如何使用IPSEC
如何使用 IPSec 在两个服务器之间进行安全通信
本页内容
![]() |
目标 |
![]() |
适用范围 |
![]() |
如何使用本章内容 |
![]() |
摘要 |
![]() |
您必须了解的背景知识 |
![]() |
创建 IP 筛选器 |
![]() |
创建筛选器操作 |
![]() |
创建规则 |
![]() |
将 IPSec 策略导出到远程计算机 |
![]() |
分配策略 |
![]() |
验证它是否正常运行 |
![]() |
其他资源 |
目标
本章的目标是:
• |
使用 IPSec 在两台 Microsoft® |
适用范围
本章适用于以下产品和技术:
• |
Windows 2000 Server(带 Service Pack 3) |
• |
Microsoft 网络监视器 |
• |
Microsoft .NET Framework 版本 1.0 (Service Pack 2) 以及更高版本 |
• |
Microsoft Visual Studio® 1.0 .NET 以及更高版本 |
• |
Microsoft Visual C#® .NET |
• |
Microsoft SQL Server® 2000 (Service Pack 2) 以及更高版本 |
如何使用本章内容
若要学好本章内容:
• |
必须具有两台运行 Windows 2000 Server 操作系统的计算机,并配置如下:
|
||||
• |
您必须具有使用 Visual C# .NET 进行编程的经验。 |
||||
• |
您必须具有使用 Visual Studio .NET 开发环境的经验。 |
||||
• |
您必须具有使用 Windows 管理工具配置 Windows 2000 Server 的经验。 |
||||
• |
您必须具有使用网络监视器工具的经验。 |
||||
• |
阅读第 4 章安全通信。这一章概述了与通信通道相关的问题,并简要介绍了 IPSec。 |
摘要
Internet 协议安全性 (IPSec) 是一种传输层机制,通过它可以确保在计算机之间传送的基于 TCP/IP 的通信的机密性和完整性。IPSec 还支持基于计算机的身份验证。由于具备这些特点,IPSec 已成为在计算机之间提供安全通信通道的理想之选,而且,它对于所有应用程序都是透明的。
本章介绍如何使用 IPSec 在两台计算机之间配置安全的通信通道。
您必须了解的背景知识
Internet 协议安全性 (IPSec) 可用来保护在两台计算机(例如一台应用程序服务器与一台数据库服务器)之间传送的数据的安全。IPSec 对应用程序来说是完全透明的,因为加密、完整性和身份验证等服务是在传输层实现的。应用程序可以继续使用 TCP 端口和 UDP 端口以正常方式相互通信。
使用 IPSec,您可以:
• |
对两台计算机之间传送的所有数据加密,从而实现消息机密性。 |
• |
在两台计算机之间提供消息完整性(但不加密数据)。 |
• |
在两台计算机之间相互验证身份。例如,您可以建立只允许特定客户端计算机(例如应用程序服务器或 Web 服务器)所发请求的策略,从而帮助保护数据库服务器的安全。 |
• |
限制哪些计算机能够相互通信。您也可以限制只与特定的 IP 协议和 TCP/UDP 端口通信。 |
本章说明如何保护应用程序服务器与运行 SQL Server 2000 的数据库服务器之间的通信通道。应用程序服务器使用建议的 TCP/IP 客户端网络库连接到 SQL Server,并使用默认的 SQL Server TCP 端口 1433。图 1 中显示了此配置。
![“如何”解决方案配置](http://img.microsoft.com/china/technet/security/guidance/images/secmod32_01.jpg)
图 1
“如何”解决方案配置
本章说明如何使用一个简单的 IPSec 策略来实现以下功能:
• |
应用程序服务器与 SQL Server 之间的通信只能通过端口 1433 使用 TCP 来实现。 |
• |
丢弃所有其他 IP 数据包,包括 ICMP (ping)。 |
• |
对在两台计算机之间传送的所有数据进行加密以保证机密性。 |
此方法的优点是:
• |
可为在两台计算机之间传送的所有数据提供数据机密性。 |
• |
SQL Server 上的攻击面大大减少。剩下的唯一攻击点是以交互方式登录到数据库服务器,或者获得应用程序服务器的控制权并尝试在端口 1433 上通过 TCP 攻击 SQL Server。 |
• |
IPSec 策略的定义和实现非常简单。 |
此策略存在以下不足之处:
• |
SQL Server 不能与域控制器通信,因此:
|
||||||
• |
SQL Server 不能与其他计算机(包括 DNS 服务器)通信。 |
||||||
• |
本章介绍的方法使用预共享密钥身份验证,对于生产方案建议不要使用此方法。生产系统应该使用证书或 Windows 2000 域身份验证。使用预共享机密的 IPSec 策略只适合于开发或测试环境。 |
||||||
• |
两台计算机都必须有静态 IP 地址。 |
备注
• |
IPSec 策略由一组筛选器、筛选器操作和规则组成。 |
||||||||
• |
“筛选器”由以下内容组成:
|
||||||||
• |
还可以在两台计算机上对筛选器进行镜像。镜像筛选器在客户端和服务器计算机上应用相同的规则(源地址和目标地址互换)。 |
||||||||
• |
“筛选器操作”指定调用特定的筛选器时采取的操作。它可以是下面任何一种:
|
||||||||
• |
“规则”将筛选器与筛选器操作关联起来。 |
||||||||
• |
“镜像”策略将规则应用于所有数据包(源 IP 地址和目标 IP 地址正好互换)。本章将创建镜像策略。 |
创建 IP 筛选器
• |
在数据库服务器计算机上创建新的 IP 筛选器
|
创建筛选器操作
此过程创建两个筛选器操作。第一个用于禁止来自指定计算机的所有通信,第二个用于在应用程序服务器与数据库服务器计算机之间强制使用加密。
• |
创建筛选器操作
|
创建规则
此过程创建两个新规则,用于将您在过程 1 中创建的筛选器与您在过程 2 中创建的两个筛选器操作关联起来。
• |
创建规则
|
将 IPSec 策略导出到远程计算机
已经在数据库服务器上创建的 IPSec 策略现在必须导出并复制到应用程序服务器计算机中。
• |
将 IPSec 策略导出到应用程序服务器计算机
|
分配策略
在 IPSec 策略变得活动之前,必须先分配该策略。注意,在一台特定的计算机上,任何时候只能有一个策略是活动的。
• |
在应用程序服务器和数据库服务器计算机上分配 Secure SQL 策略
|
验证它是否正常运行
此过程使用网络监视器来验证在应用程序服务器与数据库服务器之间发送的数据是否已加密。
• |
验证它是否正常运行
|
其他资源
有关 IPSec 的更多信息,请参见 TechNet 上的“IP Security and Filtering”(IP 安全性和筛选):http://www.microsoft.com/technet/treeview/default.asp?url=/technet/prodtechnol/winxppro/reskit/prcc_tcp_erqb.asp?frame=true>。
有关网络监视器的更多信息,请参见 MSDN 上的 Microsoft Platform SDK 的“Network Monitor”(网络监视器)部分:http://msdn.microsoft.com/library/default.asp?url=/library/en-us/netmon/netmon/network_monitor.asp。
爱东东
我的各类资源收集收集网站 http://tag.iddgame.com
我的实验性技术网站 http://www.iddgame.com
我的魔兽世界网站 http://www.iddwow.com.cn