在线客服

咨询热线

IPSEC安全策略的学习与应用

作者:未知

  摘 要:IPSec是由IETF定义的标准框架,为IP网络通信提供透明的安全服务。IPSec能为企业局域网与拨号用户、域、网站、远程站点等之间的通信提供强有力且灵活保护,还能筛选特定数据流。本文通过配置IP安全策略来筛选特定的IP或端口,限制常见病毒、木马、黑客攻击。
  关键词:IPSec;筛选器;规则;策略
  IPsec(Internet Protocol Security)是通过使用加密的安全服务确保Internet协议(IP)网络上私有、安全的通信,由Internet工程任务组(IETF)开发的开放标准框架(体系结构)。IPsec支持网络级对等身份验证、数据源身份验证、数据完整性、机密性(加密)和回放保护。IPsec受Windows Server2003、winXP和win2000等操作系统支持,其设置可在域、站点或组织单位级上配置,还可与现有应用程序层安全解决方案配合使用。
  1 IP 安全策略研究
  1.1 IPSec特性及其配置策略
  IPSec应用于IP层上网络数據安全的体系结构,不是一个单独协议,主要包括三部分:网络认证协议(AH);封装安全载荷协议(ESP);密钥管理协议(IKE)。使用Microsoft管理控制台(MMC)配置IPSec。单击开始菜单,指向程序,选择控制面板中管理工具,然后点击本地安全策略。在打开的MMC左窗格中,单击本地计算机上的IP安全策略。MMC将在右窗格中显示现有默认策略(服务器、客户端、安全服务器)。
  第一,创建IP安全策略定义策略基础设置,包括策略名、策略描述、策略更改间隔。策略更改时间默认为180分钟,即删除策略前必须先确保策略已停止(不指派)。否则删除后一段时间内继续生效,持续180分钟。
  第二,密钥管理协议是IPsec体系一种主要协议。协议结合认证、密钥管理和安全连接等概念建立私有通信所需安全,进行添加、删除、修改等,可设置多个安全措施(方法),身份验证时保护身体。
  1.2 IPSec规则
  IP安全规则规定IPSec策略何时及如何保护IP通信。根据IP数据流类型、源和目的地址,规则具有触发和控制安全通信的能力。一个IPSec策略有多条规则,可同时处于激活状态。IPSec对各种基于客户机和服务器通信提供许多预设规则,用户可根据需求使用或修改。每一条规则包含一张IP筛选器列表和与之匹配的设置:筛选器动作;认证方法;IP隧道设置;连接类型。
  ①创建IP筛选器。IP安全规则可根据IP数据流的类型、源地址和目标地址触发通信的安全协商(即IP包过滤)。包过滤技术可精确定义哪些IP数据流受保护,哪些要被拦截或允许通过。一个筛选器几个决定参数:IP包的源和目的地址;包所用传输协议类型,TCP和UDP协议的源和目的端口号,一个过滤器对应一种特定类型的数据流。
  ②创建筛选器动作,为需要受保护IP通信设置安全需求,包括安全算法,安全协议和使用的密钥属性等。创建完成后,要对筛选器创建一个动作来规定IP数据流在通信与筛选器列表中筛选器相匹配时启用。参数有许可、阻止或协商安全。
  ③IP安全策略中身份验证方法有三种:Kerberos、证书(CA)、预共享密钥。在新规则参数设置页面打开身份验证方法菜单,选择计算机之间通讯如何进行安全验证。默认选择KerberoV5验证。
  ④遂道设置,指定是否以隧道方式通信,如果是,则指定隧道终结点IP地址。对于出站通信,隧道终结点是IPSec隧道对等端IP地址。对于入站通信,隧道终结点是本地IP 地址。隧道终结点在IPSec策略内IPSec规则属性“隧道设置”选项卡上配置。必须创建两个隧道规则,每个规则适于通信传送的一个方向。
  ⑤连接类型。每个Internet协议安全(IPSec)规则,必须定义将应用规则的连接类型。例如,如果指定将某规则仅用于远程访问连接,则这些连接将与规则匹配。每条规则有一个连接类型设置:a 所有网络连接:适于通过已配置任何网络连接发送的通信;b 局域网(LAN):只适于通过已配置LAN连接发送的通信;c 远程访问:仅适于通过任何已在计算机上配置的远程访问、虚拟专用网络(VPN)连接或拨号连接发送的通信。完成一个IPSec策略后,要在系统中指派该策略,筛选功能才会生效。
  2 IP安全策略在企业的应用
  企业内部重要信息系统服务器或重点岗位计算机相应安全配置。比如设置将重点岗位计算机只与目标主机通讯,限制员工使用重点岗位计算机登陆网络。例如视频监控系统属重要信息系统服务器,往往只与对的主机或服务器(视频监控服务器)通讯,并要求监控人员不能使用该计算机登陆网络,只允许与视频服务器通讯,其他IP地址全部过滤。另外,可分时段限定外部网络访问FTP服务器,企业服务器向用户提供多种服务,有些服务占用网络资源较大,比如FTP服务器,同时多用户多线程下载时占用大量带宽,影响办公网络速度,设置分时段开放网络资源,达到节省带宽目的。
  综上所述,IP安全策略一次只能指派一个策略,但一个策略允许多个规则,可通过创建多个规则组合实现不同目的。将所有常见病毒、木马利用的端口,系统中危险端口全部禁用,并结合第三方防火墙软件,最大限度防范病毒、木马、黑客的破坏。文中主要利用IPSEC规则,对IP数据包筛选。IP安全策略功能非常强大,许多地方要不断学习实践,利用强大功能为企业网络安全服务。可安装病毒防火墙、补丁分发服务、配置IP安全策略、增强用户网络安全防范意识等多方面,不断提高企业网络安全环境。
论文来源:《中国化工贸易·下旬刊》 2019年3期
转载注明来源:https://www.xzbu.com/1/view-14889400.htm