7-应用层(2)

20
IPSec
• IPSec协议包括： – 验证头（AH）：可证明数据的起源地、保障 数据的完整性以及防止相同数据包的不断重 播 – 封装安全载荷(ESP)：除AH功能外，还可以 保障数据的机密性。
21
IPSec
• IPSec通过传送模式保护上层协议；通过通道模 式保护整个IP数据报
原始的IP包
Workstation
37
特点
• 堡垒主机在网络内部，通过防火墙的过滤 使得这个主机是唯一可从外部到达的主机。 • 实现了应用层和网络层的安全 • 如果路由表遭破坏，堡垒主机可能被越过， 内部网络暴露。
38
被屏蔽子网防火墙结构
Internet
External Router
Ethernet
DOZ
Internal Router
28
静态包过滤和动态包过滤的比较
采用相同的访问控制策略： • 允许受保护的主机与远程服务器建立任何服务 会话：只有当源地址为受保护主机，目的地址 是远程服务器时，才允许SYN=1的包通过。 • 允许任何已经建立的会话信息通过：只要是已 经建立的连接，SYN=1，其他各位为0，则所有 传输允许通过。 • 丢弃其他信息：如果不符合上述规定之一，则 出于安全考虑，丢弃包。
高级计算机网络
北京邮电大学 授课教师: 孙斌 sunbin@
1
今后课程的安排
• 从6月开始，每次3学时，共有6次课。 • 部分内容：
– IP交换与IPv6（包括VLAN内容） – 传输层（包括一些QoS内容） – IP业务层
• • • • DNS等 IP电话 网络安全与VPN 网络管理与网络测试（复习、公布考试题）
32
代理服务技术
Internet 应用服务器 代理服务器 防火墙系统 内部网络 客户机
中继客户机请求 服务器应答 服务器
应用 代理 客户机 部分
应用 代理 服务器 部分
客户机请求 中继服务器应答 客户机
8.4-3 代理服务器防火墙系统原理示意图
33
代理服务技术
• 协议的翻译 • 地址的翻译
– 隐藏网络地址的翻译 – 静态网络地址的翻译 – 端口地址翻译
16
传输层安全
• 在端系统上实现 • 传送安全协议（TLS）在TCP的顶部提供 身份验证、完整性检验及机密性保证。 • 面向连接，未在UDP上实现 • 由于与特定的传送协议有关，所以象密钥 管理这样的服务会每种传送协议重复。
17
网络层安全
• • • • 降低密钥协商的开销 减少需要改动的应用程序数目 能够构建VPN和intranet。 很难实现以用户为基础的安全保障，如数据的 不可抵赖性等。
Ethernet
Data Base
Server
Workstation Workstation
39
特点
• 将堡垒主机、WEB服务器、E-MAIL服务 器放在被屏蔽的子网内，外部、内部都可 以访问。但禁止他们通过评比子网通信 • 如果堡垒主机被控制，内部网络仍然受内 部包过滤路由器保护。 • 运行各种代理程序
14
ISO7498-2映射而得的TCP/IP各层安全 服务与安全协议的对应关系
层 IP层 TCP层
安全协议
鉴别 Y Y Y Y Y Y Y Y Y Y
访问控制
保密性 Y Y Y Y Y Y Y Y Y
完整性 Y Y Y Y Y Y Y Y Y Y
抗否认
IPSEC SSL PEM MOSS S/MIM E PGP SHTTP SNMP SSH
• 静态包过滤的依据： 包的目的地址及目的端口 包的源地址及源端口 包的传送协议
基于TCP的传输：根据TCP报头的标志字来控制传输 基于UDP的传输：根据端口号来控制
27
动态包过滤
• 通过包的属性和维护一份连接表来监视通 信会话的状态而不是简单依靠标志的设置。 • 针对传输层的，所以选择动态包过滤时， 要保证防火墙可以维护用户将要使用的所 有传输的状态，如TCP，UDP，ICMP等。
Kerberos
Y Y Y Y Y
应用层
Y
Y
Y
15
应用层的安全
• 优点
– 由于以用户为背景执行，更容易访问用户凭据 – 对用户数据具有完整访问权，可以提供不可抵赖性 等服务 – 应用可以不依赖操作系统自由扩展 – 应用程序对数据有充分理解，可采用相应安全措施
• 缺点：必须为每个应用单独设计一套安全机制， 必须对现有应用进行改进。 • 典型例子：用PGP在E—mail客户端，保障电子 邮件安全。
34
代理服务的特点
• 优点：
屏蔽内部网络的结构 针对协议实现特定的安全性 可以从底层(2)到高层(7)进行完善的监控、记录、过滤、报 警等，功能强大。
• 缺点：
每种高层应用对应一种代理服务器软件 降低了网络透明度（对内部人员） 对网络性能影响较大 需要专用的服务器
35
防火墙的基本组件有三种，它们分别是：屏蔽路由器，壁垒 主机，应用网关。
2
第七讲 应用层之 网络安全与VPN VPN
3
为什么网络不安全？
网络安全的脆弱性
IP网络是存储转发网，信息停留点多 大部分信息不加密，容易被窃听 广播型网络，网卡可以设置成混合型 (Promiscuous)，接收所有数据包 业务种类多，为安全带来隐患 配置复杂，很容易被错误配置，从而给黑客 以可趁之机 缺乏安全策略，许多站点在防火墙配置上无 意识地扩大了访问权限
防火墙系统基本组件 －屏蔽路由器、壁垒主机、应用网关 屏蔽路由器、壁垒主机、 屏蔽路由器
Internet Internet Internet
屏蔽路由器
屏蔽路由器
双穴主机
Intranet Intranet
壁垒 主机
Intranet
36
被屏蔽主机防火墙结构
Internet
Router
Server
Workstation
29
当完成握手过程后：
• 静态包过滤：判断SYN是否为1，如果不为1， 则认为是已经建立的连接中的一部分，通过。 • 动态包过滤：进行同样检查，并在建立连接时 生成状态记录，每次远程服务器试图对受保护 主机进行回复时，都检查状态表，以保证：
– – – – – 受保护主机发出过数据请求 源端口信息与数据请求匹配 目标端口信息与数据请求匹配 检查顺序号和验证号是否匹配 自动更新状态表
40
双网卡主机防火墙结构
Internet
Firewall Laptop IntraNet
IBM RS/6000
IBM AS/400
41
虚拟专用网VPN Virtual Private Network
42
VPN虚拟专用网
• • • VPN种类：拨号IP VPN (VPDN) 和专线IP VPN 种类： 种类 VPN主要特征 主要特征：通过不同种类网络进行透明传输。 主要特征 VPN 的主要应用 – 1．通过Internet实现远程用户访问。VPN支持以安全的方式通过公共互联 网络远程访问企业的资源。 – 2．通过Internet实现企业内部网络互连。可以采用VPDN或专线VPN连接 企业局域网。 – 3．建立企业内部网络（有重要信息的网络）。 3 使用 VPN 的主要优越性 – 1．更低的传输费用 – 2．单一的统一网络结构 – 3．更低的支持费用 – 4．较低的先期投资 – 5．简单的管理 – 6．NSP可以提供高质量的广域网专业服务
图7.6.2-2 VPN工作原理
44
VPN 使用的主要技术
• 隧道技术 • 加密封装 • Authentication (验证)、authorizationand (授权) accounting (记帐)
45
VPN 的组网
• 组建VPN 使用的基本产品是：远程服务集中器和服务 远程服务集中器和服务 路由器、 器、WAN 路由器、安全服务器和 NIC（网络接口卡， （网络接口卡， 即用户端） 即用户端）。 • 客户启动方式的VPN：主要使用具有VPN功能的NIC、安 全服务器和WAN路由器来组建。 • 客户透明方式的VPN： 远程服务集中器和服务器，提 VPN 供远程用户集中访问的服务器，可同时服务多个用户； WAN 路由器，具有WAN网络接口的路由器；安全服务 器，对使用网络的用户进行认证和授权的服务器。
9
安全理论与技术
• • • • • • 密码理论与技术（加密、标记） 认证识别理论与技术（I&A) 授权与访问控制理论与技术 审计追踪技术 网间隔离与访问代理技术 反病毒技术
10
密码技术
对称加密技术：DES 非对称加密技术：RSA 密钥交换 安全散列函数 数字签名 PGP
11
系统安全技术
• 身份认证 • 口令、挑战/应答、Keberos • 访问控制和授权 • 审计
30
ቤተ መጻሕፍቲ ባይዱ
当有人试图攻击受保护主机时：
• 发出“SYN=1，其他位是0”的包扫描，均 被阻塞。 • 发出“ACK=1，FIN=1”的FIN扫描：
– 静态包过滤通过，因为只查看SYN位，不为1 则通过。 – 动态包过滤阻塞，因为查看记录发现没建立 连接，无正当理由发出结束会话信息。
31
包过滤的特点
• 优点： – 实现简单 – 对用户透明，无需改变用户的操作 – 容易获得 • 缺点： – 不能实现基于用户的规则 – 无法（很困难）对文件内容进行过滤 – 需较高专业人才 – 遵循“未经禁止的就允许通过原则”对有些服务不合适
•
43
VPN的工作原理
远程网络
远程LAN路由器
中心网络
NSP网络
专线或FR、 X.25虚电路
中心网络
R
WAN网络
IP隧道