新疆大学：《网络安全基础》课程教学资源（实验指导）实验7 网络安全架构（IP安全）.doc_大学文库

安全服务器：对所有P通讯总是使用Kerberos信任请求安全。不允许与不被信任的客户端的不安全通讯。这个策略用于必须采用安全通道进行通信的计算机。客户端：正常通信，默认情况下不使用IPSec。.如果通信对方请求IPSec安全通信，则可以建立IPSec虚拟专用隧道。只有与服务器的请求协议和端口通信是安全的。服务器：默认情况下，对所有IP通信总是使用Kerberos信任请求安全。允许与不响应请求的客户端的不安全通信。 (3)以上策略可以在单台计算机上进行指派，也可以在组策略上批量指派，为了达到通过协商后双方可以通信的目的，通信双方都需要设置同样的策略并加以指派。 2.定制IPSec安全策略 (1)双击“安全服务器（需要安全）”项，进入“安全服务器属性”页，可以看到在“规则”页签中己经存在3个“P安全规则”，单击“添加”按钮，进入向导添加新安全规则 (2)在本练习中，我们实现的是两台主机之间的IPsc安全隧道，而不是两个网络之间的安全通信，因此，我们选择“此规则不指定隧道”，即选用传输模式PSc,选中后单击“下一步”按钮。 (3)在选择网络类型的界面。安全规则可以应用到3种网络类型：所有网络连接、局域网AN)和远程访问。本练习中，我们选择“所有网络连接”，单击“下一步”按钮。 (4)在P筛选器列表界面。我们定制自己的筛选操作，单击“添加”按钮，进入“1P筛选器列表”界面，如图2所示。景结是陆组成。这样，多个子网地址和协议可添加负)， P荡选器货) 使用添加向导Y) 通讯协议源端口目标端口确定☐取消图2IP筛选器列表 (5)定制自己的P筛选器。点击“添加”按钮进入“1P筛选器向导”，单击“下一步”按钮： (6)在“P筛选器描述和镜像屈性”的“描述”中，可自由添加对新增筛选器的解释信息，在这里输入“与同组主机进行安全的icmp通信”，单击“下一步”按钮： (7)1P通信源选择“我的P地址”，单击“下一步”按钮： (8)P通信目标选择“一个特定的P地址”，P地址填写：同组主机P,单击“下一步”按钮： (9)选择“ICMP”协议类型，单击“下一步”按钮。单击“完成”按钮，完成定制P筛选器： (10)单击“确定”按钮，退出“1P筛选器列表”对话框。 4/8

4 / 8 安全服务器：对所有 IP 通讯总是使用 Kerberos 信任请求安全。不允许与不被信任的客户端的不安全通讯。这个策略用于必须采用安全通道进行通信的计算机。客户端：正常通信，默认情况下不使用 IPSec。如果通信对方请求 IPSec 安全通信，则可以建立 IPSec 虚拟专用隧道。只有与服务器的请求协议和端口通信是安全的。服务器：默认情况下，对所有 IP 通信总是使用 Kerberos 信任请求安全。允许与不响应请求的客户端的不安全通信。（3）以上策略可以在单台计算机上进行指派，也可以在组策略上批量指派，为了达到通过协商后双方可以通信的目的，通信双方都需要设置同样的策略并加以指派。 2. 定制 IPSec 安全策略（1）双击“安全服务器(需要安全)”项，进入“安全服务器属性”页，可以看到在“规则”页签中已经存在 3 个“IP 安全规则”，单击“添加”按钮，进入向导添加新安全规则。（2）在本练习中，我们实现的是两台主机之间的 IPSec 安全隧道，而不是两个网络之间的安全通信，因此，我们选择“此规则不指定隧道”，即选用传输模式 IPSec，选中后单击“下一步”按钮。（3）在选择网络类型的界面。安全规则可以应用到 3 种网络类型：所有网络连接、局域网(LAN)和远程访问。本练习中，我们选择“所有网络连接”，单击“下一步”按钮。（4）在 IP 筛选器列表界面。我们定制自己的筛选操作，单击“添加”按钮，进入“IP 筛选器列表”界面，如图 2 所示。图 2 IP 筛选器列表（5）定制自己的 IP 筛选器。点击“添加”按钮进入“IP 筛选器向导”，单击“下一步”按钮；（6）在“IP 筛选器描述和镜像属性”的“描述”中，可自由添加对新增筛选器的解释信息，在这里输入“与同组主机进行安全的 icmp 通信”，单击“下一步”按钮；（7）IP 通信源选择“我的 IP 地址”，单击“下一步”按钮；（8）IP 通信目标选择“一个特定的 IP 地址”，IP 地址填写：同组主机 IP，单击“下一步”按钮；（9）选择“ICMP”协议类型，单击“下一步”按钮。单击“完成”按钮，完成定制 IP 筛选器；（10）单击“确定”按钮，退出“IP 筛选器列表”对话框

操作界面返回到“安全规则向导”，设置新的P筛选器： (1)在“P筛选器列表”中选中“新P筛选器列表”，单击“下一步”按钮：峰击2李鸡器迷作~界面击“添加~技组新建缩选器作，在弹出的“路选器操作向母~界面中 (3)新的筛选器操作名称为“安全的ICMP通信”，描述自定义，单击“下一步”按钮： (4)在“筛选器操作常规选项”中选中“协商安全”，单击“下一步”按钮： (5)选中“不与不支持PSec的计算机通信”，单击“下一步”按钮： (6)在“IP通信安全措施 ”中，选择“完整性和加密”，单击“下一步”按钮：最后单击“完成”按钮完成筛选器操作设置 (7)返回到“安全规则向导”，在“筛选器操作”列表中选中“安全的1CMP通信”，单击“下一步” 按钮： 8)在“身份验证方法”界面。选中“使用此字符串保护密钥交换（预共享密钥”，填写共享密钥“55” (住机A、主机B的共享密钥必须一致)，单击“下一步”按钮，直至最终完成三二、使用Ping命令进行IPSecVPN检测「注」应用策略之前必须指派策略，否则策略不会自动生效。右键点击“安全服务器”，选择“指派” 使策略生效。 (1)主机A不指派管略，主机B不指派管路主机A在“cmd”控制台中，输入如下命令：ping主机B的IP 填写ping操作反馈信息： (2)主机A指派策略，主机B不指派策略。主机A在“cmd”控制台中，输入如下命令：ping主机B的P 填写ing操作反馈信息： (3)主机A不指派策略，主机B指派策略。主机A在“cmd 控制台中，输入如下命令：ping主机B的IP 填写ping操作反馈信总： (4)主机A指派策略，主机B指派策略。主机A在“cmd”控制台中，输入如下命令：ping主机B的P 填写ping操作反馈信息：三、AH协议分析 (1)主机A、B同时进行如下操作，修改“1CMP安全通信策略”，利用A州协议对数据源进行身份验证，而不对传输数据进行加密处理。 (2)在“本地安全设置”界面中，双击“安全服务器（需要安全）”： (3)在“属性”对话框中，双击“新P筛选器列表《④在“编辑规则属性”对话框中，选择筛选器操作”页签，双击“安全的1GMP通信”： (5)在“属性”对话框中，选择“安全措施”页签，在“安全措施首选顺序”中，双击唯一的一条规则： (6)在“编辑安全措施”对话框中，选中“自定义”，单击“设置”按钮，具体操作如图3所示。 518

5 / 8 操作界面返回到“安全规则向导”，设置新的 IP 筛选器：（1）在“IP 筛选器列表”中选中“新 IP 筛选器列表”，单击“下一步”按钮；（2）在“筛选器操作”界面单击“添加”按钮新建筛选器操作，在弹出的“筛选器操作向导”界面中，单击“下一步”按钮；（3）新的筛选器操作名称为“安全的 ICMP 通信”，描述自定义，单击“下一步”按钮；（4）在“筛选器操作常规选项”中选中“协商安全”，单击“下一步”按钮；（5）选中“不与不支持 IPSec 的计算机通信”，单击“下一步”按钮；（6）在“IP 通信安全措施”中，选择“完整性和加密”，单击“下一步”按钮；最后单击“完成”按钮完成筛选器操作设置。（7）返回到“安全规则向导”，在“筛选器操作”列表中选中“安全的 ICMP 通信”，单击“下一步” 按钮；（8）在“身份验证方法”界面。选中“使用此字符串保护密钥交换(预共享密钥)”，填写共享密钥“jlcss” (主机 A、主机 B 的共享密钥必须一致)，单击“下一步”按钮，直至最终完成。二、使用 Ping 命令进行 IPSec VPN 检测「注」应用策略之前必须指派策略，否则策略不会自动生效。右键点击“安全服务器”，选择“指派” 使策略生效。（1）主机 A 不指派策略，主机 B 不指派策略。主机 A 在“cmd”控制台中，输入如下命令：ping 主机 B 的 IP 填写 ping 操作反馈信息：。（2）主机 A 指派策略，主机 B 不指派策略。主机 A 在“cmd”控制台中，输入如下命令：ping 主机 B 的 IP 填写 ping 操作反馈信息：。（3）主机 A 不指派策略，主机 B 指派策略。主机 A 在“cmd”控制台中，输入如下命令：ping 主机 B 的 IP 填写 ping 操作反馈信息：。（4）主机 A 指派策略，主机 B 指派策略。主机 A 在“cmd”控制台中，输入如下命令：ping 主机 B 的 IP 填写 ping 操作反馈信息：。三、AH 协议分析（1）主机 A、B 同时进行如下操作，修改“ICMP 安全通信策略”，利用 AH 协议对数据源进行身份验证，而不对传输数据进行加密处理。（2）在“本地安全设置”界面中，双击“安全服务器(需要安全)”；（3）在“属性”对话框中，双击“新 IP 筛选器列表”；（4）在“编辑规则属性”对话框中，选择“筛选器操作”页签，双击“安全的 ICMP 通信”；（5）在“属性”对话框中，选择“安全措施”页签，在“安全措施首选顺序”中，双击唯一的一条规则；（6）在“编辑安全措施”对话框中，选中“自定义”，单击“设置”按钮，具体操作如图 3 所示