抓包分析ISAKMP協(xié)商過程

1、抓包分析ISAKMP協(xié)商過程第一階段主模式原理分析MM 模式下：6個(gè)包1-2 包：雙方互相提供可以實(shí)現(xiàn)的Isakmp參數(shù) 包括下面的內(nèi)容 1 對端ip 2 authentication 方式：presharekey CA 等 3 加密類型 des 3des aes 4 hash md5 sha-1 5 DH 1,2.73-4 包 通過DH算法產(chǎn)生可以密鑰 1 給isakmp phase 1 階段使用 2 給ISakmap phase2 階段使用5-6 包 驗(yàn)證對等體的身份,建立isakmp sa 1 共享密鑰 2 CA 3 NO-nonce在MM模式下要配置參數(shù)在 1 cryipsec isa

2、kmp key cisco address X.x.X.X-配置共享密鑰 2 authentication 方式：presharekey CA 等 3 加密類型 des 3des aes 4 hash md5 sha-1 5 DH 1,2.7 第1-2個(gè)數(shù)據(jù)包1.作用（1）通過數(shù)據(jù)包源地址確認(rèn)對端體的和合法性。（2）協(xié)商IKE策略2.第一個(gè)包的格式通過比較收到的數(shù)據(jù)包的源地址和本端配置的CRYPTO ISAKMP KEY 密碼 address IP 中的IP 是否相等驗(yàn)證合法性。相等就接收設(shè)個(gè)包，不相等就丟棄。通過上圖可以看出，模式是主模式，載荷類型是SA，數(shù)目是一個(gè)，內(nèi)容是IKE策略。3.第

3、二個(gè)包通過上面的圖可以看出是協(xié)商后的策略。 第3-4個(gè)數(shù)據(jù)包1.作用（1）通過協(xié)商DH產(chǎn)生第一階段的密碼。2 第三個(gè)包格式從上圖可看出模式主模式，載荷類型是密鑰交換和廠商載荷。說明：DH是一種非對稱密鑰算法，基于一個(gè)知名的單項(xiàng)函數(shù)，A=Gamode p 這個(gè)函數(shù)的特點(diǎn)是在G 和p 很多的情況下已知a求A很容易，反之基本不可能。關(guān)于這個(gè)算法詳情可以參考網(wǎng)絡(luò)上的相關(guān)文章。IPSEC就是通過這種方式，協(xié)商密鑰的。有了這個(gè)秘密就可以通過衍生算法得到密鑰和HMAC吃了IKE的密鑰，感興趣的密鑰也從這個(gè)密鑰衍生出來的，所以說這個(gè)密鑰是IPSEC的始祖。3.第四個(gè)包基本這第三個(gè)相同，在不在給出。第5-6個(gè)數(shù)

4、據(jù)包1.作用這個(gè)過程主要任務(wù)是認(rèn)證。（通過1-2和3-4的協(xié)商已經(jīng)具備策略和密鑰所以這個(gè)階段已經(jīng)在安全環(huán)境中進(jìn)行了）2.第五個(gè)包的格式從上圖可以看出，模式只主模式，載荷聯(lián)系身份認(rèn)證，F(xiàn)LAGS這個(gè)開源參考IETF IP 安全標(biāo)識數(shù)據(jù)的特定細(xì)節(jié)。（這些已經(jīng)比較難了）3.第六個(gè)包格式說明此文檔只是驗(yàn)證了共享密鑰的驗(yàn)證方法，證書驗(yàn)證在以后的文章中給出。第二階段快速模式 3個(gè)包l 1 對MM模式的IKE參數(shù)做加密驗(yàn)證l 2 交換 IPSEC 轉(zhuǎn)換集transformer-setl 3 接受者確認(rèn)發(fā)起者提出的參數(shù)，并建立ipsec sa1.作用在安全的環(huán)境中協(xié)商處理感興趣流的策略。主要包括：（1）感興趣

5、流（2）加密策略（3）散列函數(shù)（4）封裝協(xié)議（5）封裝模式（6）密鑰的有效期2.第一個(gè)包發(fā)送方會把感興趣流和相關(guān)的IPSEC策略發(fā)給對方，有對方選擇合適的策略。從上圖可以看出模式是快速模式，類型是HASH載荷，已經(jīng)是安全環(huán)境了。由于是加密的數(shù)據(jù)，所以在這里看不出具體的內(nèi)容。3.第二 三個(gè)包由于是加密數(shù)據(jù)包在此看不出什么。其實(shí)在第二 三包中已經(jīng)有了個(gè)SPI,說明：SPI簡單的說就是一個(gè)字段，用于唯一標(biāo)識一個(gè)IPSEC SA。另外第一階段的SA是雙向的，這個(gè)階段（快速模式）的SA是單向的。也就是說進(jìn)入和出去使用不同SA。還有一點(diǎn)就SPI是由目的設(shè)備決定，以為發(fā)送方接收的SPI是接收方產(chǎn)生的。后記：2個(gè)階段有什么聯(lián)系和區(qū)別：l 1 MM模式成功建立一個(gè)可以信賴的isakmp sa 并利用DH算法產(chǎn)生用于1.2 需要使用的密鑰，實(shí)際上位2階段做準(zhǔn)備l 2 實(shí)際在加密中使用的SA是2階段的ipsec sa 而不是1階段的sal 3 MM 模式的sa lifetime 24h 在Qm模式下是1hl 4 在MM階段并未使用AH ESP 只有在QM模式才使用 AH ESP 因此的實(shí)際應(yīng)有在階段l 5 主模式MM_SA，為建立信道而進(jìn)行的安全關(guān)聯(lián) 快速模式QM_SA，為數(shù)據(jù)傳輸而建立的安全關(guān)聯(lián)安全關(guān)聯(lián)SA（Security Association）是單向