实验报告
（２０15 / ２０1 6 学年第一学期）
课程名称信息安全技术
实验名称防火墙和安全IP实验
实验时间２０1 5年10月21/22/29日指导单位计算机学院/软件学院
指导教师沈苏彬、王光辉
学生姓名□□□班级学号□□□□□
学院(系) □□□□□专业□□□□□□
实验报告
实验报告
四、实验过程
实验一：安全IP实验。在这个实验当中，我（10.20.79.194）是和我们班另一位同学（10.20.79.191）
进行合作的。
(4.1)在还未配置防火墙以及安全IP设置时，使用计算机cmd（命令提示行）当中的ping指令可以测试A与B之间的连通性。
由此可见，连通是没有异常的。因此，可以向下进行实验内容。
(4.2)打开Wireshark软件，通过这个软件抓取ping报文并进行分析。
Ping作为ICMP的一种，是用来检查网络是否通畅或者网络连接速度的命令。Ping也有其固定的格式。报文长度（98bytes）= 以太网头（14bytes）+ IP头（20bytes）+ICMP头（8bytes）+ ICMP 数据内容（56字节）。此处研究的是报文前面的内容。
在数据包当中能解析到的有价值的信息是dst以及src，分别是接送方以及发送方的IP地址。再往前的以太网头里面，也涵盖着双方的MAC地址。红色框体部分是报文内容，未加密时就是明文的字母表。这样对于个人隐私是很不利的。于是我们应该尝试通过安全IP的配置来尽可能保护住自己的隐私。接下来，使用安全配置进行尝试。
(4.3)将我的计算机（命名为A机，IP地址为10.20.79.194）配置本地安全策略。同学的计算机上面（B机，IP为10.20.79.191）配置保持不变。
10.20.79.191（B机-未设置）无法ping到10.20.79.194（A机-IPsec）。
在这种情况下，Wireshark上面无法抓取到ICMP类型的报文。
通过A机也无法ping到B机，cmd显示如下：
可以认为，当A配置了安全IP之后，B以及其它未配置安全IP的电脑就无法通过原来的默认方式连接到A机。
而A机ping到其它电脑使用的是自己的安全IP配置。于是可以认为，配置了安全IP之后，在一定程度上可以防止自己的电脑被攻破。但是访问没有配置安全IP的电脑还需要用未配置安全IP 的协议，这样才不会出现访问不到之类的错误。
(4.4)调试B机和A机同样的设置，于是两台计算机可以互相ping到对方。
当A、B两台计算机都指派相同策略后，这里显示的是从A机ping到B机的cmd显示以及Wireshark软件抓取的数据包。
这里可以分析ESP协议下的报文内含信息。
封装好发送出去的报文是这样的：
然而，分析过后可以得到的是ESP当中报文内容为（7e 29 66 cf），这样的意思是不甚明了的。在Wireshark当中需要在设置当中配置ESP。
这样就可以解析被加密的ESP包了。
ICMP结构的标准格式如下：
于是根据ESP报文格式，对数据进行分析与安全参数索引SPI。（按照链路层报头（默认14字节）→网络层报头（本实验中为20字节）→ESP报头的顺序解析数据。）
于是可以知道，（7e 29 66 cf）是SPI。它是通过SA中的参数在第一次建立VPN通道的时候协商出来的，单向的。后续的流量，通过这个SPI发送给对方的时候，对方只需要查看SADB数据库中的SPI来匹配这个，然后通过这个SPI下的加密参数和策略来进行解密。
之后的报文通过这个SPI可以推测出来。
ESP协议是将需要保护的IP报文或者是IP报文传递的报体封装在自己的“报体数据”当中。传送模式下，ESP是对报文当中的TCP、数据以及ESP报尾进行加密的。
(4.5)将A、B两机都修改“ICMP安全通信策略”，用AH为身份进行验证而不用加密传输数据。安全方法选择MD5。
这时候依然是可以进行ping操作。
在Wireshark抓包后得出的结果如下图所示：
图中阴影部分即为AH报文。AH报文的结构如图所示：
于是分析可以知道，这个地方的“下一个头”的意思是在传输模式下AH保护传输层的包，值可能是6（TCP）、17（UDP）或50（ESP），隧道模式下的值为4。
AH的协议编号是51，AH报文是插在IP报头与IP报体之间的。AH在传送模式和隧道模式下，报文的位置会有所不同。
作为IPsec的其中一个协议，AH报文使用HMAC-MD5或是HMAC-SHA1（此处用的是MD5）算法共享密钥，从而产生相同的验证数据。AH不对报文进行加密，而主要是进行身份的验证，包括尽可能多的IP报头的内容，以及IP报文携带的数据。所以说报文当中可以看到用明文传递的数据。
实验2：防火墙实验。我使用的电脑的IP地址为10.20.66.128（A机），同学计算机的IP地址为10.20.66.133（B机）。
配置计算机的入站规则以及出站规则，可以在一定程度上阻止某些应用接入网络，或是将某个端口禁用以让整个系统更为安全。
(5.1) 在这里，先进行出站规则的配置。出站规则即自己访问外网的规则。可以详细配置到某个应用，某个或某些端口以及某部分IP地址。
比如说，如果设置对于某个IP地址禁止一切访问，那么就应该会出现如下图所示的情景：
此时配置如图：
这样配置的简略的访问控制列表可以画出来：
动作源IP地址源端口号目的IP地址目的端口号说明
禁止* * 10.20.66.133 * 禁止访问
允许* * * * 默认设置
而当我禁用这条规则后，两台计算机是可以联通的：
