华为防火墙IPSec详解与配置实验

华为防火墙IPSec讲解与配置实验

GRE是明文传输，IPSec是加密传输

一.密码学基础——数据加解密

1.常见的加密算法

（1）对称加密

• 加密解密用同一个密钥

（2）非对称加密

• 在加密和解密中使用两个不同的密钥，私钥用来保护数据，公钥由同一系统的人公用，用来检验信息及其发送者的真实性和身份，公钥加密私钥解密，私钥加密公钥解密

（3）哈希散列算法

散列算法：把任意长度的输入变换成固定长度的输出

h=H（M）

常见散列算法有：MD5，SHA-1，SHA-2

hash函数特点：

• 相同输入相同输出

• 不可逆推：不可能从哈希值逆推出原始数据

• 等长输出：不同文件大小加密输出的哈希值大小是一样的

• 雪崩效应：发生任何一点变化，结果都会变得不同

可以通过哈希算法验证数据完整性

IPSec使用的都是对称加密

2.常见的对称加密算法

（1）流加密算法

• RC4（不安全）

（2）分组加密算法

• DES

• 3DES

• AES-128/192/256（最安全）

3.加密算法的优缺点

（1）对称加密算法

优点：加解密速度快

缺点：密钥分发问题

（2）非对称加密算法

优点：密钥的安全性高

缺点：加解密速度较慢

二.IPSec VPN详解

1.IPSec简介

IPSec（Internet协议安全）是一个工业标准网络安全协议栈，为IP网络通信提供透明的安全服务，保护TCP/IP通信免遭窃听和篡改，可以有效抵御网络攻击，同时保持易用性。

IPSec通过在IPSec对等体之间建立双向安全联盟（VPN隧道），形成一个安全互通的IPSec隧道，来实现Internet上数据的安全传输。

2.IPSec架构（协议）

IPSec VPN体系结构主要由AH（Authentication Header）、ESP（Encapsulating Security Payload）和IKE（Internet Key Exchange）协议套件组成。通过AH和ESP这两个安全协议来实现IP数据报文的安全传送。

（1）AH协议：

AH认证报头

主要提供的功能有数据源验证、数据完整性校验和防报文重放功能。然而，AH并不加密所保护的数据报文，仅支持认证功能。

（2）ESP协议：

ESP封装安全有效载荷协议

提供AH协议的所有功能外（但其数据完整性校验不包括IP头）࿰