《计算机网络安全原理》第6章 IP与路由安全.pptx

声 明本PPT是电子工业出版社出版的教材《计算机网络安全原理》配套教学PPT（部分内容的深度和广度在教材的基础上有所扩展），作者：吴礼发本PPT可能直接或间接采用了网上资源、公开学术报告中的部分PPT页面、图片、文字，引用时我们力求在该PPT的备注栏或标题栏中注明出处，如果有疏漏之处，敬请谅解。同时对被引用资源或报告的作者表示诚挚的谢意！本PPT可免费使用、修改，使用时请保留此页。第 六 章IP与路由安全内容提纲 IPv4协议及其安全性分析1IPsec2 IPv6协议及其安全性分析3路由安全4IPv4IPv4安全性分析IPv4协议没有认证机制：没有消息源认证：源地址假冒没有完整性认证：篡改IPv4安全性分析IPv4协议没有认证机制：没有消息源认证：源地址假冒没有完整性认证：篡改IPv4安全性分析IPv4协议没有认证机制：没有消息源认证：源地址假冒没有完整性认证：篡改IPv4安全性分析IPv4协议没有认证机制：没有消息源认证：源地址假冒没有完整性认证：篡改IPv4没有加密机制无机密性：监听应用数据泄露拓扑等信息：网络侦察无带宽控制：DDoS攻击内容提纲 IPv4协议及其安全性分析1IPsec2 IPv6协议及其安全性分析3路由安全4IPsecIPsec (IP Security)端到端的确保 IP 通信安全：认证、加密及密钥管理为IPv6制定（必选），支持IPv4（可选）IPsecIPSec安全体系IPsec 标准内容RFC 4301 AH协议 ESP协议 加密算法验证算法RFC 4303RFC 4302DOI密钥管理（IKE协议）RFC 5996IPsecIPsec 标准内容IPsecIPsec 标准内容IPsec通过允许系统选择所需的安全协议（AH协议或ESP协议），决定服务所使用的加密或认证算法，提供任何服务需要的密钥来提供IP级的安全服务。RFC4301中列出的安全服务包括：访问控制、无连接完整性、数据源认证、拒绝重放包（部分顺序完整性格式）、保密性（加密）以及限制流量保密性一、IPsec安全策略安全策略IPsec操作的基础是应用于每一个从源端到目的端传输的IP包上的安全策略。IPsec安全策略主要由两个交互的数据库，安全关联数据库（Security Association Database, SAD）和安全策略数据库（Security Policy Database, SPD)来确定安全策略密钥交换IPsec操作的基础是应用于每一个从源端到目的端传输的IP包上的安全策略。 IKEv2 IKEv2 IKE SASPDSPDIPsec SA对安全策略数据库安全策略数据库IPsecv3IPsecv3ESP保护数据安全关联数据库安全关联数据库SADSADIPsec安全体系安全关联SA安全关联（Security Association, SA）一个SA：发送端和接收端之间的单向逻辑连接，为数据流提供安全服务；经过同一SA的数据流会得到相同的安全服务，如AH或ESPSA对：双向安全数据交换同时支持AH、ESP且双向：需两对SA安全关联SA一个SA由以下参数确定安全参数索引（Security Parameters Index, SPI）：32位，，接收方根据SPI选择合适的SA处理接收到的数据包IP目的地址：仅允许单播地址安全协议标识（Security Protocol Identifier）：AH / ESP安全关联SASAD定义了所有SA相关的参数，每个SA：安全参数索引序列号计算器序列计数器溢出反重放窗口AH信息ESP信息安全关联的生存期IPsec协议模式：：隧道、传输或通配符最大传输单元路径（path MTU）安全关联SASAD定义了所有SA相关的参数，每个SA：安全关联SA不同SA可以用多种方式组合以获得理想的用户配置。此外，IPsec对需要IPsec保护的流量和不需要IPsec保护的流量提供多种粒度的控制安全策略SP安全策略（Security Policy, SP）指定对IP数据包提供何种保护，并以何种方式实施保护主要根据源IP、目的IP、入数据还是出数据等来标识用户设定自己的安全策略的粒度：IP地址，传输层协议，TCP/UDP端口号操作：Discard、Bypass、Protect安全策略SPSPD中的每一条SP包括：本地IP远程IP下一层协议名称本地或远程端口IP包处理过程 外向IP包（来自TCP或UDP）基于SAD和SPD，IPsec对IP包的处理无匹配查询SPD发现匹配丢弃保护确定策略通过查询SAD匹配无匹配处理(AH/ESP)网络密钥交换丢弃报文通过IP传输报文外向(Outboud) IP包处理过程IP包处理过程基于SAD和SPD，IPsec对IP包的处理将报文传输到上层（如TCP、UDP）处理(AH/