cookie Cookie KE ISAKMP ID Nonce 0 KE KE KE 0 0 Nonce Nonce Nonce 7-4 ISAKMP I S A K M P I P S e c 1 I S A K M P S A S A

5 7 Internet 67 IPSec SA S S A 2 I S A K M P 2 ISAKMP SA 2 I S A K M P ISAKMP SA 2 2 I K E I S A K M P 1 2 I S A K M P 8 I S A K M P I S A K M P K a r n S i m p s o n P h o t u r i s I P I S A K M P D i ff i e - H e l l m a n I S A K M P I S A K M P 0

6 68 I S A K M P S A S P I IPSec SA S A I S A K M P ISAKMP SA ISAKMP SA ISAKMP SA A B C I S A K M P Cookie Cookie D O I KE ISAKMP D O I I S A K M P ID D O I D O I S A K M P S A R F C 2407 I P S e c D O I Nonce 0 KE D O I 1 S A KE KE D O I 0 0 Nonce S A Nonce Nonce S P I S P I S A 7-5

7 7 Internet 69 S A O R A N D A N D O R I P S e c A H E S P I P S e c A H E S P I P 11 [AH-1 OR ESP-2 OR (ESP-3 AND PCP-3)] - n O R 3 D E S D E S S H A M D 5 L Z S D e f a l t e P C P 1 A H 1 H M A C - S H A 2 H M A C - M D 5 2 E S P 1 H M A C - S H A 3 D E S 2 H M A C - M D 5 3 D E S 3 H M A C - S H A D E S 4 H M A C - M D 5 D E S 3 E S P 1 H M A C - S H A 3 D E S 2 H M A C - M D 5 3 D E S 3 H M A C - S H A D E S 4 H M A C - M D 5 D E S 3 P C P 1 L Z S 2 D e f l a t e (AH-HMAC-SHA OR AH-HMAC-MD5) OR (3DES w/hmac-sha OR 3DES w/hmac- MD5 OR DES w/hmac-sha OR DES w/hmac-md5) OR [(3DES w/hmac-sha OR 3DES w/hmac-md5 OR DES w/hmac-sha OR DES w/hmac-md5) AND (PCP-LZS OR PCP- D E F L AT E ) ] )

8 IKE I S A K M P I P S e c I K E I n t e r n e t I K E I S A K M P I K E I K E I P S e c IPSec SA I K E I P S e c R I P v 2 O S P F I K E I S A K M P I K E I P S e c I S A K M P I K E D O I I P S e c Internet IP I K E D O I R I P v 2 O S P F D O D O I I K E 2 I K E D O I I K E I K E I S A K M P I S A K M P I K E 2 I K E I K I P S e c I K E R I P v 2 O S P F I K E I K E D i ff i e - H e l l m a n 1 IKE SA I K E I K E IKE SA 1 IKE SA I K E I K E D i ff i e - H e l l m a n ISAKMP SA

9 7 Internet 71 IKE SA IKE SA H M A C I K E H M A C P R F I K E P R F H M A C D i ff i e - H e l l m a n D i ff i e - H e l l m a n I K E 2 D i ff i e - H e l l m a n I K E D i ff i e - H e l l m a n M O D P G [ P ] E C P G [ 2 N ] E C 2 N I K E 1) M O D P 768 2) M O D P ) E C 2 N 155 4) E C 2 N 185 5) M O D P 1680 New Group Exchange I K E I K E 1) 2) D E S 3) R i v e s t - S h a m i r- A d e l m a n 4) n o n c e IKE SA I K E I K E I K E S K E Y I D

10 72 S K E Y I D _ d I P S e c S K E Y I D _ a I K E S K E Y I D _ e I K E S K E Y I D S K E Y I D n o n c e S K E Y I D C K Y- I n o n c e N i C K Y- R N r n o n c e D i ff i e - H e l l m a n D i ff i e - H e l l m a g x y S K E Y I D S K E Y I D S K E Y I D = P R F ( Ni Nr) SKEYID=PRF(Ni Nr, g x y ) n o n c e S K E Y I D = P R F ( (Ni Nr), CKY-I CKY- R ) P R F H M A C S K E Y I D S K E Y I D SKEYID_d = PRF(SKEYID, g xy CKY-I CKY-R 0) SKEYID_a = PRF(SKEYID, SKEYID_d g xy CKY-I CKY-R 1) SKEYID_e = PRF(SKEYID, SKEYID_a g xy CKY-I CKY-R 2) S K E Y I D P R F P R F S K E Y I D P R F S K E Y I D _ e H M A C - M D 5 P R F 128 B l o w f i s h 448 S K E Y I D _ e M D 5 B l o w f i s h S K E Y I D _ e K 448 K = K1 K2 K3 K1 = PRF(SKEYID, 0) K2 = PRF(SKEYID, K1, 1) K3 = PRF(SKEYID, K2, 2) 1

11 7 Internet 73 HASH-I=PRF(SKEYID, g i g r CKY-I CKY-R SA ID-I) HASH-R=PRF(SKEYID, g r g i CKY-R CKY-I SA ID-R) g i g r D i ff i e - H e l l m a n S A S I D - I I D - R S A 1 Tr i p l e - D E S D E Tr i p l e - D E S D E S D E S S A IKE SA IPSec SA S A IKE SA 1 2 IKE SA 1 2 I S A K M P IKE SADB S A S K E Y I D _ e I K E C B C I V I V D i ff i e - H e l l m a n I V I IKE SA D i ff i e - H e l l m a n n o n c e I S A K M P SA KE Nonce IDi SA KE Nonce IDr

12 74 IKE SA I S A K M P I S A K M P I S A K M P D i ff i e - H e l l m a n n o n c e D i ff i e - H e l l m a n S K E Y I D S K E Y I D _ e S K E Y I D _ e I D I P I P 1 D S S R S A I K E SA KE Ni [, Cert_Req] IDi [Cert, ] SA KE Nr [, Cert_Req] IDr [Cert, ] H A S H - I H A S H - R C e r t _ R e q C e r t I K E n o n c e I P S e c I K E

13 7 Internet 75 I K E IPSec SA n o n c e n o n c n o n c e D S S R S A D i ff i e - H e l l m a n E l - G a m a l SA SA KE {IDi}pub_r, {Ni}pub_r KE {IDr}pub_I, {Nr}pub_r {} p u b _ x x I D I D L D A P n o n c e I D n o n c e n o n c e I D I

14 76 n o n c e I K E SA SA {Ni}pub_r, {KE}ke_i, {IDi}ke_i [, {cert}ke_i] {Nr}pub_i, {KE}ke_r, {Idr}ke_r [, {cert}ke_r] {} k e _ x N e _ x IKE SA S A N e _ i = P R F ( N i, C K Y- I ) N e _ r = P R F ( N r, C K Y- R ) n o n c e I K E D i ff i e - H e l l m a n n o n c e D i ff i e - H e l l m a n n o n c e n o n c e I K E D i ff i e - H e l l m a n n o n c e D i ff i e - H e l l m a n n o n c e n o n c e n o n c e

15 7 Internet 77 IKE SA IKE SA 3 D E S S H A R S A C A I K E IKE SA I P S e c S A S A IKE SA IKE SA I P S e c IKE SA P R F H M A C IKE SA S K E Y I D _ a S K E Y I D _ e I K E I S A K M P I D I D I S A K M P IKE SA I V I K E I D I V 1 I V 2 I D I V I V 1 I V I V I V IPSec SA I V n o n c e D i ff i e - H e l l m a n IKE SA S K E Y I D _ d IPSec SA n o n c e IPSec SA S P I S A S A S P I S A I P S e c IKE SA S K E Y I D _ d S K E Y I D _ IPSec SA

16 78 P F S P F P F S D i ff i e - H e l l m a n I P S e c D i ff i e - H e l l m a n D i ff i e - H e l l m a n S A S A n o n c e D i ff i e - H e l l m a n P F S 1 S A IPSec DOI ISAKMP ID D O I 2 I P S e c S A I P S e c / Te l n e t We b I D I K E I D S A S A I D S A IPSec SADB IPSec SA S A I D 2 Te l n e t S A 2 S A D B I P S e c S A n o n c e I D S A S A n o n c e I D S A IPSec SADB

17 1 SA Ni [, KE] [, IDci, IDcr] 7 Internet 79 2 SA Nr [, KE] [, IDci, IDcr] HASH1 = PRF(SKEYID_a,M-ID SA Ni[ KE][IDci IDcr]) HASH2 = PRF(SKEYID_a,M-ID Ni SA Nr[ KE][IDci IDcr]) HASH3 = PRF(SKEYID_a,0 M-ID Ni Nr) IPSec SA S A D B P F S D i ff i e - H e l l m a n I P S e c I P S e c I K E I P S e c I K E I P S e c I K E T C P T C U D P I K E I S A K M P S A D B S A S A I P S e c IKE SA SA IKE SA IKE I K E S A 1 IKE SA 2 IPSec SA I K E IKE SA D i ff i e - H e l l m a n I K E I K E I K E U D P

18 80 S A IKE SA IPSec SA I D I V P R F S K E Y I D _ a I D I K E I K D i ff i e - H e l l m a n IKE SA 1 2 IKE SA S K E Y I D _ e S K E Y I D _ a S A 7.3 IPSec DOI I K E D O I D O D O I ISAKMP SA I K E I K IPSec DOI ISAKMP ID IPSec SA IPSec DOI IPSec SA A H E S P I S A K M P D O I D O I P S e c A H E S P 1 I K E D O I I K E IPSec DOI A H E S P A H E S P A H IPSec DOI S A A H A H _ M D 5

19 7 Internet 81 A H _ S H A H M A C _ M D 5 H M A C _ S H A S H A A H A H S H A H M A C _ S H A M D 5 H M A C _ M D K P D K A H R F C 1827 IPSec DOI I P S e c A H E S P R F C 1828 M D 5 S H A M A C 7.4 I S A K M P I K E IPSec DOI I K E I P S e c

PowerPoint Presentation

PowerPoint Presentation GM/T 0022-2014 IPSec VPN 技术规范宣讲人罗俊 2014 年 7 月 24 日目录标准的适用范围和作用标准的编制思路和技术路线标准的主要内容解读标准应用时的注意事项应用举例目录标准的适用范围和作用标准的编制思路和技术路线标准的主要内容解读标准应用时的注意事项应用举例标准的适用范围和作用适用范围对 IPSec VPN 的技术协议产品管理和检测进行了规定