IPsec：IP層協(xié)議安全結(jié)構(gòu)

　　IPsec 在 IP 層提供安全服務(wù)，它使系統(tǒng)能按需選擇安全協(xié)議，決定服務(wù)所使用的算法及放置需求服務(wù)所需密鑰到相應(yīng)位置。 IPsec 用來(lái)保護(hù)一條或多條主機(jī)與主機(jī)間、安全網(wǎng)關(guān)與安全網(wǎng)關(guān)間、安全網(wǎng)關(guān)與主機(jī)間的路徑。

　　IPsec 能提供的安全服務(wù)集包括訪問(wèn)控制、無(wú)連接的完整性、數(shù)據(jù)源認(rèn)證、拒絕重發(fā)包（部分序列完整性形式）、保密性和有限傳輸流保密性。因?yàn)檫@些服務(wù)均在 IP 層提供，所以任何高層協(xié)議均能使用它們，例如 TCP 、 UDP 、ICMP 、 BGP 等等。

　　這些目標(biāo)是通過(guò)使用兩大傳輸安全協(xié)議，頭部認(rèn)證（AH） 和封裝安全負(fù)載 （ESP），以及密鑰管理程序和協(xié)議的使用來(lái)完成的。所需的 IPsec 協(xié)議集內(nèi)容及其使用的方式是由用戶、應(yīng)用程序、和/或站點(diǎn)、組織對(duì)安全和系統(tǒng)的需求來(lái)決定。

　　當(dāng)正確的實(shí)現(xiàn)、使用這些機(jī)制時(shí)，它們不應(yīng)該對(duì)不使用這些安全機(jī)制保護(hù)傳輸?shù)挠脩簟⒅鳈C(jī)和其他英特網(wǎng)部分產(chǎn)生負(fù)面的影響。這些機(jī)制也被設(shè)計(jì)成算法獨(dú)立的。這種模塊性允許選擇不同的算法集而不影響其他部分的實(shí)現(xiàn)。例如：如果需要，不同的用戶通訊可以采用不同的算法集。

　　定義一個(gè)標(biāo)準(zhǔn)的默認(rèn)算法集可以使得全球因英特網(wǎng)更容易協(xié)同工作。這些算法輔以 IPsec 傳輸保護(hù)和密鑰管理協(xié)議的使用為系統(tǒng)和應(yīng)用開(kāi)發(fā)者部署高質(zhì)量的因特網(wǎng)層的加密的安全技術(shù)提供了途徑。

　　IPSec 不是特殊的加密算法或認(rèn)證算法，也沒(méi)有在它的數(shù)據(jù)結(jié)構(gòu)中指定一種特殊的加密算法或認(rèn)證算法，它只是一個(gè)開(kāi)放的結(jié)構(gòu)，定義在IP數(shù)據(jù)包格式中，為各種的數(shù)據(jù)加密或認(rèn)證的實(shí)現(xiàn)提供了數(shù)據(jù)結(jié)構(gòu)，為這些算法的實(shí)現(xiàn)提供了統(tǒng)一的體系結(jié)構(gòu)，因此，不同的加密算法都可以利用IPSec定義的體系結(jié)構(gòu)在網(wǎng)絡(luò)數(shù)據(jù)傳輸過(guò)程中實(shí)施

　　Vista系統(tǒng)常用英文專業(yè)詞語(yǔ)

　　互聯(lián)網(wǎng)協(xié)議安全（Internet Protocol Security），一個(gè)標(biāo)準(zhǔn)機(jī)制，用于在網(wǎng)絡(luò)層面上為穿越IP網(wǎng)絡(luò)的數(shù)據(jù)包提供認(rèn)證，完整性，以及機(jī)密性。

　　IPsec協(xié)議工作在OSI 模型的第三層，使其在單獨(dú)使用時(shí)適于保護(hù)基于TCP或UDP的協(xié)議（如 安全套接子層（SSL）就不能保護(hù)UDP層的通信流）。這就意味著，與傳輸層或更高層的協(xié)議相比，IPsec協(xié)議必須處理可靠性和分片的問(wèn)題，這同時(shí)也增加了它的復(fù)雜性和處理開(kāi)銷。相對(duì)而言，SSL/TLS依靠更高層的TCP（OSI的第四層）來(lái)管理可靠性和分片。

　　Windows設(shè)置IPsec使用說(shuō)明

　　1. Windows 2003的IPsec（PolicyAgent服務(wù)）和RemoteAccess服務(wù)沖突，

　　RemoteAccess服務(wù)和SharedAccess服務(wù)沖突。

　　通過(guò)修改注冊(cè)表開(kāi)啟IP轉(zhuǎn)發(fā)功能，可在SharedAccess服務(wù)開(kāi)啟狀態(tài)下工作，

　　這時(shí)候不需開(kāi)啟RemoteAccess服務(wù)，

　　D：\》reg.exe query “HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters” /v “

　　IPEnableRouter”

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

　　IPEnableRouter REG_DWORD 0x1

　　D：\》

　　但是如果某一接口使用了IPsec，則必須停止SharedAccess服務(wù)，IP轉(zhuǎn)發(fā)功能才生效。

　　2. 創(chuàng)建IPsec策略的精髓是創(chuàng)建兩條IPsec篩選器，兩個(gè)篩選器都不要做鏡像，

　　一條IPSecTunnelIn，隧道終結(jié)點(diǎn)為對(duì)方終結(jié)點(diǎn)，

　　一條IPsecTunnelOut，隧道終結(jié)點(diǎn)為己方終結(jié)點(diǎn)，

　　3. Windows 2003配置調(diào)試IPsec都可以用netsh工具完成。

　　C：\WIN2K3\system32》netsh

　　netsh》ipsec dynamic

　　netsh ipsec dynamic》show config

　　IPSec 配置參數(shù)

　　---------------

　　IPSecDiagnostics ： 0 ---對(duì)應(yīng)系統(tǒng)日志

　　IKElogging ： 0 ---對(duì)應(yīng)oakley.log

　　StrongCRLCheck ： 1

　　IPSecloginterval ： 3600

　　IPSecexempt ： 3

　　啟動(dòng)模式 ： 許可

　　啟動(dòng)模式免除 ：

　　協(xié)議 源端口 目標(biāo)端口 方向

　　--------- --------- --------- ---------

　　UDP 0 68 入站

　　netsh ipsec dynamic》

　　3.1. 打開(kāi)IKE的Logging（已過(guò)時(shí)）

　　［HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent\Oakley］

　　“EnableLogging”=dword:00000001

　　然后重新啟動(dòng)機(jī)器，在C：\WINDOWS\Debug目錄下發(fā)現(xiàn)oakley.log。

　　ikelogging和 strongcrlcheck將被立即激活；所有其它屬性將在下次重啟動(dòng)后生效。

　　3.2. 設(shè)置到對(duì)方內(nèi)網(wǎng)的路由

　　3.3. 運(yùn)行secpol.msc配置IPsec

　　3.4. 運(yùn)用netsh察看ipsec

　　netsh ipsec dynamic》show mmpolicy all

　　IKE MM 策略名稱 ： 6

　　IKE 軟 SA 生存時(shí)間 ： 86400 秒

　　Encryption Integrity DH Lifetime （Kb:secs） QM Limit Per MM

　　---------- --------- ---- ------------------ ---------------

　　3DES MD5 2 0:86400 0

　　netsh ipsec dynamic》show qmpolicy all

　　QM 協(xié)商策略名稱 ： test

　　安全方法 生存時(shí)間 （Kb:secs） PFS DH 組

　　------------------------- --------------------- ------------

　　ESP［3DES，MD5］ 1048576:3600 主模式已派生

　　netsh ipsec dynamic》show mmfilter all

　　主模式篩選器： 普通

　　-------------------------------------------------------------------------------

　　篩選器名稱 ： 15

　　連接類型 ： 所有

　　源地址 ： 《我的 IP 地址》 （255.255.255.255）

　　目標(biāo)地址 ： 10.47.159.251 （255.255.255.255）

　　身份驗(yàn)證方法 ：

　　預(yù)共享密鑰

　　安全方法 ： 1

　　3DES/MD5/DH2/86400/QMlimit=0

　　------------------------------------------

　　-------------------------------------

　　篩選器名稱 ： 14

　　連接類型 ： LAN

　　源地址 ： 《我的 IP 地址》 （255.255.255.255）

　　目標(biāo)地址 ： 10.47.159.66 （255.255.255.255）

　　身份驗(yàn)證方法 ：

　　預(yù)共享密鑰

　　安全方法 ： 1

　　3DES/MD5/DH2/86400/QMlimit=0

　　2 普通篩選器

　　netsh ipsec dynamic》show qmfilter all

　　快速模式篩選器（隧道）： 普通

　　-------------------------------------------------------------------------------

　　篩選器名稱 ： 14

　　連接類型 ： LAN

　　源地址 ： 192.168.22.0 （255.255.255.0 ）

　　目標(biāo)地址 ： 172.16.159.0 （255.255.255.0 ）

　　隧道源 ： 《任何 IP 地址》

　　隧道目標(biāo) ： 10.47.159.66

　　協(xié)議 ： ANY 源端口： 0 目標(biāo)端口： 0

　　已鏡像 ： 否

　　快速模式策略 ： test

　　入站操作 ： 協(xié)商

　　出站操作 ： 協(xié)商

　　-------------------------------------------------------------------------------

　　篩選器名稱 ： 15

　　連接類型 ： 所有

　　源地址 ： 172.16.159.0 （255.255.255.0 ）

　　目標(biāo)地址 ： 192.168.22.0 （255.255.255.0 ）

　　隧道源 ： 《任何 IP 地址》

　　隧道目標(biāo) ： 10.47.159.251

　　協(xié)議 ： ANY 源端口： 0 目標(biāo)端口： 0

　　已鏡像 ： 否

　　快速模式策略 ： test

　　入站操作 ： 協(xié)商

　　出站操作 ： 協(xié)商

　　2 普通篩選器

　　netsh ipsec dynamic》