lecture08-IP安全性

IP目的地址：目前，只允许单播地址；这是该SA 的目标终点的地址，它可以是一个最终用户系统 或一个网络系统如防火墙或路由器。
安全协议标识符：表明是AH还是ESP的SA。
1、安全关联SA(Security Association)
IPSec文档
RFC 2401 2402 2403 2404 2405 2406 2407 2408 2409 2411 2411 2412
内容 IPSec体系结构 AH（Authentication Header）协议 HMAC-MD5-96在AH和ESP中的应用 HMAC-SHA-1-96在AH和ESP中的应用 DES-CBC在ESP中的应用 ESP（Encapsulating Security Payload）协议 IPSec DOI（解释域） ISAKMP协议 IKE（Internet Key Exchange）协议 NULL加密算法及在IPSec中的应用 IPSec文档路线图 OAKLEY协议
SA是用于通信对等方之间对某些要素的一种协 定，如IPSec协议、协议的操作模式（传输、隧 道）、密码算法、密钥、密钥的生存期等。
1、安全关联SA(Security Association)
SA由三个参数唯一确定：
Security Parameters Index(SPI)：安全变量索引。 分配给这个SA的一个位串并且只有本地有效。SPI 在AH和ESP报头中出现，以使得接收系统选择SA 并处理收到的报文。
IPSec是可以在当前的互联网协议（IPv4/6）中增 加的功能，通过增加额外的报头来实现。
IPSec包括三个应用领域：认证、保密、密钥管 理。
IPSec的应用
IPSec提供了在LAN、专用/公用WAN以及 Internet中安全通信的性能：

第3章 Transact-SQL语言
SQL Server实用简明教程(第三版)
第12页
9.2.1 MPLS基本结构

多协议标签交换技术MPLS（MultiProtocol Label Switching）是一种在开放的通信网上利 用标签引导数据高速、高效传输的技术。MPLS 体系结构描述了实现标签交换的机制，这种技术 融合了第二层的分组交换转发技术和第三层的路 由技术。MPLS构建在传统路由协议基础上，继 承了传统路由协议的柔韧强健的特性，可运行在 大多数网络上，包括ATM、FR、以太网，并且支 持高带宽高速率的IP转发。
第3章 Transact-SQL语言
SQL Server实用简明教程(第三版)
第22页
标签的结构图9-3
0 Label 19 22
EXP S
ቤተ መጻሕፍቲ ባይዱ24
TTL
31
SQL Server实用简明教程(第三版)
第3章 Transact-SQL语言
第23页
3. 标签的操作


（1）标签映射 （2）标签的封装 （3）标签分配和分发 （4）标签分配控制方式 （5）标签保持方式 标签保持方式分为自由标签保持方式和保守标签 保持方式两种。

第17页
LDP 标签分发协议LDP（Label Distribution Protocol）是MPLS中的信令控制协议，是控制 LSR之间交换标签与FEC绑定，协调LSR间工作 的一系列规程。 MPLS交换路由器（LSR）对有标记的包或信元 进行交换， 也能支持第三层路由功能，完成Fec 到Lsp的建路。MPLS边缘交换路由器（LER）将 标记加到包上，主要完成连接MPLS域和非MPLS 域以及不同MPLS域的功能，实现FEC划分，并 对业务进行分类、分发标签、剥去标签等，流量 工程，LSP建路发起， Ip包转发。标记交换通路 第18页 SQL Server实用简明教程(第三版) 第3章 Transact-SQL语言

– Ｊｏｌｔ２：
• 原理是发送许多相同的分片包，且这些包的ｏｆｆｓｅｔ值与总 长度之和超出了单个ＩＰ包的长度限制（６５５３６ ｂｙｔｅｓ）。例 如，构造ＩＰ包：分片标志位ＭＦ＝０，说明是最后一个分片， 偏移量为０ｘ１ＦＦＥ，报文总长度２９。于是计算重组后的长度 为（０ｘ１ＦＦＥ＊８） ＋ ２９ ＝ ６５５４９＞６５５３５，溢出。可以在一死 循环中连续发送此包攻击目标主机。ｌｉｎｕｘ在遭受攻击时 每５秒便打印一条信息，ｗｉｎｄｏｗｓ９５、９８系统ＣＰＵ占用便会 达到１００％。
– ｐｉｎｇ ｆｌｏｏｄｉｎｇ：典型的拒绝服务攻击，在某一时 刻多台主机对目标主机使用Ｐｉｎｇ程序，就有可能耗 尽目标主机的网络带宽和处理能力。如果一个网站 一秒钟收到数万个ＩＣＭＰ回应请求报文就可能使它过 度繁忙而无法提供正常的服务。当然可以编制程序 以最快的速度向目标主机发送ＩＣＭＰ回应请求报文， 并且使用伪造的ＩＰ地址。９９年有“ 爱国主义黑客” 发 动全国网民在某一时刻开始ｐｉｎｇ某美国站点，试图 ｐｉｎｇ死远程服务器就是一次典型的ｐｉｎｇ ｆｌｏｏｄｉｎｇ 攻击。
– 盲攻击与非盲攻击：
• 非盲攻击：攻击者和被欺骗的目的主机在同一个网络上，攻击者可以简 单地使用协议分析器（嗅探器）捕获ＴＣＰ报文段，从而获得需要的序列 号。见上述流程。 • 盲攻击：由于攻击者和被欺骗的目标主机不在同一个网络上，攻击者无 法使用嗅探器捕获ＴＣＰ报文段。其攻击步骤与非盲攻击几乎相同，只不 过在步骤三无法使用嗅探器，可以使用ＴＣＰ初始序列号预测技术得到初 始序列号。在步骤五，攻击者Ｘ可以发送第一个数据包，但收不到Ａ的响 应包，较难实现交互。
– 防范ＩＣＭＰ攻击的策略：禁止不必要的ＩＣＭＰ， 严格限 制ＩＣＭＰ报文的作用范围；禁止未经请求就主动提供 的ＩＣＭＰ回应应答数据包；严格限制ＩＣＭＰ重定向报文 的应用范围，它应与某个已存在的特定连接绑定使 用，即如果主机目前没有数据要发送到相应站点， 就不按照收到的重定向报文改变自己的路由表；主 机与其他路由器的全局路由表也不能以重定向报文 为依据修改等。 – 防范ＩＰ源路由欺骗的方法：配置好路由器，使它抛 弃那些由外部网进来的却声称是内部主机的报文； 关闭主机和路由器上的源路由功能。

2、IP VPN的工作过程 （1）IP VPN的网络组成 IP VPN的网络组成如图8-11所示。
图8-11 IP VPN的网络组成
（2）IP VPN工作过程 归纳起来，IP VPN工作过程如下： ①内部网LAN1的发送者发送明文信息到连接公共网络的源VPN设备。 ②源VPN设备首先进行访问控制，确定是否需要对数据进行加密或 让数据直接通过或拒绝通过；对需要加密的IP数据报进行加密，并 附上数字签名以提供数据报鉴别；VPN设备依据所使用的隧道协议， 重新封装加密后的数据。 ③重新封装后的IP数据报通过IP安全隧道在公众网络上传输。 ④当数据报到达目的VPN设备时，首先根据隧道协议数据报被解除 封装，数字签名被核对无误后数据报被解密还原成原明文，然后目 的VPN设备根据明文中的目的地址对内部网LAN2中的主机进行访问 控制，在核对无误后将明文传送给LAV2中的接收者。
3、MPLS VPN （1）MPLS VPN的概念 MPLS VPN是一种基于MPLS技术的IP VPN，是在网络路由和交换设备上应用MPLS 技术，简化核心路由器的路由选择方式，利用结合传统路由技术的标签交换实现的IP 虚拟专用网络。 （2）MPLS VPN的优势 ①通过使用MPLS报头内的校验位或使用LSP流量工程，可为用户VPN业务提供灵活 的和可扩展的QoS。 ②MPLS VPN在IP多媒体网上部署非常灵活，能提供一定安全性保障。 ③对用户而言，不需要额外的设备，节省投资。 ④MPLS VPN也是当今比较成熟的VPN技术，扩展成本低，且管理难度小。 （3）MPLS VPN的适用场合 ①适用于对于服务质量、服务等级划分以及网络资源的利用率、网络可靠性有较高要 求的VPN业务。 ②适合一些对组网灵活性要求高、投资少、易于管理的用户群。 ③适用网络规模较大，应采用全网状连接的客户。