设为首页收藏本站
宣传 宣传 宣传 宣传

旌德论坛欢迎您

 找回密码
 注册

QQ登录

只需一步,快速开始

扫一扫,访问微社区

查看: 2837|回复: 0

智汇华云:IPSec VPN原理介绍与实现

[复制链接]
发表于 2019-6-28 11:48 | 显示全部楼层 |阅读模式
IPSec VPN是目前应用最广泛、最安全的VPN,从个人手机到平板电脑再到路由器、企业的防火墙都能轻松的创建IPSec VPN,保护使用者的数据安全防止数据被劫持,嗅探,因此掌握IPSec VPN原理以及常见问题排查对于运维及开发人员来说都至关重要。本期华云数据“智汇华云”专栏将为您奉上IPSec VPN原理介绍与实现。

IPSec全称是Internet Protocol Security,是由(Internet Engineering Task Force)制定的一组**的网络安全协议。它并不是一个单独的协议,而是一系列为IP网络提供安全性的协议和服务的**,主要包括:

1.IKE(Internet Key Exchange 因特网密钥交换协议)
2.ESP(encapsulating security payload 封装安全载荷)
3.AH(Authentication Header 认证头协议,无法经过NAT,基本不使用)

IKE因特网密钥交换

IKE协议有v1版本和v2版本,目前我们主要使用v1版本,v1版本是基于UDP500 和4500(NAT使用)端口号的应用层协议。IKE协议的主要作用是交换IPSec对等体两端的SA(Security Association),SA一般包括:

1.使用哪种协议(AH、ESP还是两者结合使用)
2.协议的封装模式(传输模式和隧道模式)
3.认证算法(MD5、SHA-1)
4.加密算法(DES、3DES和AES128、aes256)对称加密,用于加密数据
5.pfsgroup(diffie-hellman group)modp1024,modp1536,modp2048非对称加密,用于安全交换密钥
6.特定流中保护数据的共享密钥以及密钥的生存周期等

IKEv1版本的协商过程分为两个阶段。



第一阶段叫做IKE(ISAKMP) SA,协商出来的SA给第二阶段使用,这一阶段又有两种协商模式,使用中一般使用主模式,比较安全

·       
main mode,安全,但是要6个数据包
·       
·       
aggressive(野蛮模式),只需要4个数据包,由于不安全容易被****,一般不使用
·       

第二阶段叫做IPSec SA,协商出来的SA给用户数据流加密使用

封装协议(安全协议)

IPSec的封装协议有两种:

1.AH(Authentication Header) 认证头协议,协议号为51。工作原理是在每一个数据包的标准IP报头后面添加一个AH报文头,基本不使用。

2.ESP(encapsulating security payload) 封装安全载荷,协议号为50。工作原理是在每一个数据包的标准IP报头后面添加一个ESP报文头,并在数据包后面追加一个ESP尾(ESP Tail和ESP Auth data)。

*与AH不同的是,ESP将数据中的有效载荷进行加密后再封装到数据包中,以保证数据的机密性,但ESP没有对IP头的内容进行保护。

封装模式

IPSec的封装模式也有两种,实际使用的时候双方协商出封装协议和封装模式,一并使用:

1.传输模式(host-to-host transport mode),在传输模式中,AH头或ESP头**入到IP头与传输层协议头之间,保护TCP/UDP/ICMP负载。传输模式不改变报文头,基本不使用。

2.隧道模式(tunneling mode ),隧道模式下,AH协议的完整性验证范围为包括新增IP头在内的整个IP报文。ESP协议验证报文的完整性检查部分包括ESP头、原IP头、传输层协议头、数据和ESP报尾,但不包括新IP头,因此ESP协议无法保证新IP头的安全。ESP的加密部分包括原IP头、传输层协议头、数据和ESP报尾。



IPSec实现-控制面

上面讲的都是IPSec协议上的定义和规范,具体到IPSec在linux系统的实现上主要有各种swan(openswan,strongswan,libreswan),这些应用程序负责协商双方的加密算法,加密方式,隧道模式,路由策略。并通过linux的xfrm内核接口调用下发到数据面中。

IPSec实现-数据面

IPSec在Linux上有两种数据面,目前一般使用第二种Linux内核的XFRM框架,除非是很老的机器没有这个的时候会用第一种:

1.KLIPS ,很古老,2.6版本以前的Linux版本使用。通过创建出虚拟IPSec接口,路由IPSec数据包,可以很方便添加firewall规则。

2.Linux内核XFRM/NETKEY(ipsec transform),执行具体的转发策略和封包解包,如果有offload还要执行offload提升速度。新版本内核也支持创建出虚拟IPSec接口,方便添加firewall规则。

控制面-Libreswan

这里我们主要讲一下libreswan,libreswan是目前使用较多的IPSec控制面实现,平常使用中需要掌握libreswan中的pluto和whack命令

1.pluto 命令是IPsec IKE keying守护进程,负责自动化ipsec之间的SA协商。
启动pluto守护进程命令:ipsec pluto

2.whack命令是用户和pluto守护进程进行交互使用的命令
  # 添加一条ipsec连接(vpn1的具体配置写在文件中)
  ipsec whack addconn vpn1 --config ipsec.config
  # 允许pluto守护进程开始**
  ipsec whack --listen
  # 初始化ipsec连接
  ipsec whack --initiate --name vpn1

数据面-XFRM

Linux内核通过XFRM框架来支持IPSec的数据面实现,xfrm框架支持Linux的网络namespace。

xfrm使用两个数据库记录ipsec的数据面信息。

1.        xfrm策略,存储在内核的SPD(security policy database)中。告诉ipsec哪些流量需要进行ipsec处理。



2.xfrm状态,存储在内核的SADB(security association database)中。表示单向流量,包含加密密钥,标志,请求ID,统计信息等信息。



手动创建ipsec隧道

ip xfrm命令可以手动创建两台之间使用ipsec隧道通信,跳过libreswan的控制面SA协商
192.168.0.6 <=======> 192.168.0.28,脚本如下:

A=192.168.0.6
B=192.168.0.28
ip xfrm state add src $A dst $B proto esp spi 0x00000301 mode tunnel auth md5 0x96358c90783bbfa3d7b196ceabe0536b\
enc des3_ede 0xf6ddb555acfd9d77b03ea3843f2653255afe8eb5573965df
ip xfrm state add src $B dst $A proto esp spi 0x00000302 mode tunnel auth md5 0x99358c90783bbfa3d7b196ceabe0536b\
enc des3_ede 0xffddb555acfd9d77b03ea3843f2653255afe8eb5573965df
ip xfrm policy add src $A dst $B dir out ptype main tmpl src $A dst $B proto esp mode tunnel
ip xfrm policy add src $B dst $A dir in ptype main tmpl src $B dst $A proto esp mode tunnel

ip xfrm state add src $A dst $B proto esp spi 0x00000301 mode tunnel auth md5 0x96358c90783bbfa3d7b196ceabe0536b\
enc des3_ede 0xf6ddb555acfd9d77b03ea3843f2653255afe8eb5573965df
ip xfrm state add src $B dst $A proto esp spi 0x00000302 mode tunnel auth md5 0x99358c90783bbfa3d7b196ceabe0536b\
enc des3_ede 0xffddb555acfd9d77b03ea3843f2653255afe8eb5573965df
ip xfrm policy add src $A dst $B dir in ptype main tmpl src $A dst $B proto esp mode tunnel
ip xfrm policy add src $B dst $A dir out ptype main tmpl src $B dst $A proto esp mode tunnel

tcpdump 抓包

抓包看两台机器之间的ping包,可以发现ping包已经被加密为ESP报文。



您需要登录后才可以回帖 登录 | 注册

本版积分规则

QQ|小黑屋|手机版|Archiver|免责申明:旌德论坛信息均由个人用户发布,本网不承担由于内容的合法性及真实性所引起的一切争议和法律责任。|广告招商联系电话:13681721498|旌德论坛 ( 沪ICP备12036612号   

GMT+8, 2019-11-18 01:27 , Processed in 1.578125 second(s), 24 queries .

Powered by Discuz! X3.2

© 2001-2013 Comsenz Inc.|Style by Coxxs

快速回复 返回顶部 返回列表