当前位置：文档之家 › 如何使用 IPSec 阻止特定网络协议和端口

如何使用 IPSec 阻止特定网络协议和端口

  • 格式：doc
  • 大小：73.50 KB
  • 文档页数：13

如何使用 IPSec 阻止特定网络协议和端口概要ipSec首先需要指出的是，IPSec和TCP/IP筛选是不同的东西，大家不要混淆了。

TCP/IP筛选的功能十分有限，远不如IPSec灵活和强大。

下面就说说如何在命令行下控制IPSec。

XP系统用ipseccmd，2000下用ipsecpol。

遗憾的是，它们都不是系统自带的。

ipseccmd 在xp系统安装盘的 SUPPORT\TOOLS\SUPPORT.CAB 中，ipsecpol在2000 Resource Kit里。

而且，要使用ipsecpol还必须带上另外两个文件：ipsecutil.dll和text2pol.dll。

三个文件一共119KB。

IPSec可以通过组策略来控制，但我找遍MSDN，也没有找到相应的安全模板的语法。

已经配置好的IPSec策略也不能被导出为模板。

所以，组策略这条路走不通。

IPSec的设置保存在注册表中(HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local)，理论上可以通过修改注册表来配置IPSec。

但很多信息以二进制形式存放，读取和修改都很困难。

相比之下，上传命令行工具更方便。

关于ipsecpol和ipseccmd的资料，网上可以找到很多，因此本文就不细说了，只是列举一些实用的例子。

在设置IPSec策略方面，ipseccmd命令的语法和ipsecpol几乎完全一样，所以只以ipsecpol 为例：1，防御rpc-dcom攻击ipsecpol -p myfirewall -r rpc-dcom -f *+0:135:tcp *+0:135:udp *+0:137:udp*+0:138:udp *+0:139:tcp *+0:445:tcp *+0:445:udp -n BLOCK -w reg -x这条命令关闭了本地主机的TCP135,139,445和udp135,137,138,445端口。

具体含义如下：-p myfirewall 指定策略名为myfirewall-r rpc-dcom 指定规则名为rpc-dcom-f ...... 建立7个筛选器。

*表示任何地址(源)；0表示本机地址(目标)；+表示镜像(双向)筛选。

具体语法见ipsecpol -?-n BLOCK 指定筛选x作是"阻塞"。

注重，BLOCK必须是大写。

-w reg 将配置写入注册表，重启后仍有效。

-x 马上激活该策略。

2，防止被pingipsecpol -p myfirewall -r antiping -f *+0::icmp -n BLOCK -w reg -x假如名为myfirewall的策略已存在，则antiping规则将添加至其中。

注重，该规则同时也阻止了该主机ping别人。

3，对后门进行IP限制假设你在某主机上安装了DameWare Mini Remote Control。

为了保护它不被别人暴破密码或溢出，应该限制对其服务端口6129的访问。

ipsecpol -p myfw -r dwmrc_block_all -f *+0:6129:tcp -n BLOCK -w regipsecpol -p myfw -r dwmrc_pass_me -f 123.45.67.89+0:6129:tcp -n PASS -w reg -x 这样就只有123.45.67.89可以访问该主机的6129端口了。

假如你是动态IP，应该根据IP分配的范围设置规则。

比如：ipsecpol -p myfw -r dwmrc_block_all -f *+0:6129:tcp -n BLOCK -w regipsecpol -p myfw -r dwmrc_pass_me -f 123.45.67.*+0:6129:tcp -n PASS -w reg -x 这样就答应123.45.67.1至123.45.67.254的IP访问6129端口。

在写规则的时候，应该非凡小心，不要把自己也阻塞了。

假如你不确定某个规则的效果是否和预想的一样，可以先用计划任务"留下后路"。

例如：c:\>net start scheduleTask Scheduler 服务正在启动 ..Task Scheduler 服务已经启动成功。

c:\>time /t12:34c:\>at 12:39 ipsecpol -p myfw -y -w reg新加了一项作业，其作业 ID = 1然后，你有5分钟时间设置一个myfw策略并测试它。

5分钟后计划任务将停止该策略。

假如测试结果不理想，就删除该策略。

c:\>ipsecpol -p myfw -o -w reg注重，删除策略前必须先确保它已停止。

不停止它的话，即使删除也会在一段时间内继续生效。

持续时间取决于策略的刷新时间，默认是180分钟。

假如测试通过，那么就启用它。

c:\>ipsecpol -p myfw -x -w reg最后说一下查看IPSec策略的办法。

对于XP很简单，一条命令搞定——ipseccmd show filters而ipsecpol没有查询的功能。

需要再用一个命令行工具netdiag。

它位于2000系统安装盘的SUPPORT\TOOLS\SUPPORT.CAB中。

（已经上传了三个文件，也就不在乎多一个了。

）netdiag需要RemoteRegistry服务的支持。

所以先启动该服务：net start remoteregistry不启动RemoteRegistry就会得到一个错误：[FATAL] Failed to get system information of this machine.netdiag这个工具功能十分强大，与网络有关的信息都可以获取！不过，输出的信息有时过于具体，超过命令行控制台cmd.exe的输出缓存，而不是每个远程cmd shell都可以用more 命令来分页的。

查看ipsec策略的命令是：netdiag /debug /test:ipsec然后是一长串输出信息。

IPSec策略位于最后。

更多信息确定是否指定了 IPSec 策略基于 Windows Server 2003 的计算机基于 Windows xp 的计算机基于 windows 2000 的计算机创建用于阻止通信的静态策略基于 Windows Server 2003 和 Windows XP 的计算机基于 Windows 2000 的计算机为特定协议和端口添加阻止规则基于 Windows Server 2003 和 Windows XP 的计算机基于 Windows 2000 的计算机为特定协议和端口添加动态阻止策略基于 Windows Server 2003 和 Windows XP 的计算机基于 Windows 2000 的计算机IPSec 筛选规则和组策略取消指定和删除 IPSec 策略基于 Windows Server 2003 和 Windows XP 的计算机基于 Windows 2000 的计算机将您的新筛选规则应用到所有协议和端口在计算机重新启动时应用 IPSec 筛选规则--------------------------------------------------------------------------------------------------------------------------------------这篇文章中的信息适用于:Internet 协议安全 (IPSec) 筛选规则可用于帮助保护基于 Windows 2000、Windows XP 和Windows Server 2003 的计算机免遭病毒及蠕虫等威胁带来的基于网络的攻击。

本文介绍如何为入站和出站网络通信筛选特定的协议和端口组合。

本文还包括用于确定当前是否为基于Windows 2000、Windows XP 或 Windows Server 2003 的计算机指定了 IPSec 策略的步骤、用于创建和指定新的 IPSec 策略的步骤以及用于取消指定和删除 IPSec 策略的步骤。

IPSec 策略可以在本地应用，也可以作为域的组策略的一部分应用于该域的成员。

本地IPSec 策略可以是静态的（重新启动后一直有效）或动态的（易失效）。

静态 IPSec 策略被写入本地注册表并在操作系统重新启动后一直有效。

动态 IPSec 策略没有被永久性地写入注册表，并且在操作系统或 IPSec Policy Agent 服务重新启动后被删除。

重要说明：本文包含有关使用 Ipsecpol.exe 编辑注册表的信息。

编辑注册表之前，一定要知道在发生问题时如何还原注册表。

有关如何备份、还原和编辑注册表的信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：256986 (/kb/256986/) Microsoft Windows 注册表说明注重：IPSec 筛选规则会导致网络程序丢失数据和停止响应网络请求，包括无法对用户进行身份验证。

只有当您清楚地了解阻止特定端口对您的环境具有的影响之后，才应将 IPSec 筛选规则作为一种迫不得已的防护措施加以采用。

假如您按照本文列出的步骤创建的 IPSec 策略对您的网络程序有不利影响，请参阅本文稍后的“取消指定和删除 IPSec 策略”一节，了解有关如何立即禁用和删除该策略的说明。

确定是否指定了 IPSec 策略基于 Windows Server 2003 的计算机在为基于 Windows Server 2003 的计算机创建或指定任何新的 IPSec 策略之前，请确定是否有从本地注册表或通过组策略对象 (GPO) 应用的任何 IPSec 策略。

为此，请按照下列步骤操作： 1. 运行 Windows Server 2003 CD 上的 Support\Tools 文件夹中的Suptools.msi，安装 Netdiag.exe。

2. 打开命令提示符窗口，然后将工作文件夹设置为 C:\PRogram Files\Support Tools。

3. 运行以下命令以验证尚未为该计算机指定现有 IPSec 策略：netdiag /test:ipsec假如没有指定策略，您将收到以下消息：IP 安全测试。

. . . . . . . . : 传递的 IPSec 策略服务是活动的，但是没有指定策略。

基于 Windows XP 的计算机在为基于 Windows XP 的计算机创建或指定任何新的 IPSec 策略之前，请确定是否有从本地注册表或通过 GPO 应用的任何 IPSec 策略。

合集下载

如何设置IP地址的访问限制和权限控制的方式

如何设置IP地址的访问限制和权限控制的方式

如何设置IP地址的访问限制和权限控制的方式IP地址访问限制和权限控制是网络安全的重要措施之一。

通过限制特定IP地址的访问权限，可以有效保护系统和网络资源。

本文将介绍几种常用的设置IP地址访问限制和权限控制的方式，以帮助读者更好地保护系统安全。

一、网络防火墙网络防火墙是一种常见的设置IP地址访问限制和权限控制的方式。

它能够通过过滤IP数据包来限制特定IP地址的访问权限。

设置网络防火墙可以使用不同的策略，如允许列表、拒绝列表、端口限制等，以实现对IP地址的限制。

管理员可以根据具体需求，灵活配置网络防火墙规则，从而限制不受信任的IP地址的访问。

二、访问控制列表（ACL）访问控制列表是一种设置IP地址访问限制和权限控制的有效手段。

ACL可以通过配置路由器或交换机等网络设备，限制特定IP地址对网络资源的访问权限。

通过在ACL中定义允许或拒绝的IP地址列表，管理员可以有效实现对IP地址的控制。

此外，ACL还可以设置时间段和服务类型等更详细的访问控制策略，提高安全性。

三、反向代理服务器反向代理服务器是一种设置IP地址访问限制和权限控制的常用方式。

通过设置反向代理服务器，可以实现对特定IP地址的访问控制。

管理员可以根据需要，将具体的IP地址映射到反向代理服务器，并在服务器上设置访问权限规则。

反向代理服务器可以根据IP地址、域名等进行访问控制，进一步提高系统安全性。

四、虚拟专用网络（VPN）虚拟专用网络是一种安全的设置IP地址访问限制和权限控制的方式。

通过建立VPN连接，可以实现对IP地址的访问控制。

VPN使用加密隧道通信，确保数据传输过程中的安全性。

管理员可以为特定IP 地址分配独立的VPN账号，并设置相应的访问权限。

通过VPN，只有通过认证的IP地址才能够访问受限资源，提高了系统的安全性。

五、身份验证和访问控制身份验证和访问控制是一种常见的设置IP地址访问限制和权限控制的方式。

通过身份验证，可以确认访问者的身份，并据此控制其对资源的访问权限。

IPSec与虚拟隧道接口(VTI)：实现虚拟网络的安全连接(三)

IPSec与虚拟隧道接口(VTI)：实现虚拟网络的安全连接(三)

IPSec与虚拟隧道接口（VTI）：实现虚拟网络的安全连接在现代网络中，保护数据安全和隐私是至关重要的。

为了实现安全连接，网络管理员通常使用IPSec（Internet Protocol Security）协议和虚拟隧道接口（VTI）技术。

本文将探讨IPSec和VTI之间的关系，以及它们如何合作实现虚拟网络的安全连接。

一、IPSec的基本原理IPSec是一种网络层安全协议，使用加密和认证机制来保护IP数据包。

它通过两个主要的协议，即认证头（AH）和封装安全负载（ESP），来提供数据保护和完整性。

AH用于认证和防止数据包篡改，而ESP既提供认证又提供加密功能。

IPSec的工作方式如下：首先，发送端将原始数据包封装在IPSec 数据包中，并附加认证和加密信息。

然后，接收端使用与发送端预先共享的密钥对数据包进行解密和认证。

如果认证成功，数据包被解封并交付给目标主机，否则被丢弃。

IPSec可以用于网关到网关（Site-to-Site）连接和远程访问（Remote Access）连接。

在网关到网关连接中，两个网络之间使用IPSec建立安全连接，实现互联。

而在远程访问连接中，远程用户通过IPSec连接到目标网络，实现远程访问。

二、虚拟隧道接口（VTI）的概述虚拟隧道接口（VTI）是一种虚拟网络接口，它通过隧道技术将IPSec安全连接和底层网络接口绑定在一起。

VTI可以用于创建VPN （Virtual Private Network）连接，使不同的网络之间实现安全的通信。

它提供了一种抽象层，使网络管理员可以将IPSec配置和管理与底层网络隔离开来。

VTI的优势在于它的灵活性和扩展性。

由于它是一种虚拟接口，因此可以轻松地增加或删除，并且不会对底层网络造成影响。

此外，VTI还可以与其他网络设备和技术（如路由器和防火墙）集成，提供更全面的安全解决方案。

三、IPSec与VTI的结合应用IPSec和VTI可以结合使用，以实现虚拟网络的安全连接。

IPSec VPN的使用指南：远程访问安全保护的利器(五)

IPSec VPN的使用指南：远程访问安全保护的利器(五)

IPSec VPN的使用指南：远程访问安全保护的利器随着现代通信技术的发展，越来越多的企业和个人需要在不同的地点进行远程访问和互联网连接。

然而，这也给网络安全带来了新的挑战。

为了保护远程访问中的数据安全，很多组织和个人都选择使用IPSec VPN。

本文将介绍什么是IPSec VPN，以及如何使用它来保护远程访问的安全。

一、什么是IPSec VPN？IPSec VPN，全称Internet Protocol Security Virtual Private Network，是一种通过公共互联网创建私密网络连接的加密协议。

它基于IP安全协议（IPSec），通过在通信双方之间建立加密的隧道来保护数据传输的安全性。

二、为什么使用IPSec VPN？1. 数据加密和隧道保护使用IPSec VPN可以为远程访问建立一个加密的通道，保护数据传输过程中的机密性和完整性。

这意味着即使数据在传输过程中被截获，攻击者也无法解读或修改数据内容，从而保障了数据的安全性。

2. 远程访问的灵活性IPSec VPN可以让用户在任何地点通过互联网连接到组织的内部网络，实现远程办公和资源共享。

无论是在家中、咖啡店还是公共Wi-Fi热点，只要有网络连接，用户都可以通过IPSec VPN安全地访问内部资源，提高工作效率。

3. 安全性和可扩展性相比其他远程访问技术，比如SSL VPN（Secure Sockets Layer Virtual Private Network），IPSec VPN更加安全。

它不依赖于特定的应用程序，而是在网络层上进行加密，可以保护整个计算机的网络流量。

三、如何设置IPSec VPN？1. 配置VPN服务器首先，您需要准备一台运行IPSec VPN服务器软件的计算机。

常见的IPSec VPN服务器软件包括OpenVPN、Cisco AnyConnect和StrongSwan等。

安装所选软件并按照其官方文档进行基本设置。

路由器IPSEC配置

路由器IPSEC配置

路由器IPSEC配置在当今数字化的时代，网络安全变得至关重要。

为了保护数据在网络中的传输安全，IPSEC（Internet Protocol Security）技术应运而生。

IPSEC 是一种广泛应用于网络通信的安全协议，通过对数据包进行加密和认证，确保数据的机密性、完整性和真实性。

而在网络架构中，路由器作为连接不同网络的关键设备，其 IPSEC 配置是保障网络安全的重要环节。

首先，我们来了解一下为什么需要在路由器上进行 IPSEC 配置。

随着企业业务的扩展和移动办公的普及，员工需要通过互联网访问企业内部网络资源，这就带来了数据泄露的风险。

IPSEC 可以在公共网络上建立一个安全的隧道，使得数据在传输过程中如同在一个私有网络中一样安全。

此外，对于企业之间的数据交换，IPSEC 也能确保双方通信的保密性和完整性，防止敏感信息被窃取或篡改。

接下来，让我们详细了解路由器 IPSEC 配置的步骤。

第一步，确定 IPSEC 策略。

这包括定义哪些流量需要进行保护，例如特定的 IP 地址范围、端口号或应用程序。

同时，还需要确定加密和认证的算法，常见的加密算法有 AES（Advanced Encryption Standard），认证算法有 SHA-1（Secure Hash Algorithm 1）等。

第二步，配置 IKE（Internet Key Exchange）。

IKE 用于在通信双方之间协商安全参数，如加密密钥、认证密钥等。

在路由器上，需要设置 IKE 的版本（通常为 IKEv2）、认证方式（如预共享密钥或数字证书）以及协商模式（主模式或积极模式）。

第三步，定义 IPSEC 变换集。

变换集指定了对数据包进行加密和认证所使用的具体算法和模式。

例如，可以选择使用 AES-128 加密算法和 SHA-256 认证算法。

第四步，创建 IPSEC 策略。

将前面定义的流量、IKE 和变换集组合成一个完整的IPSEC 策略。