IKE密钥交换原理
在采用IKE动态协商方式建立IPSec隧道时，SA有两种：一种IKE SA,另一种是IPSec SA。建立IKE SA目的是为了协商用于保护IPSec隧道的一组安全参数，建立IPSec SA的目的是为了协商用于保护用户数据的安全参数，但在IKE动态协商方式中，IKE SA是IPSec SA的基础，因为IPSec SA的建立需要用到IKE SA建立后的一系列密钥。
手工方式建立SA存在配置复杂、不支持发起方地址动态变化、 建立的SA永不老化、不利于安全性等缺点。本节具体介绍动态协商方式的好处,以及IKE与IPSec的关系。
（1） 降低了配置的复杂度, 在IKE动态协商方式下，SPI, 认证密钥和加密密钥等参数将自动生成，而手工方式中需根据SA出方向和入方向分别指定。
（2） 提供抗重放功能, IPSec使用AH或ESP报头中的序列号实现抗重放(不接受序列号相同的数据包)。当AH或ESP报头中的序列号溢出（也是达到了最大值，不能再继续往下编 号，要开始新一轮的重新编号了）后，为实现抗重放，SA需要重新建立，这个过程需要IKE协议的配合，所以手工方式下不支持抗重放功能。
（3）支持协商发起方地址动态变化情况下（如采用PPP。E拨号方式接入Internet）的身份认证，手工方式不支持，只能适用于在两端都采用专线连接方式接入Internet情形。
（4）支持认证中心CA （Certificate Authority）在线对对等体身份的认证和集中管理，有利于IPSec的大规模部署，手工方式不支持在线认证方式。
（5）通过IKE协商建立的SA具有生存周期，可以实时更新，降低了SA被破解的风险，提高了安全性。
生存周期到达指定的时间或指定的流量，SA就会失效。在SA快要失效前，IKE将为对等体协商新的SA。在新的SA协商好之后，对等体立即采用新的SA保护通信。生存周期有两种定义方式：
IKE 协议建立在 ISAKMP （Internet Security Association and Key Management Pr otocol, Internet安全联盟和密钥管理协议）定义的框架上，是基于UDP的应用层协议（对应UDP500端口. 它为IPSec提供了自动协商交换密钥、建立SA的服务，能够简化IPSec的使用和管理。
其实IKE也不是一个单独的协议，它包括三大协议：ISAKMP （Internet Security Association and Key Management Protocol,因特网安全联盟和密钥管理协议），Oakley （Oakley Key Determination Protocol,奥利克密钥确定协议）和SKEME （Sec ure Key Exchange Mechanism for Internet,因特网安全密钥交换机制）。ISAKMP主 要定义了IKE对等体（IKE Peer）之间合作关系，建立IKE SA。OakLey协议是一个产生和交换IPSec密钥材料并协调IPSec参数的框架（包括支持哪些安全协议）；SKEM E协议决定了IKE密钥交换的方式，主要采用DH （Diffie-Hellman）算法。
IKE与IPSec （包括AH和ESP协议）的关系如下图所示，IKE是UDP之上的一个 应用层协议（AH和ESP是网络层协议），是IPSec的信令协议；IKE为IPSec协商建立 SA,并把建立的参数及生成的密钥交给IPSecIPSec使用IKE建立的SA对IP报文加密 或认证处理。
对等体之间建立一个IKE SA后，在IKE SA保护了IPSec隧道的情况下，再根据配置的AH、ESP安全协议等参数协商出一对IPSec SA,用于对等体间的数据在IPSec隧道中的安全数据传输。
IKE协议目前有IKEv1和IKEv2两个版本。IKEv1版本使用两个阶段为IPSec进行密 钥协商并最终建立IPSec SA。第一阶段，通信双方协商建立IKE本身使用的安全通道 （即隧道），即建立一对IKE SA。第二阶段，利用这个已通过了认证和安全保护的安全通道建立一对用于保护隧道中数据安全传输的IPSec SA。而IKEv2版本则简化了协商过程，在一次协商中可直接产生IPSec的密钥，生成IPSec SA。
下面先来了解IKE在产生SA （包括IKE SA和IPSec SA）的过程中所用的一些安全机制，这是后面介绍具体的IKE协商过程中所要用到的。
IPSec应用方案之所以能在公网（如Internet）上安全地进行网络通信，其重要原因是可在对等体间的整个隧道建立和数据传输过程中均有各种安全机制来做保障，这方面如果采用的是IKE来进行自动的密钥交换和协商同样可以做到，因为IKE本身就具有一整套自我保护机制，可以在不安全的网络上安全地认证身份，分发密钥。具体体现在以下几种安全保护方面。
当使用IKE在对等体间进行信息交换时，首先要识别对方的合法性，也就是身份认证问题。在IKE中可用于确定对等体身份（对等体的IP地址或名称）的机制比较全面，包括预共享密钥PSK （pre-shared key）认证，RSA数字证书（rsa-signature,或称RSA数字签名）认证和RSA数字信封认证。
在数字信封中，发送方采用对称密钥（需要发送方事先随机产生一个对称密钥）来对要发送的报文进行数字签名，然后将此对称密钥用接收方的公钥来加密 （这部分称数字信封）之后，再将加密后的对称密钥连同经过数字签名的报文一起发送给接收方。接收方在收到后，首先用自己的私钥打开数字信封，即可得到发送方的对称密钥，然后再用该对称密钥解密原来被数字签名的报文，验证发送方的数字签名是否正确。如果正确，则认证通过；否则认证失败。
对于预共享密钥认证方法，当有一个对等体对应多个对等体时，需要为每个对等体配置预共享的密钥，工作量大，所以该方法在小型网络中容易建立，但安全性较低。使用数字证书安全性高，但需要CA来颁发数字证书，适合在大型网络中使用。而数字信封认证用于设备需要符合国家密码管理局要求时使用（需要使用国家 密码管理局要求的哈希算法SM3），且此认证方法只能在IKEv1的主模式协商过程中支持。
以上所提到的用于身份认证的各种密钥都属于IKE认证密钥，支持的算法有： MD5，SHA1， SHA2-256，SHA2-384，SHA2-512，SM3。MD5算法使用128位的密钥，SHA-1算法使用160位的密钥，SHA2-256，SHA2-384，SHA2-512分别采用256 位，384位和512位密钥，SM3使用128位密钥。它们之间的安全性由高到低顺序 是：SM3>SHA2-512>SHA2-384>SHA2-256>SHA1>MD5。 对于普通的安全要求，认证算法推荐使用SHA2-256，SHA2-384和SHA2-512,不推荐使用MD5和SHA1,对于安全性要求特别高的地方，可采用SM3算法。
以上所涉及的身份认证密钥（包括预共享密钥，公/私钥），证书都是作为发送方的“验证数据”要通过对应方式发给对方予以验证的。
IPSec的数据加密机制主要用在两个方面：一是在IKE协商阶段，保护所传输的用于身份认证的数据信息（如共享密钥、证书、认证密钥等），二是在IPSec隧道建立后保护在隧道中传输的用户数据。但这里所说的数据加密机制所采用的对称密钥机制，即加密和解密采用相同的密钥，而不是像前面介绍的数字证书身份认证和数字签名应用中所采用的非对称密钥体系。
IKE支持的加密算法包括:DES，3DES，AES-128，AES-192，AES-256，SM1和SM4等。DES算法使用56位密钥，3DES使用168位密钥，AES-128，AES-192，AES-256分别使用128，192和256位密钥，SM1和SM4均使用128位密钥。这些加密算法的安全级别由高到低的顺序是：SM4 >SMI1>AES-256 >AES-192 >AES-128 >3DES >DES,推荐使用AES-256、AES-192和AES-128,不推荐使用3DES和DES算法， SM1和SM4仅建议在保密及安全性要求非常高的地方采用，因为它们的运算速度比较慢。非对称密钥体系中通常使用的是RSA或DSA （Digital Signature Algorithm,数字签名算法）加密算法。
Diffie-HeLlman算法是一种公开密钥算法。通信双方可在不传送密钥的情况下，仅通过交换一些数据，即可计算出双方共享的密钥。而且可以做到，即使第三方截获了双方用于计算密钥的所有交换数据，也不足以计算出真正的密钥。
DH主要用于IKE动态协商时重新生成新的IPSec SA所用的密钥，因为它可以通 过一系列数据的交换，最终计算出双方共享的密钥，而不依赖于在前期生成的密钥生成材料。但DH没有提供双方身份的任何信息，不能确定交换的数据是否发送给合法方，第三方可以通过截获的数据与通信双方都协商密钥，共享通信，从而获取和传递信息，所以IKE还需要身份认证来对对等体身份进行认证。
PFS (Perfect Forward Secrecy,完善的前向安全性)是一种安全特性，指一个密钥被破解后并不影响其他密钥的安全性，因为这些密钥间没有派生关系。
由本章后面的介绍就可知道，IPSec SA的密钥是从IKE SA的密钥导出的。由于一个IKE SA协商可生成一对或多对有一定派生关系的IPSec SA，所以当IKE的密钥被窃取后，攻击者很可能通过收集到足够的信息来非法导出IPSec SA的密钥，这样就不安全了。如果在生成IPSec阶段启用了PFS，即可通过执行一次额外的DH交换，生成新的，独立的IPSec SA，这样就可以保证IPSec SA密钥的安全了。
上文已提到，IKEvl版本产生最终的IPSecSA是需要经过两个阶段，分别用来建立IKESA和IPSecSA。本节先介绍第一阶段。
IKEvl的第一阶段的最终目的是在对等体之间创建了一条安全通道，建立对等 体的IKESA。在这个阶段中，IKE对等体间彼此验证对方，并确定共同的会话密 钥。这个阶段需要用到Diffie-Hellman （简称DH）算法进行密钥交换，完成IKE SA 建立，使后面的第二阶段过程的协商过程受到安全保护。
在IKEvl版本中，建立IKE SA的过程有主模式（Main Mode）和野蛮模式（Aggr essive Mode,也称“积极模式”）两种交换模式。下面分别予以介绍。
在IKEv1的主模式的IKE SA建立过程中，包含三次双向消息交换，用到了六条信息，交换过程如图所示。
这6条消息其实总体上是三个步骤，各包含两条相邻编号的消息。
第一个步骤对应的是消息①和②，是隧道两端对等体间通过交换彼此配置的IKE策略协商好要共同采用的IKE安全策略，因为只有双方都采用相同的安全策略才能相互识别对方加密的数据，并对对方身份进行正确认证。
第二个步骤对应的是消息③和④，是对等体间通过DH算法交换彼此的密钥生成所需的参数信息（DH公开值和随机数nonce等），建立两端相同的一系列共享密钥，主要包括用于在第二阶段协商的身份认证密钥和协商数据的加密密钥。
第三步对应的是消息⑤和⑥，用前面已创建好的加密密钥彼此相互发送各自的身份（如对等体的IP地址或名称）和验证数据（所采用的身份认证方式中的密钥， 或证书数据等），采用相应认证方法在对等体间进行身份认证。最终完成IKE SA的建立。
在正式进行消息交换前，发起方和接收方必须先计算出各自的cookie （在ISKMP报头中，可以防重放和DoS攻击），这些cookie用于标识每个单独的协商交换消息。RFC建议将源/目IP地址，源/目端口号，本地生成的随机数，日期和时间进行散列操作生成cookie。cookie成为在IKE协商中交换信息的唯一标识，在IKEv1版本中为Cookie, 在IKEv2版本中的Cookie即为IKE的SPI （安全参数索引）。
下面再具体介绍以上所提到的这6条消息。
如图所示,野蛮模式只用到三条信息,消息①和②用于在对等体间协商IKE安全策略，交换DH公钥，必需的辅助信息和身份信息(通常不以IP地址进行标识,而是以主机名进行标识的)。
由野蛮模式和主模式的对比可以发现,与主模式相比，野蛮模式减少了交换信息的数目，提高了协商的速度，但是没有对身份信息和验证数据进行加密保护，因为双方在发送身份信息时(对应第①和第②条消息)是不加密的(但主模式中发送的身份信息和验证数据是加密的，对应第⑤和第⑥条消息)。虽然野蛮模式不提供身份保护，它仍可以满足某些特定的网络环境需求。
当IPSec 隧道中存在NAT设备时，需要启用NAT穿越功能，而NAT转换会改变对等体的IP地址，由于野蛮模式不依赖于IP地址标识身份，使得如果采用预共享密钥验证方法时，NAT穿越只能在野蛮模式中实现。如果发起方的P地址不固定或者无法预知，而双方都希望采用预共享密钥验证方法来创建IKE SA，则只能采用野蛮模式。
如果发起方已知响应方的策略，或者对响应者的策略有全面的了解，采用野蛮模式能够更快地创建IKE SA.
ikev1版本的第二阶段就是要在第一阶段基础上最终建立一对SA ,它只有一种模式,即快速模式(Quick Mode )。快速模式的协商是受SA 保护的,整个协商过程如图所示。
在快速模式的协商过程中主要是完成以下IPSec 安全策略的确定:
在上述几方面达成一致后,将建立起两个PSec SA ,分别用于入站和出站通信。
在消息①和②中的IPSec安全提议包括了安全协议，spi，IPSec封装模式，PfS(可选)，IPSec SA生存周期等。这两条消息中还包括双方的身份信息(如IP地址，传输层端口)，验证数据(包括所采用的身份认证机制中的密钥，证书等)，以及nonce (一个随机数，用于抗重放，还被用作密码生成的材料，仅当启用PFS时用到)。接收方会利用所收到的对方数据生成加密密钥,消息③为确认消息,通过确认发送方收到该阶段的消息②,使响应方获知可以正式通信了。
IKEv1需要经历两个阶段,至少交换6条消息才能最终建立一对PSec SA, 而IKEv2在保证安全性的前提下, 减少了传递的信息和交换的次数,实现起来更简单。
IKEv2保留了IKEv1的大部分特性,而且IKEv1的一部分扩展特性(如NAT穿越)作为IKEv2协议的组成部分被引入到IKEv2框架中。与IKEV1不同,IKEv2中所有消息都以“请求-响应”的形式成对出现，响应方都要对发起方发送的消息进行确认,如果在规定的时间内没有收到确认报文,发起方需要对报文进行重传处理,提高了安全性。
IKEv2还可以防御DoS攻击。在IKEv1中,当网络中的攻击方一直重放消息,响应方需要通过计算后,对其进行响应而消耗设备资源,造成对响应方的DoS攻击。而在KEv2中,响应方收到请求后,并不急于计算,而是先向发起方发送一个cookie类型的Notify载荷(即一个特定的数值),两者之后的通信必须保持Fcookie与发起方之间的对应关系,有效防御了DoS攻击。
IKEv2定义了三种交换类型:初始交换(InitialExchanges)，创建子SA交换(Create _Child _SA Exchange)以及通知交换(InformationalExchange)。IKEv2通过初始交换就可以完成一个IKE SA和第一对IPSec SA的协商建立。如果要求建立的IPSec SA大于一对时, 每一对IPSec SA值只需要额外增加一次创建子SA交换(而如果采用IKEv1,则子SA 的创建仍然需要经历两个阶段)。
IKEv2初始交换对应IKEv1的第一阶段，初始交换包含两次交换四条消息,如图所示。消息①和②属于第一次交换，以明文方式完成IKE SA的参数协商,主要是协商加密算法，交换nonce 值，完成一次DH交换,从而生成用于加密,并验证后续交换的密钥材料。消息③和④属于第二次交换,以加密方式完成身份认证(通过交换身份信息和验证数据)，对前两条信息的认证和IPSec SA的参数协商。
在初始交换完成后,可以由任何一方发起创建子SA交换,该次交换中的发起者和初始交换中的发起者可能是不同的。该交换必须在初始交换完成后进行,交换消息由初始交换协商的密钥进行保护。
创建子SA交换包含两条消息,用于一个IKE SA创建多个IPSec SA或IKE的重协商,对应IKEv1的第二阶段。如果需要支持PFS,创建子SA交换可额外进行一次DH交换，建立勇于建立IPSEC SA的新密钥。
通信双方在密钥协商期间,某一方可能希望向对方发送控制信息,通知某些错误或者某事件的发生,这就需要由“通知交换过程来完成。
通知交换如图2-15所示,用于对等体间传递一些控制信息,如错误信息,删除消息,或通知信息。收到信息消息的一方必须进行响应,响应消息中可能不包含任何载荷。通知交换只能发生在初始交换之后,其控制信息可以是IKE SA的(由IKES A保护该交换),也可以是子SA的(由子SA保护该交换)。
看是那种机型的
是不是直拨外线，如果直拨外线在下列方法的#号前加拨*
TC2000-H，在电话上输入#82，然后挂机再看电话机上的来电显示会提示一个6位数的数字，前三位是原始号码后三位是现在的分机号码。
其他型号在电话机上输入#81，然后注意听电话中提示的嘟嘟嘟的声音如：嘟8声表示是8停顿一下再嘟10声表示是0再嘟1声表示这个号码是801。
c2c: card-to-card interleaving，卡到卡交错存取
cc-numa(cache-coherent non uniform memory access，连贯缓冲非统一内存寻址)
chrp(common hardware reference platform，共用硬件平台，ibm为powerpc制定的标准，可以兼容mac os, windows nt, solaris, os/2, linux和aix等多种操作系统)
emp: emergency management port，紧急事件管理端口
icmb: inter-chassis management bus, 内部管理总线
mpp(massive parallel processing，巨量平行处理架构)
mux: data path multiplexor，多重路径数据访问
计算机术语 通讯和游戏
通信
cti：computer telephone integration，计算机电话综合技术
dbs: direct broadcast satellite，直接卫星广播
dwdm: dense wavelength division multiplex，波长密集型复用技术
mmds: multichannel multipoint distribution service，多波段多点分发服务
pcm: pulse code modulation，脉冲编码调制
pstn(public switched telephone network，公用交换式电话网)
tapi: telephony application programming interface，电话应用程序接口
tsapi: telephony services application programming interface，电话服务应用程序接口
wdm: wavelength division multiplex，波分多路复用
游戏
act(action，动作类游戏)
arpg(action role play games，动作角色扮演游戏)
avg(adventure genre，冒险类游戏)
dan(dance，跳舞类游戏，包括跳舞机、吉它机、打鼓机等)
dc(dreamcast，世嘉64位游戏机)
etc(etc，其它类游戏，包括模拟飞行)
ffj: force feedback joystick(力量反匮式操纵杆)
fpp(first person game，第一人称游戏)
ftg(fighting game，格斗类游戏)
gb(game boy，任天堂4位手提游戏机)
gbc(game boy color，任天堂手提16色游戏机)
gg(game gear，世嘉彩色手提游戏机)
fc(famicom，任天堂8位游戏机)
fps(frames per second，帧/秒)
fr(frames rate，游戏运行帧数)
mac(macintosh，苹果电脑)
n64(nintendo 64，任天堂64位游戏机)
sfc(super famicom，超级任天堂16位游戏机)
slg(simulation game，模拟类游戏)
spg(sports games，运动类游戏)
srpg(strategies role play games，战略角色扮演游戏)
stg(shoot game，射击类游戏)
ss(sega saturn，世嘉土星32位游戏机)
pc(personal computer，个人计算机)
ps(play station，索尼32位游戏机)
ps(pocket station，索尼手提游戏机)
rac(race，赛车类游戏)
rts(real time strategies，实时战略)
rpg(role play games，角色扮演游戏)
tab(table chess，桌棋类游戏)
计算机术语 网络
adsl: asymmetric digital subscriber line，不对称数字订阅线路
ah: authentication header，鉴定文件头
amr(audio/modem riser，音效/数据主机板附加直立插卡)
arp(address resolution protocol，地址解析协议)
atm(asynchronous transfer mode，异步传输模式)
bod(bandwidth on demand，弹性带宽运用)
cbr(committed burst rate，约定突发速率)
ccirn: coordinating committee for intercontinental research networking，洲
际研究网络协调委员会
ccm(call control manager，拨号控制管理)
cdsl: consumer digital subscriber line(消费者数字订阅线路)
cgi(common gateway interface，通用网关接口)
ciea: commercial internet exchange association，商业因特网交易协会
cir(committed infomation rate，约定信息速率)
cts(clear to send，清除发送)
dbs-pc: direct broadcast satellite pc(人造卫星直接广播式pc)
dce: data circuit terminal equipment，数据通信设备
des: data encryption standard，数据加密标准
dmt: discrete multi - tone，不连续多基频模式
dns(domain name system，域名系统)
docsis(data over cable service interface specifications，线缆服务接口数据规格)
dte: data terminal equipment，数据终端设备
ebr(excess burst rate，超额突发速率)
esp: encapsulating security payload，压缩安全有效载荷
fdm: frequency division multi，频率分离
flow-control流控制
fricc: federal research internet coordinating committee，联邦调查因特网协调委员会
ftp(file transfer protocol，文件传输协议)
ghost:(general hardware oriented system transfer，全面硬件导向系统转移)
hdsl: high bit rate dsl，高比特率数字订阅线路
http(hypertext transfer protocol，超文本传输协议)
icmp(internet control message protocol，因特网信息控制协议)
ietf(internet engineering task framework，因特网工程任务组)
ike: internet key exchange，因特网密钥交换协议
imap4: internet message access protocol version 4，第四版因特网信息存取协议
internet(因特网)
ip(internet protocol，网际协议)
isdn(integrated service digital network，综合服务数字网络)
isoc: internet society，因特网协会
isp(internet service provider，因特网服务提供商)
lan(local area network，局域网)
ldap: lightweight directory access protocol，轻权目录访问协议
lom(lan-on-montherboard)
iab: internet activities board，因特网工作委员会
ietf: internet engineering task force，因特网工程作业推动
l2tp(layer 2 tunneling protocol，二级通道协议)
lmds: local multipoint distributed system，局域多点分布式系统
mime: multipurpose internet mail extension，多用途因特网邮件扩展协议
mnp: microcom networking protocal
modem(modulator demodulator，调制解调器)
nat(network address translation，网络地址转换)
nc(network computer，网络计算机)
nds: novell directory service，novell目录服务
nntp: network news transfer protocol，网络新闻传输协议
msn: microsoft network，微软网络
ofdm(orthogonal frequency division multiplexing，直角频率部分多路复用)
p3p(privacy preference project，个人私隐安全平台)
pds: public directory support，公众目录支持
pgp: pretty good privacy，优良保密协议
pics: platform for internet content selection，因特网内容选择平台
pof: polymer optical fiber，聚合体光纤
pop3: post office protocol version 3，第三版电子邮局协议
pptp: point to point tunneling protocol，点对点通道协议
radsl: rate adaptive dsl，速率自适应数字订阅线路
rarp(reverse address resolution protocol，反向地址解析协议)
rdf: resource deXion framework，资源描述框架
rsa(rivest shamir adlemen，一种因特网加密和认证体系)
rts(request to send，需求发送)
sis: switched internetworking services(交换式网络互联服务)
s/mime: secure mime，安全多用途因特网邮件扩展协议
snmp(simple network management protocol，简单网络管理协议)
smtp(simple mail transfer protocol，简单邮件传输协议)
skip: simple key exchange internet protocol，因特网简单密钥交换协议
sua(single user account，单用户帐号)
tcp(transmission control protocol，传输控制协议)
uart(universal asynchronous receiver/transmitter，通用异步接收/发送装置)
udp(user datagram protocol，用户数据报协议)
uls: user location service，用户定位服务
vod: video on demand，视频点播
vpn: virtual private network, 虚拟局域网
www(world wide web，万维网，是因特网的一部分)
计算机术语 编程和语言
编程
api(application programming interfaces，应用程序接口)
ascii(american standard code for information interchange，美国国家标准信息交换代码)
atl: activex template library(activex模板库)
basic:beginner's all-purpose symbolic instruction code(初学者通用指令代码)
com: component object model(组件对象模式)
dna: distributed internet application(分布式因特网应用程序)
mfc: microsoft foundation classes(微软基础类库)
sdk(software development kit，软件开发工具包)
windows
ce(consumer electronics，消费电子)
dcom: distributing component object model，构造物体模块
dhcp: dynamic host configuration protocol，动态主机分配协议
dmf: distribution media format
gdi(graphics device interface，图形设备接口)
gui(graphics user interface，图形用户界面)
gpf(general protect fault，一般保护性错误)
hta: hypertext application，超文本应用程序
inf file(information file，信息文件)
ini file(initialization file，初始化文件)
ndis: network driver interface specification，网络驱动程序接口规范
nt(new technology，新技术)
qos: quality of service，服务质量
rrvp: resource reservation protocol(资源保留协议)
rtos(real time operating systems，实时操作系统)
sbfs: simple boot flag specification，简单引导标记规范
vefat: virtual file allocation table(虚拟文件分配表)
(vxd，virtual device drivers，虚拟设备驱动程序)
wdm(windows driver model，视窗驱动程序模块)
winsock: windows socket，视窗套接口
whql: windows hardware quality labs，windows硬件质量实验室
whs: windows Xing host，视窗脚本程序
zam: zero administration for windows，零管理视窗系统
加密
ecc: elliptic curve crypto(椭圆曲线加密)
set: secure electronic transaction(安全电子交易)
IPSec实现
工作于TCP/IP第三层IP层上网络数据安全地一整套体系结构；包括网络认证协议AH（Authentication Header，认证头）、ESP（Encapsulating Security Payload，封装安全载荷）、IKE（Internet Key Exchange，因特网密钥交换又称isakmp）和用于网络认证及加密的一些算法等。其中，AH协议和ESP协议用于提供安全服务，IKE协议用于密钥交换。
整个IPSec VPN地实现基本简化为两个SA协商完成
SA（security association）：是两个通信实体经协商建立起来地一种协议，它们决定了用来保护数据包安全地IPsec协议，转码方式，密钥，以及密钥地有效存在时间等等
IKE（isakmp）SA： 协商对IKE数据流进行加密以及对对等体进行验证地算法（对密钥地加密和peer地认证） 对等体之间只能存在一个
第一阶段：建立ISAKMPSA协商的是以下信息：
1、对等体之间采用何种方式做认证，是预共享密钥还是数字证书。
2、双方使用哪种加密算法（DES、3DES）
3、双方使用哪种HMAC方式，是MD5还是SHA
4、双方使用哪种Diffie-Hellman密钥组
5、使用哪种协商模式（主模式或主动模式）
6、协商SA的生存期
IPSec SA： 协商对对等体之间地IP数据流进行加密地算法 对等体之间可以存在多个
第二阶段：建立IPsecSA协商的是以下信息：
1、双方使用哪种封装技术，AH还是ESP
2、双方使用哪种加密算法
3、双方使用哪种HMAC方式，是MD5还是SHA
4、使用哪种传输模式，是隧道模式还是传输模式
5、协商SA的生存期
名词解释：
AH协议（IP协议号为51）： 提供数据源认证、数据完整性校验和防报文重放功能，它能保护通信免受篡改，但不能防止窃听，适合用于传输非机密数据。AH的工作原理是在每一个数据包上添加一个身份验证报文头，此报文头插在标准IP包头后面，对数据提供完整性保护。可选择的认证算法有MD5（Message Digest）、SHA-1（Secure Hash Algorithm）等。
ESP协议（IP协议号为50）： 提供加密、数据源认证、数据完整性校验和防报文重放功能。ESP的工作原理是在每一个数据包的标准IP包头后面添加一个ESP报文头，并在数据包后面追加一个ESP尾。与AH协议不同的是，ESP将需要保护的用户数据进行加密后再封装到IP包中，以保证数据的机密性。常见的加密算法有DES、3DES、AES等。同时，作为可选项，用户可以选择MD5、SHA-1算法保证报文的完整性和真实性。
IPSec有两种工作模式：
隧道（tunnel）模式： 用户的整个IP数据包被用来计算AH或ESP头，AH或ESP头以及ESP加密的用户数据被封装在一个新的IP数据包中。通常，隧道模式应用在两个安全网关之间的通讯。
传输（transport）模式： 只是传输层数据被用来计算AH或ESP头，AH或ESP头以及ESP加密的用户数据被放置在原IP包头后面。通常，传输模式应用在两台主机之间的通讯，或一台主机和一个安全网关之间的通讯。
1. 数据认证
数据认证有如下两方面的概念：
身份认证：身份认证确认通信双方的身份。支持两种认证方法：预共享密钥（pre-shared-key）认证和基于PKI的数字签名（rsa-signature）认证。
身份保护：身份数据在密钥产生之后加密传送，实现了对身份数据的保护。
2. DH
DH（Diffie-Hellman，交换及密钥分发）算法是一种公共密钥算法。通信双方在不传输密钥的情况下通过交换一些数据，计算出共享的密钥。即使第三者（如黑客）截获了双方用于计算密钥的所有交换数据，由于其复杂度很高，不足以计算出真正的密钥。所以，DH交换技术可以保证双方能够安全地获得公有信息。
3. PFS
PFS（Perfect Forward Secrecy，完善的前向安全性）特性是一种安全特性，指一个密钥被破解，并不影响其他密钥的安全性，因为这些密钥间没有派生关系。对于IPsec，是通过在IKE阶段2协商中增加一次密钥交换来实现的。PFS特性是由DH算法保障的。
IKE的交换过程
IKE使用了两个阶段为IPsec进行密钥协商并建立SA：
第一阶段，通信各方彼此间建立了一个已通过身份认证和安全保护的通道，即建立一个ISAKMP SA。第一阶段有主模式（Main Mode）和野蛮模式（Aggressive Mode）两种IKE交换方法。
第二阶段，用在第一阶段建立的安全隧道为IPsec协商安全服务，即为IPsec协商具体的SA，建立用于最终的IP数据安全传输的IPsec SA。
如图2-1所示，第一阶段主模式的IKE协商过程中包含三对消息：
l 第一对叫SA交换，是协商确认有关安全策略的过程；
l 第二对消息叫密钥交换，交换Diffie-Hellman公共值和辅助数据（如：随机数），密钥材料在这个阶段产生；
l 最后一对消息是ID信息和认证数据交换，进行身份认证和对整个第一阶段交换内容的认证。
野蛮模式交换与主模式交换的主要差别在于，野蛮模式不提供身份保护，只交换3条消息。在对身份保护要求不高的场合，使用交换报文较少的野蛮模式可以提高协商的速度；在对身份保护要求较高的场合，则应该使用主模式。
IKE在IPsec中的作用
l 因为有了IKE，IPsec很多参数（如：密钥）都可以自动建立，降低了手工配置的复杂度。
l IKE协议中的DH交换过程，每次的计算和产生的结果都是不相关的。每次SA的建立都运行DH交换过程，保证了每个SA所使用的密钥互不相关。
l IPsec使用AH或ESP报文头中的序列号实现防重放。此序列号是一个32比特的值，此数溢出后，为实现防重放，SA需要重新建立，这个过程需要IKE协议的配合。
l 对安全通信的各方身份的认证和管理，将影响到IPsec的部署。IPsec的大规模使用，必须有CA（Certificate Authority，认证中心）或其他集中管理身份数据的机构的参与。
l IKE提供端与端之间动态认证。
IPsec与IKE的关系
图 5 IPsec与IKE的关系图
从图2-2中我们可以看出IKE和IPsec的关系：
l IKE是UDP之上的一个应用层协议，是IPsec的信令协议；
l IKE为IPsec协商建立SA，并把建立的参数及生成的密钥交给IPsec；
l IPsec使用IKE建立的SA对IP报文加密或认证处理。
SSL VPN简介
SSL VPN是以SSL协议为安全基础的VPN远程接入技术，移动办公人员（在SSL VPN中被称为远程用户）使用SSL VPN可以安全、方便的接入企业内网，访问企业内网资源，提高工作效率。
SSL VPN技术优势：
无客户端的便捷部署
应用层接入的安全保护
企业延伸的效率提升
SSL协议从身份认证、机密性、完整性三个方面确保了数据通信的安全 。
SSL VPN实现私密性 完整性 不可否认 源认证
SSL VPN的特点：
采用B/S架构，远程用户无需安装额外软件，可直接使用浏览器访问内网资源。
SSL VPN可根据远程用户访问内网资源的不同，对其访问权限进行高细粒度控制。
提供了本地认证、服务器认证、认证匿名和证书挑战多种身份认证方式，提高身份认证的灵活性。
可以使用主机检查策略。
缓存清理策略用于清理远程用户访问内网过程中在终端上留下的访问哼唧，加固用户的信息安全。
PN类型详解 PPTP VPN
PPTP：点对点隧道协议，一种支持多协议虚拟专用网络（VPN）的网络技术，工作在第二层数据链路层。以同样工作在第二层的点对点传输协议（PPP）为基础，PPTP将PPP帧封装成IP数据包，以便于在互联网上传输并可以通过密码验证协议（PAP），可扩展认证协议（EAP）增加安全性。远程用户能够通过安装有点对点协议的操作系统访问公司网络资源。
PPTP VPN的实现需要：客户机和服务器之间必须有联通并且可用的IP网络。
该VPN可在Windows、Linux环境下搭建，或者通过配置路由器来实现。
L2F：第二层转发协议。 用于建立跨越公共网络的安全隧道来将ISP POP连接到企业内部网关。这个隧道建立了一个用户与企业客户网络间的虚拟点对点连接。 L2F允许高层协议的链路层隧道技术，使得把原始拨号服务器的位置和拨号协议连接终止与提供的网络访问位置分离成为可能。
L2TP VPN
L2TP：二层隧道协议，结合PPTP与L2F两种二层隧道协议的优点，为众多公司接受。 L2TP扩展了PPP模型，它使用PPP来封装用户数据，允许多协议通过隧道传送，作为安全性增强，L2TP与IPSec（Internet协议安全性）结合——L2TP/IPsec， L2TP基于UDP协议，因此L2TP不保证数据消息的可靠投递，若数据丢失，不予重传。
L2TP 的实现：与PPTP不同， PPTP要求网络为IP网络，L2TP要求面向数据包的点对点连接。
该VPN可在Windows、Linux环境下搭建，或者通过配置防火墙、路由器来实现。
MPLS VPN
MPLS：多协议标签交换（MPLS）是一种用于快速数据包交换和路由的体系，它为网络数据流量提供了目标、路由地址、转发和交换等能力。更特殊的是，它具有管理各种不同形式通信流的机制。
它提供了一种方式，将IP地址映射为简单的具有固定长度的标签，用于不同的包转发和包交换技术。
传统的VPN是基于 PPTP L2TP等隧道协议来实现私有网络间数据流在公网上的传送。而LSP本身就是公网上的隧道，所以用MPLS来实现VPN有天然的优势。
基于MPLS的VPN就是通过LSP将私有网络的不同分支联结起来，形成一个统一的网络。基于MPLS的VPN还支持对不同VPN间的互通控制。
MPLSVPN网络主要由CE、PE和P等3部分组成：
CE（Customer Edge）：用户网络边缘设备，可以是路由器 交换机 主机。
PE（Provider Edge）：是服务商边缘路由器，位于骨干网络。
P（Provider）：是服务提供商网络中的骨干路由器
SSL工作Socket层,IPsec工作在网络层.
SSL(安全套接层)是一个du基于标准的加密协议，提供加密和身份zhi识别服务。daoSSL广泛应用于在互联网上提供加密的通讯。SSL最普通的应用是在网络浏览器中通过HTTPS实现的。然而，SSL是一种透明的协议，对用户基本上是不可见的，它可应用于任何基于TCP/IP的应用程序。
通用路由封装协议GRE（Generic Routing Encapsulation） 提供了 将一种协议的报文封装在另一种协议报文中 的机制，是一种 隧道封装技术 。GRE可以 封装组播数据 ，并可以 和IPSec结合使用 ，从而保证语音、视频等组播业务的安全
IPSec 用于在两个端点之间提供安全的IP通信，但只能加密并传播单播数据，无法加密和传输语音、视频、动态路由协议信息等组播数据流量
GRE属于网络层协议 IP协议号为47
GRE的优点总结：
GRE实现机制简单，对隧道两端的设备负担小
GRE隧道可以通过IPv4网络连通多种网络协议的本地网络，有效利用了原有的网络架构，降低成本
GRE隧道扩展了跳数受限网络协议的工作范围，支持企业灵活设计网络拓扑
GRE隧道可以封装组播数据，和IPSec结合使用时可以保证语音、视频等组播业务的安全
GRE隧道支持使能MPLS LDP，使用GRE隧道承载MPLS LDP报文，建立LDP LSP，实现MPLS骨干网的互通
GRE隧道将不连续的子网连接起来，用于组建实现企业总部和分支间安全的连接
GRE属于网络层协议 IP协议号为47
GRE的优点总结：
GRE实现机制简单，对隧道两端的设备负担小
GRE隧道可以通过IPv4网络连通多种网络协议的本地网络，有效利用了原有的网络架构，降低成本
GRE隧道扩展了跳数受限网络协议的工作范围，支持企业灵活设计网络拓扑
GRE隧道可以封装组播数据，和IPSec结合使用时可以保证语音、视频等组播业务的安全
GRE隧道支持使能MPLS LDP，使用GRE隧道承载MPLS LDP报文，建立LDP LSP，实现MPLS骨干网的互通
GRE隧道将不连续的子网连接起来，用于组建,实现企业总部和分支间安全的连接
隧道接口
GRE隧道是通过隧道两端的 Tunnel接口 建立的，所以需要在隧道两端的设备上分别配置 Tunnel接口 。对于GRE的Tunnel接口，需要指定其协议类型为GRE、源地址或源接口、目的地址和Tunnel接口IP地址
隧道接口（tunnel接口） 是为实现报文的封装而提供的一种点对点类型的虚拟接口 与loopback接口类似 都是一种 逻辑接
GRE隧道接口包含 源地址 、 目的地址 和 隧道接口IP地址 和 封装类型
Tunnel的源地址：配置报文传输协议中的源地址。
当配置地址类型时，直接作为源地址使用
当配置类型为源接口时，取该接口的IP地址作为源地址使用
Tunnel的目的地址 ：配置报文传输协议中的目的地址
Tunnel接口IP地址 ：为了在Tunnel接口上启用动态路由协议，或使用静态路由协议发布Tunnel接口，需要为Tunnel接口分配IP地址。Tunnel接口的IP地址可以不是公网地址，甚至可以借用其他接口的IP地址以节约IP地址。但是当Tunnel接口借用IP地址后，该地址不能直接通过tunnel口互通，因此在借用IP地址情况下，必须配置静态路由或路由协议先实现借用地址的互通性，才能实现Tunnel的互通。
L2TP基本概念：
L2TP（Layer 2 Tunneling Protocol） VPN是一种用于承载PPP报文的隧道技术，该技术主要应用在远程办公场景中为出差员工远程访问企业内网资源提供接入服务。
L2TP VPN的优点：
身份验证机制，支持本地认证，支持Radius服务器等认证方式
多协议传输，L2TP传输PPP数据包，PPP本身可以传输多协议，而不仅仅是IP可以在PPP数据包内封装多种协议
计费认证地址分配
可在LAC和LNS两处同时计费，即ISP处（用于产生账单）及企业网关（用于付费及审计）。L2TP能够提供数据传输的出入包数、字节数以及连接的起始、结束时间等计费数据，可根据这些数据方便地进行网络计费
LNS可放置于企业网的USG之后，对远端用户地址进行动态分配和管理，可支持私有地址应用
不受NAT限制穿越，支持远程接入，灵活的身份验证及时以及高度的安全性，L2TP协议本身并不提供连接的安全性，但它可以依赖于PPP提供的认证（CHAP、PAP等），因此具有PP所具有的所有安全特性。
L2TP和PPTP区别：
L2TP：公有协议、UDP1701、支持隧道验证，支持多个协议，多个隧道，压缩字节，支持三种模式
PPTP：私有协议、TCP1723、不支持隧道验证，只支持IP、只支持点到点
PPTP：
点对点隧道协议（PPTP）是由包括Microsoft和3com等公司组成的PPTP论坛开发的，一种点对点隧道协议，基于拔号使用的PPP协议使用PAP或CHAP之类的加密算法，或者使用Microsoft的点对点加密算法MPPE。
L2TP：
第二层隧道协议（L2TP）是IETF基于L2F（Cisco的2层转发协议）开发的PPTP后续版本，是一种工业标准Internet隧道协议。
两者的主要区别主要有以下几点：
PPTP只能在两端间建立单一隧道，L2TP支持在两端点间使用多隧道，这样可以针对不同的用户创建不同的服务质量
L2TP可以提供隧道验证机制，而PPTP不能提供这样的机制，但当L2TP或PPTP与IPSec共同使用时，可以由IPSec提供隧道验证，不需要在第二层协议上提供隧道验证机制
PPTP要求互联网络为IP网络，而L2TP只要求隧道媒介提供面向数据包的点对点连接，L2TP可以在IP（使用UDP），FR，ATM，x.25网络上使用
L2TP可以提供包头压缩。当压缩包头时，系统开销（voerhead）占用4个字节，而PPTP协议下要占用6个字节
有无黑色要看楼主所在城市了。有的小城市 Spizike 这样的鞋子是不会上，或者颜色一定上不全的。楼主若想入得话，可以上网或者托同学在其他城市留意下。 这双 Spizike的定位其实是靴类，个人感觉很有当年NIKE推出的"SWAT"的范儿，实物中这鞋的后跟部分和鞋头部分材质是偏灰色的质地，搭配了低调而潮流的爆裂纹样饰面，非常入流又适合平日穿着，很不错的选择。
