2011年軟件水平考試網(wǎng)絡(luò)工程師全面復(fù)習(xí)資料(29)

　　5.IKE 協(xié)議

　　IKE提議是如何保護(hù)數(shù)據(jù)的建議。發(fā)起IPsec連接的VPN網(wǎng)關(guān)，作為發(fā)起者會發(fā)出提議列表，提議表建議了不同的護(hù)連接的方法。

　　協(xié)商連接可以是通過VPN來保護(hù)數(shù)據(jù)流的Ipsec連接，或是IKE連接，保護(hù)IKE協(xié)商本身。

　　響應(yīng)的VPN網(wǎng)關(guān)，在接收到此提議表后，就會根據(jù)自己的安全策略選擇最適合的提議，并根據(jù)已選擇的提議做出響應(yīng)。如果沒有找到可接受的提議，就會做出沒有可接受提議的響應(yīng)，并可能提供原因。提議包括需要的全部參數(shù)，如加密和認(rèn)證數(shù)據(jù)使用的算法，以及IKE參數(shù)中描述的其他參數(shù)。

　　IKE 階段1 - IKE安全協(xié)商

　　一個IKE協(xié)商可分兩個階段。第一階段(階段1)，通過確認(rèn)遠(yuǎn)端網(wǎng)關(guān)是否具有匹配的Pre-Shared密鑰，來進(jìn)行2個VPN網(wǎng)關(guān)或VPN客戶端的相互認(rèn)證。

　　可是，因?yàn)槲覀儾幌Ｍ�以明文方式公布太多的協(xié)商信息，所以我們還是要保護(hù)其余的IKE協(xié)商信息。可以用前面描述的方法做到這一點(diǎn)，即通過發(fā)起者向響應(yīng)者發(fā)送提議列表來完成。一旦這個工作完成，響應(yīng)者選擇并接受其中的一個提議后，將嘗試著認(rèn)證VPN的另一端，以確保它就是要認(rèn)可的一端，并校驗(yàn)遠(yuǎn)端網(wǎng)關(guān)正是所期望的。

　　通過Pre-Shared密鑰、證書或公開密鑰加密能夠完成認(rèn)證。Pre-Shared密鑰是目前最常見的認(rèn)證方法。阿姆瑞特防火墻VPN模式支持Pre-Shared密鑰和證書兩種方式。

　　IKE 階段2 - IPsec安全協(xié)商

　　另一個協(xié)商是在階段2進(jìn)行的，詳細(xì)說明了Ipsec的連接參數(shù)。

　　在階段2，我們將從階段1的Diffie-Hellman密鑰交換中摘取新的密鑰信息，并將其作為保護(hù)VPN數(shù)據(jù)流的會話密鑰。

　　如果使用PFS(完善的轉(zhuǎn)發(fā)機(jī)密)，每個階段2協(xié)商中，會進(jìn)行新的Diffie-Hellman交換。雖然這種操作比較慢，但可確保密鑰不依賴于以前用過的任何密鑰，不從同樣的初始密鑰材料中摘取密鑰。這就保證了在不太安全的事件中，危及了某些密鑰安全時，而不衍生出并發(fā)的密鑰。

　　一旦完成階段2協(xié)商，就會建立VPN連接，以備使用。

　　2010年下半年軟考試題及答案解析匯總

　　2010年下半年軟件水平考試答案

　　2011年軟考網(wǎng)絡(luò)工程師全面復(fù)習(xí)資料匯總