книги хакеры / Trabelsi_Setevye-ataki-i-zashchita_RuLit_Me_676546

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to							Remote Access VPN Tunnel Implementation
w										m
w Click									o
	w
	.							.c
		p					g
			df			n		e
				-xcha

Чтобы отобразить сопоставление безопасности IKE Phase 2, введите следующую команду: «show crypto ipsec sa».

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
411										m
w Click
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Замечено, что текущее количество инкапсулированных, зашифрованных и переваренных пакетов равно 0; количество декапсулированных, дешифрованных и проверенных пакетов составляет 255; количество сжатых и распакованных пакетов равно 0; режим IPsec - это туннельный режим; и есть два SA, один входящий и один исходящий, и каждый SA имеет свой собственный SPI.

				hang		e
			C					E
		X
	-								d
	F									t
	D									i
										r
P						NOW!				o
					BUY
				to			412
w
w Click										o	m
	w
	.								.c
		p						g
			df			n			e
				-xcha

Network Attacks and Defenses: A Hands-on Approach

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Чтобы просмотреть более подробную информацию о VPN-туннеле, введите следующую команду:

Отображаются несколько параметров сеанса, который произошел между одноранговыми узлами, например, тип сеанса удаленный, имя пользователя user1 и назначенный ему IP-адрес 209.165.201.1, протокол пользователя Ipsec, а алгоритмы шифрования и хэширования 3DES и SHA1 соответственно. Имя туннельной группы - Cisco ASA, и время входа и продолжительность сеанса определены.

10.3.3.14 Шаг 14: Контролируйте VPN-туннель в ASA

Чтобы подробно отслеживать сеансы, нажмите на вкладку “Monitoring” и в дереве статистики VPN выберите поддерево “Sessions”. Следующий снимок экрана показывает детали сеанса, такие как имя пользователя, которое является user1; его туннельная группа Cisco ASA; назначенный IP-адрес удаленного пользователя; используемый протокол IPsec; алгоритм шифрования; и время, когда пользователь вошел в систему.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Remote Access VPN Tunnel Implementation

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
413										m
w Click
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Для просмотра более подробной информации нажмите кнопку “Details” . На следующем снимке экрана показаны подробности сопоставлений безопасности фазы 1 и фазы 2. Кроме того, алгоритм шифрования и хеширования используются на каждом этапе.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to			414
w
w Click									o	m
	w
	.							.c
		p					g
			df			n		e
				-xcha

Network Attacks and Defenses: A Hands-on Approach

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

При нажатии на кнопку “More” при выборе строки IKE Phase 1, информация о IKE SA будет отображаться, как показано на следующем снимке экрана, на котором отображается узел IKE 209.165.201.19; тип пира, который является пользователем; роль, которую она играет, которая является ответчиком; шифрование; и алгоритмы хеширования, которые являются 3DES и SHA. Режим агрессивный; Кроме того, метод аутентификации является предварительным.

Затем выберите другие поддеревья, чтобы узнать больше о статистике шифрования. Один активный сеанс использует алгоритм шифрования 3DES 100% времени, как показано на следующем экране.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Remote Access VPN Tunnel Implementation

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w415										m
w Click									o
	w
	.							.c
		p					g
			df			n		e
				-x cha

Выберите поддерево статистики протокола, чтобы просмотреть подробную информацию об используемом протоколе. Активный сеанс работает по протоколу IPsec 100% времени, как показано ниже.

Из поддерева Глобальная статистика IKE / IPsec количество активных туннелей равно 1, а предыдущие туннели - 6. Есть 111 IP-пакетов и 3 в

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to			416				Network Attacks and Defenses: A Hands-on Approach
w
w Click									o	m
	w
	.							.c
		p					g
			df			n		e
				-xcha			отбрасываемых пакетах. Кроме того, имеется 109 выходных пакетов и

выходных пакетов, как показано ниже.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
0				-x cha

Выберите поддерево Crypto Statistics и проанализируйте его статистику. Имеется 102 запроса на шифрование пакета и пакета с инкапсуляцией и 98 запросов на дешифрование и декапсуляцию пакетов. Имеется 231 запрос на расчет HMAC, 7 запросов на создание SA и 6 запросов на удаление SA. Кроме того, есть 12 запросов о распределении ключей следующего этапа, как показано ниже.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Remote Access VPN Tunnel Implementation

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w417										m
w Click									o
	w
	.							.c
		p					g
			df			n		e
				-x cha

Чтобы просмотреть информацию о туннеле VPN в графической форме, выберите “VPN Connection Graph” (График VPN-подключения), а затем “IPsec tunnels” (Туннели IPsec), чтобы открыть окно, показанное ниже:

В текстовой области доступных графиков выберите «IPsec Active tunnel» и нажмите кнопку “Add”, чтобы открыть окно, показанное ниже. Повторите предыдущий шаг с активными туннелями IKE, чтобы информация об активных туннелях IKE и IPsec была показана на графике.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to				418			Network Attacks and Defenses: A Hands-on Approach
w
w Click									o	m
	w
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Нажмите “Show Graphs” (Показать графики), и устойчивая прямая зеленая линия указывает, что туннель все еще активен, как показано в следующем окне.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

hang

e

C

E

X

-

d

F

i

t

P

D

o

NOW!

r

BUY

to

w

m

w Click

o

w

.

.c

p

df

e

g

n

-x cha

Remote Access VPN Tunnel Implementation

419

10.4 Краткое содержание главы

Поскольку потребность в любом месте и в любое время продолжает расти, удаленный доступ IPsec VPN все чаще оказывается наиболее эффективным решением для обеспечения конфиденциальности данных в Интернете. В этой главе представлено подробное объяснение решения безопасности IPsec VPN для удаленного доступа и подробно описаны основные компоненты, из которых состоит VPN IPsec удаленного доступа, а именно VPN-клиент удаленного доступа и VPN-сервер удаленного доступа. Он разделен на два раздела: обсуждение функций и конфигурации на основе устройства межсетевого экрана Juniper Networks NetScreen, а затем внедрение с использованием устройства адаптивной безопасности Cisco Microsystems. В этой главе были подробно рассмотрены и проанализированы основные концепции IPsec VPN для удаленного доступа, такие как согласование IKE Phase 1 SA и статистика пакетов IKE Phase 2.