网络安全实验3 IPSec-IP安全协议

【实验目的】

了解 IPSec 主要协议，理解 IPSec 工作原理，并掌握在Windows 环境下利用 IPSec 在两台主机间建立安全隧道的方法。

【实验原理】

IPsec通过让系统选择所需的安全协议，决定服务中使用的算法和为请求服务提供任何加密密钥来实现IP级的安全服务。有两种协议可以用来提供安全性：一个是使用AH协议报头指定的认证协议；另一个是由用于该协议的包格式指定的加密/认证联合协议ESP。它们提供的服务如下：

1. 访问控制；
2. 无连接完整性；
3. 数据源认证；
4. 拒绝重放包；
5. 保密性（加密）；
6. 受限制的流量保密性

下表描述了AH和ESP提供的各种服务。对于ESP而言，有两种情况：带认证选项和不带认证选项。AH和ESP都是访问控制的工具，它们都基于密钥分发以及与这些安全协议相关的流管理。

【实验内容】

本次实验为两人组队实验，主机A为我的主机，主机B为队友的主机。使用ipconfig查看两人主机的IP（截图以主机A为例），可以得到主机A的IP为172.16.0.64，主机B的IP为172.16.0.65。

一．IPsec虚拟专用网络的设置

1. 进入IPsec配置界面

（1）主机A、B通过“开始”｜“程序”｜“管理工具”｜“本地安全策略”打开IPSec相关配置界面。

（2）在默认情况下IPsec的安全策略处于没有启动状态，必须进行指定，IPsec才能发挥作用。IPsec包含以下3个默认策略，如下图所示。

1. 安全服务器：对所有 IP 通讯总是使用 Kerberos 信任请求安全。不允许与不被信任的客户端的不安全通讯。这个策略用于必须采用安全通道进行通信的计算机。
2. 客户端：正常通信，默认情况下不使用IPSec。如果通信对方请求IPSec安全通信，则可以建立IPSec虚拟专用隧道。只有与服务器的请求协议和端口通信是安全的。
3. 服务器：默认情况下，对所有IP通信总是使用Kerberos信任请求安全。允许与不响应请求的客户端的不安全通信。

（3）以上策略可以在单台计算机上进行指派，也可以在组策略上批量指派，为了达到通过协商后双方可以通信的目的，通信双方都需要设置同样的策略并加以指派。

2. 定制IPSec安全策略

（1）双击“安全服务器(需要安全)”项，进入“安全服务器属性”页，可以看到在“规则”页签中已经存在3个“IP安全规则”，单击“添加”按钮，进入向导添加新安全规则。