第10章使用IPSec配置網(wǎng)絡(luò)平安IPSec介紹IPSec實(shí)現(xiàn)為效勞器的平安配置TCP／IP網(wǎng)絡(luò)協(xié)議平安疑難解答10.1IPSec介紹標(biāo)識(shí)網(wǎng)絡(luò)中的平安問(wèn)題檢查網(wǎng)絡(luò)中IPSec的作用10.1.1標(biāo)識(shí)網(wǎng)絡(luò)中的平安問(wèn)題最常見(jiàn)的網(wǎng)絡(luò)攻擊網(wǎng)絡(luò)監(jiān)視:是應(yīng)用程序或設(shè)備數(shù)據(jù)修改密碼電子地址欺騙:專門(mén)程序構(gòu)造來(lái)自可信有效IP數(shù)據(jù)包應(yīng)用層:利用漏洞攻擊應(yīng)用程序效勞器中間人:在兩臺(tái)PC通信之間監(jiān)視拒絕效勞

TCP層IPSec驅(qū)動(dòng)程序TCP層IPSec驅(qū)動(dòng)程序IPSec驅(qū)動(dòng)程序IPSec驅(qū)動(dòng)程序10.1.2檢查網(wǎng)絡(luò)中IPSec的作用ActiveDirectory加密的IP包IPSec

的策略

IPSec

的策略安全關(guān)聯(lián)協(xié)商10.2IPSec實(shí)現(xiàn)IPSec組件部署IPSec為計(jì)算機(jī)間的平安通信配置IPSec為網(wǎng)絡(luò)間的平安通信配置IPSec自定義IPSec策略選擇IPSec加密方案測(cè)試IPSec策略指派優(yōu)化IPSec性能10.2.1IPSec組件

IPSec策略代理效勞Internet密鑰交換(IKE)RFC2409中定義的IKE是一項(xiàng)協(xié)議。IPSec驅(qū)動(dòng)程序10.2.2部署IPSec

10.2.3為計(jì)算機(jī)間的平安通信配置IPSec使用IPSec的傳輸模式在系統(tǒng)間強(qiáng)制使用IPSec策略支持Windows2003提供“端到端〞的平安傳輸模式是默認(rèn)的IPSec模式

計(jì)算機(jī)之間的通信平安Windows2000ProfessionalWindows2003Server10.2.4為網(wǎng)絡(luò)間的平安通信配置IPSec使用IPSec的隧道模式在Internet通信中強(qiáng)制使用IPSec策略支持主要的遺留程序支持“點(diǎn)到點(diǎn)〞的平安在兩個(gè)路由器上指派隧道終結(jié)點(diǎn)基于Windows2000的效勞器/路由器基于Windows2000的效勞器/路由器網(wǎng)絡(luò)間的平安通信路由器路由器規(guī)那么元素隧道終結(jié)點(diǎn)網(wǎng)絡(luò)類型驗(yàn)證方法IP篩選器列表篩選器操作默認(rèn)響應(yīng)規(guī)那么10.2.5自定義IPSec策略規(guī)則2篩選器1篩選器2篩選器操作篩選器操作IPSec策略規(guī)則1篩選器1篩選器2篩選器操作篩選器操作10.2.6選擇IPSec加密方案選擇身份驗(yàn)證加密方案身份驗(yàn)證加密SHA:160位MD5:128位數(shù)據(jù)包加密56位DES(低):電子郵件中40位DES3DES(高):3個(gè)56位密鑰10.2.7測(cè)試IPSec策略指派使用Ping命令來(lái)驗(yàn)證網(wǎng)絡(luò)連接是否有效:NEGOTIATINGIPSECURITY響應(yīng)建立平安通道問(wèn)題使用“IPSec監(jiān)視器〞來(lái)驗(yàn)證策略是否已被指派10.2.8優(yōu)化IPSec性能在網(wǎng)絡(luò)內(nèi)實(shí)現(xiàn)IPSec之前，應(yīng)考慮以下性能問(wèn)題：要求的平安等級(jí)計(jì)算機(jī)的平安需求IPSec策略篩選器項(xiàng)的數(shù)量10.3為效勞器的平安配置TCP／IP10.4網(wǎng)絡(luò)協(xié)議平安疑難解答復(fù)查系統(tǒng)日志和平安日志中的錯(cuò)誤消息錯(cuò)

誤確認(rèn)在計(jì)算機(jī)間已建立SA錯(cuò)誤確保策略已被指派到兩臺(tái)計(jì)算機(jī)

確保兩個(gè)策略是相互兼容的

確保所有已做的改