Đang tải... (xem toàn văn)
Đồ án Bảo mật thông tin IPSEC và TRIỂN KHAI HỆ THỐNG IPSECVPN TRÊN WINDOWS SERVER
1 HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG CƠ SỞ TPHCM KHOA CÔNG NGHỆ THÔNG TIN ———***——— Đồ án môn học Bảo mật thông tin IPSEC và TRIỂN KHAI HỆ THỐNG IPSEC/VPN TRÊN WINDOWS SERVER 2003 Giáo viên hướng dẫn: Thầy LÊ PHÚC Nhóm sinh viên thực hiện: 1.Trương Thế Linh 2.Tô Đình Nghị 3.Phùng Huy Khương 4.Nguyễn Thị Phúc TPHCM / 11. 2009 Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 2 Mục lục I. Lời mở đầu . 4 II. Tìm hiểu về IPSEC 5 1. Giới thiệu về IPSEC . 5 2. Kiến trúc giao thức IPSEC 5 2.1 Mô hình chung……………………………………………………………… 5 2.2 Các giao thức cơ bản……………………………………………………… . 6 2.3 Liên kết bảo mật……………………………………………………………. 6 2.4 Transport mode và Tunnel mode…………………………………………… 7 3. Giao thức AH…………………………………………………………………… 7 3.1 Các cơ chế bảo vệ được cung cấp bởi giao thức AH……………………… 7 3.2 Cấu trúc của AH……………………………………………………………. 8 3.3 Vị trí của AH……………………………………………………………… 8 3.4 Các mode làm việc trong AH……………………………………………… 9 3.5 Nested và Adjacent header trong AH…………………………………… 10 3.6 Quá trình xử lí tiêu đề IPSEC……………………………………………… 11 3.7 Quá trình xử lí của AH với các gói tin Outbound …………………………. 12 3.8 Quá trình xử lí của AH đối với các gói tin Inbound……………………… 16 3.9 Một số điểm phức tạp trong giao thức AH………………………………… 18 3.9.1 Vấn đề phân mảnh và việc quản lí các gói ICMP trong giao thức AH 19 3.9.2 Mối quan hệ giữa NAT và IPSEC……………………………………. 20 3.9.3 Vấn đề auditing (giám sát ) trong AH………………………………….21 4. Giao thức ESP……………………………………………………………………22 4.1 Các cơ chế bảo vệ được cung cấp bởi ESP…………………………………. 22 4.2 Cấu trúc của ESP……………………………………………………………. 23 4.3 Vị trí và các mode làm việc của ESP………………………………………. 25 4.4 Nested và Adjacent header trong ESP………………………………………26 4.5 Qúa trình xử lí của ESP đối với các gói tin Ounbound……………………. 27 4.6 Qúa trình xử lí của ESP đối với các gói tin Inbound…………………………30 4.7 Một số điểm phức tạp trong giao thức ESP………………………………… 30 4.8 Một số đánh giá ,phê bình của các chuyên gia về ESP……………………… 31 4.9 Lý do sử dụng hai tiêu đề bảo vệ……………………………………………. 32 5. Quản lý khóa với IKE ……………………………………………………………32 5.1 Tổng quan về quản lí khóa 32 5.2 IKE phases ………………………………………………………………… 33 5.3 IKE modes ………………………………………………………………… 33 6. PF keys trong IPSEC………………………… ……………… 36 6.1 Giới thiệu…………………………………………………………………… .36 6.2 Cấu tạo……………………………………………………………………… .37 Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 3 7. Mục đích và ưu khuyết điểm của IPSEC …………………………………… .38 8. Triển khai IPSEC .40 8.1 .Các tác động bảo mật……………………………………………………… .40 8.2 Các phương pháp chứng thực được Microsoft hỗ trợ 41 8.3 IPSEC policy .41 8.4 IPSEC làm việc như thế nào 42 III. Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 43 1. Mô hình triển khai 43 2. Các bước thực hiện .43 IV Tài liệu tham khảo……………………………………………………………………… 58 Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 4 I.Lời nói đầu: Trong thời đại Internet phát triển rộng khắp như ngày nay, những dịch vụ như đào tạo từ xa, mua hàng trực tuyến, tư vấn y tế trực tuyến đã trở thành hiện thực. Tuy nhiên, do Internet có phạm vi toàn cầu, không một tổ chức hay chính phủ nào quản lý nên sẽ có rất nhiều khó khăn trong việc bảo mật, đảm bảo an toàn dữ liệu cũng như chất lượng của các dịch vụ trực tuyến thông qua đường truyền mạng. Từ đó, người ta đã đưa ra mô hình mới nhằm thỏa mãn những yêu cầu trên mà vẫn tận dụng được cơ sở hạ tầng mạng vốn có, đó chính là mạng riêng ảo (Virtual Private Network-VPN). Để có thể gửi và nhận dữ liệu thông qua mạng công cộng mà vẫn bảo đảm tính an toàn và bảo mật, VPN cung cấp cơ chế mã hóa dữ liệu trên đường truyền tạo ra một đường ống bảo mật giữa nơi gửi và nơi nhận (Tunnel) giống như một kết nối point-point trên mạng riêng.Và IPSEC (Internet Protocol Security) chính là một trong những giao thức tạo nên cơ chế “đường ống bảo mật” cho VPN. Thông qua tài liệu này sẽ giúp chúng ta hiểu những khái niệm gần như cơ bản nhất về IPSEC cũng như cách triển khai một hệ thống IPSEC/VPN trên Windows Server 2003. Trong quá trình biên soạn chắc không tránh khỏi những sai sót, mong được sự đóng góp của thầy và các bạn.Xin chân thành cảm ơn. Nhóm thực hiện. Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 5 II.Tìm hiểu về IPSEC 1:Giới thiệu về IPSEC IPSEC ( Internet Protocol Security) là giao thức ở lớp Network (OSI) cho phép gửi nhận các gói IP được mã hóa. Tùy theo mức độ cần thiết, IPSEC có thể cung cấp cả tính bảo mật và xác thực cho quá trình trao đổi dữ liệu dựa trên hai kiểu dịch vụ mã hóa: AH, ESP. Mục đích chính của việc phát triển IPSEC là cung cấp một cơ cấu bảo mật ở tầng 3 trong mô hình OSI. IPSEC cũng là một thành phần quan trọng hỗ trợ giao thức L2TP ( Layer two tunneling protocol ) trong công nghệ mạng riêng ảo VPN. 2 Kiến trúc giao thức IPSEC: 2.1 Mô hình chung: Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 6 2.2 Các giao thức cơ bản trong IPSEC: -Hai giao thức cơ bản để thực thi IPSEC là AH và ESP. -AH chỉ cung cấp các dịch vụ xác thực,ESP vừa cung cấp các dịch vụ bảo mật vừa cung cấp các dịch vụ xác thực 2.3 Liên kết bảo mật: -SA (Security Associations) :Là một khái niệm cơ bản của bộ giao thức IPSEC. SA là một kết nối luận lý theo một phương hướng duy nhất giữa hai thực thể sử dụng các dịch vụ IPSEC. SA gồm có 3 trường : Hình biểu diễn 3 trường của SA Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 7 -SPI (Security Parameter Index) : là một trường 32 bits dùng nhận dạng giao thức bảo mật, được định nghĩa bởi trường Security protocol, trong bộ IPSEC đang dùng. SPI như là phần đầu của giao thức bảo mật và thường được chọn bởi hệ thống đích trong suốt quá trình thỏa thuận của SA. -Destination IP address : địa chỉ IP của nút đích. Cơ chế quản lý hiện tại của SA chỉ được định nghĩa cho hệ thống unicast mặc dù nó có thể là địa chỉ broadcast, unicast, hay multicast. -Security protocol : mô tả giao thức bảo mật IPSEC, là AH hoặc là ESP.SA trong IPSEC được triển khai bằng 2 chế độ đó là Tunnel mode và Transport mode. 2.4 Transport mode và Tunnel mode: Hiện tại, IPSEC có hai chế độ làm việc: Transport Mode và Tunnel Mode. Cả AH và ESP đều có thể làm việc với một trong hai chế độ này. Hình minh họa hai chế độ làm việc của IPSEC 3.Giao thức AH 3.1 Các cơ chế bảo vệ được cung cấp bởi giao thức AH: -Tính toàn vẹn thông tin( intergrity):Cơ chế này đảm bảo gói tin nhận được chính là gói tin đã gửi. -Xác thực nguồn gốc thông tin :Cơ chế này đảm bảo gói tin được gửi bởi chính người gửi ban đầu mà không phải là người khác. -Cơ chế chống phát lại(Replay protection)(đây là cơ chế tùy chọn(optional),không bắt buộc):Cơ chế này đảm bảo rằng một gói tin không bị phát lại nhiều lần.Cơ chế này là một thành phần bắt buộc đối với bên gửi tuy nhiên bên nhận có thể tùy chọn sử dụng hoặc không sử dụng . Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 8 3.2 Cấu trúc của AH: Các trường trong AH: -Next header(8 bits):Xác định loại dữ liệu chứa trong tiêu đề AH.Sử dụng các quy ước của TCP/IP. -Payload len(8 bits):Xác định độ dài tiêu đề AH , tính bằng đơn vị từ I( 32 bits) trừ đi 2 đơn vị. -Reserved(16 bits):Dành riêng chưa sử dụng,được gán chuỗi bit 0. -SPI(security paramaters index)(32 bits):Nhận dạng liên kết SA.Giá trị từ 1 đển 255 được giành riêng.Giá trị 0 được dùng vào mục đích đặc biệt.Ví dụ một cơ chế quản lí khóa có thể sử dụng SPI với giá trị 0 để thể hiện rằng không có một SA nào tồn tại trong quá trình IPSEC đã yêu cầu bộ quản lí khóa tạo một SA mới nhưng SA này vẫn chưa được khởi tạo. -Sequence number(32 bits):Số thứ tự gói truyền trên SA.Thông qua việc theo giỏi chỉ số này và gửi nó cho bên nhận,bên gửi có thể giúp bên nhận thực hiện việc chống phát lại (anti-replay) nếu bên nhận muốn. -Authentication data:Trường này có kích thước không xác định,không xác định trước,đảm nhiệm vai trò chính của AH.Nó bao gồm ICV(intergrity check value:kiểm tra sự toàn vẹn) . Bên nhận sử dụng nó để kiểm tra tính toàn vẹn và tính xác thực của thông điệp.Trường này có thể được chèn thêm nếu cần thiết để đảm bảo tổng chiều dài của AH là bội số của 32 bits ( đối với Ipv4) và 64 bits (đối với Ipv6). 3.3:Vị trí của AH trong gói tin IP: Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 9 Hình trên mô tả vị trí của tiêu đề AH trong các gói tin Ipv4 và Ipv6. -Trong Ipv4 ,AH theo sau tiêu đề của gói tin Ip,tiếp đến là các tiêu đề của các giao thức ở trên ( TCP,UDP ,ICMP) hoặc tiêu đề ESP. -Trong Ipv6,vị trí của AH cũng tương tự như trên , tuy nhiên trong Ipv6 có thêm các tiêu đề tùy chọn.Vị trí tương quan của các tiêu đề này và AH như sau: Các tiêu đề của các tùy chọn mở rộng trong Ipv6 đứng trước AH là các tiêu đề hop-by-hop,tiêu đề định tuyến (routing header),tiêu đề phân mảnh ( fragment header); Tiêu đề đích tùy chọn( dest options header) có thể đứng trước hoặc theo sau AH.Vị trí tương quan của tiêu đề này với AH phụ thuộc vào việc quá trình xử lí xác định đối với nó diễn ra trước hay sau khi quá trình xác thực diễn ra. 3.4 Các chế độ làm việc trong AH: Đồ án bảo mật thông tin –IPSEC và Triển khai hệ thống IPSEC/VPN trên Windows Server 2003 10 Hình trước minh họa vị trí của AH trong chế độ Transport,chế độ này thường được sử dụng để xác thực đầu cuối giữa hai host.Tuy nhiên trong trường hợp hai SG (security gateway) được sử dụng để bảo vệ cho nhiều host trong một mạng thì chế độ tunnel được sử dụng.Hình trên mô tả vị trí của AH trong chế độ tunnel.Chế độ tunnel cũng có thể sử dụng trong truyền thông giữa hai host trong trường hợp này địa chỉ trong tiêu đề ip ban đầu và tiêu đề ip bổ sung là như nhau. 3.5:Nested header (tiêu đề lồng) trong AH: -Nhiều SA có thể áp dụng cho một thông điệp.Nếu một trong hai đầu cuối của các thông điệp này là giống nhau thì các AH của các SA này được gọi là Adjacent AH.Nếu một hoặc hai đầu cuối của các SA khác nhau thì các AH này được gọi là các AH lồng ( nested AH). -Adjacent AH không cung cấp thêm bất cứ sự bảo vệ nào cả , việc áp dụng chúng là không bắt buộc (not mandated). -Nested AH có thể được áp dụng trong một số trường hợp nhất định. [...]... được đưa ra 3.9.2:Mối quan hệ giữa NAT và IPSEC: Đồ án bảo mật thông tin IPSEC và Triển khai hệ thống IPSEC/ VPN trên Windows Server 2003 20 - Một NAT(network address translation) box có thể là một thực thể riêng biệt hoặc được kết hợp với các security gateway.NAT được áp dụng trong hai tình huống sau.Thứ nhất trong các mạng riêng đòi hỏi tính bí mật nhằm bảo đảm tính bảo mật và riêng tư.Thứ hai là trong... đã xác định thông điệp Outbound được bảo vệ bởi ESP header và Outbound SA đảm nhận việc quản lí thông điệp này đã được tìm thấy hoặc được thỏa thuận ,thông điệp này được chuyển sang các quá trình xử lí trong IPSEC, bao gồm các bước sau: Đồ án bảo mật thông tin IPSEC và Triển khai hệ thống IPSEC/ VPN trên Windows Server 2003 26 -1:Thêm một khuôn dạng ESP header vào vị trí thích hợp -2:Thêm vào trường SPI... header và thông điệp gốc được đưa vào hàm băm tuy nhiên chỉ những immutable data và mutable data but predicable của outer header được đưa vào hàm băm.Đối với các trường chứa dữ liệu mutable unpredic data có các hướng giải quyết như Đồ án bảo mật thông tin IPSEC và Triển khai hệ thống IPSEC/ VPN trên Windows Server 2003 13 sau.Không đưa chúng vào hàm băm hoặc thay thế chúng bằng các giá trị zero .Trên. .. SPI,protocol,địa chỉ đích đều chỉ đến SA1.Gói tin sẽ được mã hóa thành công vì nó chỉ đến một SA hợp lệ trong SAD.Tuy nhiên khi chuyển sang quá trình kiểm tra các policy áp dụng cho gói tin trên có phù hợp không thì gói tin Đồ án bảo mật thông tin IPSEC và Triển khai hệ thống IPSEC/ VPN trên Windows Server 2003 29 trên sẽ bị loại bỏ vì quá trình kiểm tra policy xác định rằng gói tin trên phải có hai security header... topology) và tính tương thích với các giao thức mạng sẽ được xây dựng trong tương lai Đồ án bảo mật thông tin IPSEC và Triển khai hệ thống IPSEC/ VPN trên Windows Server 2003 30 Để đạt được sự đơn giản theo Bruce Schneier và Neil Ferguson nên loại bỏ giao AH và transport mode Rất nhiều nhà phát triển IPSEC cho rằng giao thức AH nên bị bỏ đi và điều này có thể xảy ra trong phiên bản tiếp theo của IPSEC. Tuy... một user trong mạng cục bộ của H1 không đáng tin cậy,lúc này H1 cũng cần xác thực truyền thông trong mạng cục bộ.Để đạt Đồ án bảo mật thông tin IPSEC và Triển khai hệ thống IPSEC/ VPN trên Windows Server 2003 25 được điều này ,sử dụng một nested (lồng) SA là giải pháp lí tưởng.Một cặp ESP tunnel mode SA giữa SG1 và SG2 và một cặp AH transport mode SA giữa H1 và H2.Hình dưới đây mô tả cách sử dụng của... tạo của thông điệp,nếu địa chỉ này khác địa chỉ source của outer header thì thông điệp có thể đã bị phân mảnh trước khi rời khỏi host ban đầu.Trong trường hợp đó tunnle header xác thực trên thông điệp đã bị phân mảnh và có thể sẽ bị phân mảnh tại thời điểm này Đồ án bảo mật thông tin IPSEC và Triển khai hệ thống IPSEC/ VPN trên Windows Server 2003 15 3.8:Quá trình xử lí của AH đối với các gói tin Inbound:... lúc đó thông điệp chưa được gửi đi và quá trình xử lí AH lúc này bị treo ( halt) -5: Đối với chế độ transport ,trường next header được chuyển thành AH Đồ án bảo mật thông tin IPSEC và Triển khai hệ thống IPSEC/ VPN trên Windows Server 2003 12 -6: Thêm trường tiêu đề tunnel nếu cần thiết.Nếu SA sử dụng chế độ tunnel thì một tiêu để ip bổ sung được tạo ra và thêm vào thông điệp.Địa chỉ nguồn và đích... by hop,routing,fragment,hoặc destination header option) có thể đứng trước ESP Đồ án bảo mật thông tin IPSEC và Triển khai hệ thống IPSEC/ VPN trên Windows Server 2003 23 header.Ngoài ra trường destination header option có thể đứng sau ESP header.Vị trí tương quan giữa trường này và ESP header tùy thuộc vào quá trình xử lí riêng của nó được thực hiện trước hay sau quá trình xử lí ESP.Nếu gói tin đã được... thành công, các thông số SA hợp lệ sẽ được lưu trữ trong cơ sở dữ liệu của SA 5.2 IKE Phases : Đồ án bảo mật thông tin IPSEC và Triển khai hệ thống IPSEC/ VPN trên Windows Server 2003 32 IKE có giai đoạn làm việc đó là : giai đoạn 1 và giai đoạn 2 có một số đặc điểm chung như hình minh họa bên dưới Trong một phiên làm việc của IKE, nó giả sử đã có một kênh bảo mật được thiết lập sẵn Kênh bảo mật này phải . NGHỆ BƯU CHÍNH VIỄN THÔNG CƠ SỞ TPHCM KHOA CÔNG NGHỆ THÔNG TIN ———***——— Đồ án môn học Bảo mật thông tin IPSEC và TRIỂN KHAI HỆ THỐNG IPSEC/ VPN. tạo………………………………………………………………………...37 Đồ án bảo mật thông tin IPSEC và Triển khai hệ thống IPSEC/ VPN trên Windows Server 2003 3 7. Mục đích và ưu khuyết điểm của IPSEC ……………………………………...38
