因特網(wǎng)密鑰交換(IKE)是什么意思?
因特網(wǎng)密鑰交換(IKE)是什么意思?
因特網(wǎng)密鑰交換協(xié)議（IKE），用作分配這些對話用密鑰的一種方法，而且在VPN端點間，規(guī)定了如何保護數(shù)據(jù)的方法。IKE主要有三項任務(wù)：為端點間的認證提供方法；建立新的IPsec連接（創(chuàng)建一對SA）；管理現(xiàn)有連接。IKE跟蹤連接的方法是給每個連接分配一組安全聯(lián)盟（SA）。SA描述與特殊連接相關(guān)的所有參數(shù)，包括使用的Ipsec協(xié)議(ESP/AH/二者兼有)，加密/解密和認證/確認傳輸數(shù)據(jù)使用的對話密鑰。SA本身是單向的，每個連接需要一個以上的SA。大多數(shù)情況下，只使用ESP或AH，每個連接要創(chuàng)建2個SA，一個描述入站數(shù)據(jù)流，另一個描述出站數(shù)據(jù)流。同時使用ESP和AH的情況中就要創(chuàng)建4個SA。
因特網(wǎng)密鑰交換協(xié)議”解決了安全通信設(shè)備中的大多數(shù)突出問題：確認雙方并交換雙稱密鑰。它創(chuàng)建“安全聯(lián)盟”并裝入“安全聯(lián)盟數(shù)據(jù)庫”中?！耙蛱鼐W(wǎng)密鑰交換協(xié)議”經(jīng)常需要一個用戶空間守護進程并且不在操作系統(tǒng)核心中執(zhí)行?！耙蛱鼐W(wǎng)密鑰交換協(xié)議”使用UDP的500端口來進行通信。
“因特網(wǎng)密鑰交換協(xié)議”功能分兩個階段。第一個階段建立一個“因特網(wǎng)安全聯(lián)盟密鑰管理安全聯(lián)盟”（ISAKMP SA：Internet Security Association Key Management Security Association）。第二階段，“因特網(wǎng)安全聯(lián)盟密鑰管理安全聯(lián)盟”用來商討并配置IPsec的“安全聯(lián)盟”（SA）。
雙方的第一階段認證經(jīng)常使用基于“預(yù)先共享密鑰”（PSK：pre-shared keys）、RSA 密鑰（RSA keys）和 X.509證書（Racoon甚至支持Kerberos）。
第一階段通常支持兩種不同的模式：主模式和好斗模式。兩種模式都鑒別對方并設(shè)置ISAKMP SA，但好斗模式只使用一半數(shù)量的信息達到這個目。這是它的缺點，因為好斗模塊不支持身份保護，因此如果與預(yù)共享密鑰一起使用，它容易受到“中間人攻擊” （man-in-the-middle attack）。另一方面，這只是好斗模式的用途，因為主模式的內(nèi)部工作形式不支持對未知的一方使用不同的預(yù)共享密鑰。好斗模式不支持身份保護和用普通文字傳送客戶的身份，因此在認證發(fā)生前，一方知道另一方，并且不同的預(yù)共享密鑰可以被不同的一方使用。
非常好我支持^.^
(17) 100%
不好我反對
(0) 0%
相關(guān)閱讀：
( 發(fā)表人：admin )