免费智能真题库 > 历年试卷 > 网络工程师 > 2019年上半年 网络工程师 下午试卷 案例
  第3题      
  知识点:   网关   IPSec

 
【说明】
如图3-1所示在Windows Server 2008 R2网关上设置相应的IPSec策略,在Windows Server 2008 R2网关和第三方网关之间建立一条IPSec隧道,使得主机A和主机B之间建立起安全的通信通道。

 
问题:3.1   (每空2分,共6分)
两台计算机通过IPSec协议通信之前必须先进行协商,协商结果称为SA (Security Association)。IKE (Internet Key Exchange)协议将协商工作分为两个阶段,第一阶段协商(1)模式SA (又称IKE SA),新建一个安全的、经过身份验证的通信管道,之后在第二阶段中协商(2)模式SA (又称IPSec SA)后,便可以通过这个安全的信道来通信。使用(3)命令,可以查看协商结果。
(1)~(2)备选答案
A.主
B.快速
C.传输
D.信道
(3)备选答案
A. display ike proposal
B. display ipsec proposal
C. display ike sa
D. display ike peer
 
问题:3.2   (每空2分,共4分)
在Windows Server 2008 R2网关上配置IPSec策略,包括:创建IPSec策略、(4)、(5)以及进行策略指派4个步骤。
(4)~(5)备选答案
A.配置本地安全策略
B.创建IP安全策略
C.创建筛选器列表
D.设置账户密码策略
E.配置隧道规则
F.构建组策略对象
 
问题:3.3   (每空2分,共6分)
在主机A和主机B之间建立起安全的通信通道,需要创建两个筛选器列表,一个用于匹配从主机A到主机B (隧道1)的数据包,另一个用于匹配从主机B到主机A (隧道2)的数据包。在创建隧道1时需添加“IP筛选列表”,图3-2所示的“IP筛选器属性”中“源地址”的“IP地址或子网”应该填(6),“目的地址”的“IP地址或子网”应该填(7)。配置隧道1不筛选特定的协议或端口,图3-3中“选择协议类型”应该选择(8)。

 
问题:3.4   (每空2分,共4分)
IPSec隧道由两个规则组成,每个规则指定一个隧道终结点。为从主机A到主机B的隧道配置隧道规则时,图3-4中所示的“IPv4隧道终结点”应该填写的IP地址为(9)。 在配置新筛选器时,如果设置不允许与未受到IPSec保护的计算机进行通信,则图3-5“安全方法”配置窗口所示的配置中需要做出的修改是(10)。

 
 
 

   知识点讲解    
   · 网关    · IPSec
 
       网关
        网关是最复杂的网络互联设备,它用于连接网络层之上执行不同协议的子网,组成异构型的互联网。为了实现异构型设备之间的通信,网关要对不同的传输层、会话层、表示层和应用层协议进行翻译和变换。
        由于工作复杂,因此用网关进行网络互联时效率比较低,而且透明性不好。因而网关往往用于针对某种特殊用途的专用连接。有时并不划分路由器和网关,而把网络层及其以上进行协议转换的互联设备统称为网关。
 
       IPSec
        IPSec是Internet Protocol Security的缩写。在TCP/IP协议网络中,由于IP协议的安全脆弱性,如地址假冒、易受篡改、窃听等,Internet工程组(IETF)成立了IPSec工作组,研究提出解决上述问题的安全方案。根据IP的安全需求,IPSec工作组制定了相关的IP安全系列规范:认证头(Authentication Header,简称AH)、封装安全有效负荷(Encapsulatin Security Payload,简称ESP)以及密钥交换协议。
               IPAH
               IP AH是一种安全协议,又称为认证头协议。其安全目的是保证IP包的完整性和提供数据源认证,为IP数据报文提供无连接的完整性、数据源鉴别和抗重放攻击服务。其基本方法是将IP包的部分内容用加密算法和Hash算法进行混合计算,生成一个完整性校验值,简称ICV(Integrity Check Value),同时把ICV附加在IP包中,如下图所示。
               
               IP AH协议包格式
               在TCP/IP通信过程中,IP包发送之前都事先计算好每个IP包的ICV,按照IP AH的协议规定重新构造包含ICV的新IP包,然后再发送到接收方。通信接收方在收到用IP AH方式处理过的IP包后,根据IP包的AH信息验证ICV,从而确认IP包的完整性和来源。IP认证头(AH)的信息格式如下图所示。
               
               IP认证头(AH)的信息格式
               IP ESP
               IP ESP也是一种安全协议,其用途在于保证IP包的保密性,而IP AH不能提供IP包的保密性服务。IP ESP的基本方法是将IP包做加密处理,对整个IP包或IP的数据域进行安全封装,并生成带有ESP协议信息的IP包,然后将新的IP包发送到通信的接收方。接收方收到后,对ESP进行解密,去掉ESP头,再将原来的IP包或更高层协议的数据像普通的IP包那样进行处理。RFC 1827中对ESP的格式做了规定,AH与ESP体制可以合用,也可以分用。
               IP AH和IP ESP都有两种工作模式,即透明模式(Transport mode)和隧道模式(Tunnel Mode)。透明模式只保护IP包中的数据域(data payload),而隧道模式则保护IP包的包头和数据域。因此,在隧道模式下,将创建新的IP包头,并把旧的IP包(指需做安全处理的IP包)作为新的IP包数据。
               密钥交换协议
               基于IPSec技术的主要优点是它的透明性,安全服务的提供不需要更改应用程序。但是其带来的问题是增加网络安全管理难度和降低网络传输性能。
               IPSec还涉及密钥管理协议,即通信双方的安全关联已经事先建立成功,建立安全关联的方法可以是手工的或是自动的。手工配置的方法比较简单,双方事先对AH的安全密钥、ESP的安全密钥等参数达成一致,然后分别写入双方的数据库中。自动的配置方法就是双方的安全关联的各种参数由KDC(Key Distributed Center)和通信双方共同商定,共同商定的过程就必须遵循一个共同的协议,这就是密钥管理协议。目前,IPSec的相关密钥管理协议主要有互联网密钥交换协议IKE、互联网安全关联与密钥管理协议ISAKMP、密钥交换协议Oakley。
               9.2.6SSL
               SSL是Secure Sockets Layer的缩写,是一种应用于传输层的安全协议,用于构建客户端和服务端之间的安全通道。该协议由Netscape开发,包含握手协议、密码规格变更协议、报警协议和记录层协议。其中,握手协议用于身份鉴别和安全参数协商;密码规格变更协议用于通知安全参数的变更;报警协议用于关闭通知和对错误进行报警;记录层协议用于传输数据的分段、压缩及解压缩、加密及解密、完整性校验等。
               SSL协议是介于应用层和TCP层之间的安全通信协议。其主要目的在于两个应用层之间相互通信时,使被传送的信息具有保密性及可靠性,如下图所示。SSL的工作原理是将应用层的信息加密或签证处理后经TCP/IP网络送至对方,收方经验证无误后解密还原信息。
               
               SSL协议工作机制
               如下图所示,SSL协议是一个分层协议,最底层协议为SSL记录协议(SSL Record Protocol),其位于传输层(如TCP)之上,SSL记录协议的用途是将各种不同的较高层协议(如HTTP或SSL握手协议)封装后再传送。另一层协议为SSL握手协议(SSL Handshake Protocol),由3种协议组合而成,包含握手协议(Handshake Protocol)、密码规格变更协议(Change Cipher Spec)及报警协议(Alert protocol),其用途是在两个应用程序开始传送或接收数据前,为其提供服务器和客户端间相互认证的服务,并相互协商决定双方通信使用的加密算法及加密密钥。
               
               SSL协议组成示意图
               SSL协议提供三种安全通信服务。
               (1)保密性通信。握手协议产生秘密密钥(secret key)后才开始加、解密数据。数据的加、解密使用对称式密码算法,例如DES、AES等。
               (2)点对点之间的身份认证。采用非对称式密码算法,例如RSA、DSS等。
               (3)可靠性通信。信息传送时包含信息完整性检查,使用有密钥保护的消息认证码(Message Authentication Code,简称MAC)。MAC的计算采用安全杂凑函数,例如SHA、MD5。
               SSL记录协议(record protocol)的数据处理过程如下图所示,其步骤如下:
               (1)SSL将数据(data)分割成可管理的区块长度。
               (2)选择是否要将已分割的数据压缩。
               (3)加上消息认证码(MAC)。
               (4)将数据加密,生成即将发送的消息。
               (5)接收端将收到的消息解密、验证、解压缩,再重组后传送至较高层(例如应用层),即完成接收。
               
               SSL记录协议数据处理示意图
   题号导航      2019年上半年 网络工程师 下午试卷 案例   本试卷我的完整做题情况  
1 /
2 /
3 /
4 /
 
第3题    在手机中做本题