‫ﺷﺒﻜﻪ‬
‫داده و ﺷ ﻜ‬
‫ااﻣﻨﻴﺖ ا‬
‫اﻣﻨﻴﺖ ‪IP‬‬
‫ول ‪90-91‬‬
‫ل اول‬
‫ﻲ ‪ -‬ﻧﻴﻤﺴﺎل‬
‫ﻲ اﻣﻴﻨﻲ‬
‫ﻣﺮﺗﻀﻲ‬
‫ﺮ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ‬
‫‪http://dnsl.ce.sharif.edu‬‬
‫ﻓﻬﺮﺳﺖ ﻣﻄﺎﻟﺐ‬
‫‪‬‬
‫ﻣﻘﺪﻣﻪ‬
‫‪‬‬
‫ﻣﻌﻤﺎري ‪IPSec‬‬
‫ﻣﻌ ﺎ ي‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ‪AH‬‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ‪ESP‬‬
‫‪‬‬
‫ﺗﺮﻛﻴﺐ ‪SA‬ﻫﺎ‬
‫‪‬‬
‫ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪2‬‬
‫ﻣﻘﺪﻣﻪ ‪ -‬ﻣﺜﺎﻟﻲ از ‪TCP/IP‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪3‬‬
‫‪IPV4‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪4‬‬
‫ﻣﻘﺪﻣﻪ‬
‫‪‬‬
‫‪‬‬
‫راهﺣﻞﻫﺎي اﻣﻨﻴﺘﻲ واﺑﺴﺘﻪ ﺑﻪ ﻛﺎرﺑﺮد )ﺗﺎﻛﻨﻮن(‬
‫‪‬‬
‫اﻟﻜﺘﺮوﻧﻴﻜﻲ‬
‫ﺖ اﻟﻜﺘ ﻧ ﻜ‬
‫ﺖ ﭘﺴﺖ‬
‫‪ S/MIME‬و ‪ :PGP‬ااﻣﻨﻴﺖ‬
‫‪‬‬
‫‪ :Kerberos‬اﻣﻨﻴﺖ ﺑﻴﻦ ﻛﺎرﺑﺮ‪-‬ﻛﺎرﮔﺰار )اﺣﺮاز اﺻﺎﻟﺖ(‬
‫‪‬‬
‫‪ :SSL‬اﻳﺠﺎد ﻳﻚ ﻛﺎﻧﺎل اﻣﻦ در وب‬
‫ﻧﻴﺎز ﺑﻪ اﻣﻨﻴﺖ در ﺳﻄﺢ ‪IP‬‬
‫‪‬‬
‫ﻣﺤﺮﻣﺎﻧﮕﻲ ﻣﺤﺘﻮاي ﺑﺴﺘﻪﻫﺎي ‪IP‬‬
‫‪‬‬
‫اﺣﺮاز اﺻﺎﻟﺖ ﻓﺮﺳﺘﻨﺪه و ﮔﻴﺮﻧﺪه ﺑﺴﺘﻪﻫﺎ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪5‬‬
‫ﻣﻘﺪﻣﻪ‬
‫‪‬‬
‫‪ IPSec‬ﻳﻚ ﭘﺮوﺗﻜﻞ ﺗﻨﻬﺎ ﻧﻴﺴﺖ ﺑﻠﻜﻪ ﻣﺠﻤﻮﻋﻪاي از اﻟﮕﻮرﻳﺘﻢﻫﺎي‬
‫ارﺗﺒﺎط ااﻣﻦ‬
‫ﻦ‬
‫ﺮاري ﻳﻳﻚ ار ﺒ‬
‫ﺑﺮﻗﺮاري‬
‫ﻛﻠﻲ را ﺑﺮاي ﺑﺮ‬
‫رﭼﻮﺑﻲ ﻲ‬
‫ﭼﺎرﭼﻮﺑﻲ‬
‫ﺖ ﻛﻪ ﭼ‬
‫ﻲ ااﺳﺖ‬
‫اﻣﻨﻴﺘﻲ‬
‫ا ﻴ‬
‫ﻓﺮاﻫﻢ ﻣﻲ ﻧﻤﺎﻳﺪ‪.‬‬
‫‪‬‬
‫ﺗﻮﺳﻂ ‪IPSec‬‬
‫ﺷﺪه ﺗ ﻂ‬
‫ﻓﺮاﻫﻢ ﺷﺪ‬
‫اﻣﻨﻴﺘﻲ ﻓ اﻫ‬
‫ﻫﺎي ا ﻨ ﺘ‬
‫ﺳﺮوﻳﺲﻫﺎ‬
‫‪‬‬
‫اﺣﺮاز اﺻﺎﻟﺖ )ﺑﻪ ﻫﻤﺮاه ﻛﻨﺘﺮل ﺻﺤﺖ دادهﻫﺎ(‬
‫‪‬‬
‫ﻣﺤﺮﻣﺎﻧﮕﻲ ﺑﺴﺘﻪﻫﺎ‬
‫‪‬‬
‫ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ )ﺗﺒﺎدل اﻣﻦ ﻛﻠﻴﺪ(‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪6‬‬
‫ﻛﺎرﺑﺮد ‪IPSec‬‬
‫‪‬‬
‫ﻧﻤﻮﻧﻪ ﻛﺎرﺑﺮدﻫﺎي ‪IPSec‬‬
‫‪‬‬
‫اﻳﺠﺎد ﺷﺒﻜﻪ ﺧﺼﻮﺻﻲ ﻣﺠﺎزي )‪ (VPN‬ﺑﺮاي ﺷﻌﺒﻪﻫﺎي ﻣﺨﺘﻠﻒ ﻳﻚ‬
‫ﺳﺎزﻣﺎن از ﻃﺮﻳﻖ اﻳﻨﺘﺮﻧﺖ‬
‫‪‬‬
‫دﺳﺘﺮﺳﻲ اﻣﻦ ﻛﺎرﻣﻨﺪان ﺷﺮﻛﺖ ﺑﻪ ﻣﻨﺎﺑﻊ ﺷﺒﻜﻪ از ﻃﺮﻳﻖ اﻳﻨﺘﺮﻧﺖ‬
‫‪‬‬
‫اﻣﻜﺎن ارﺗﺒﺎط اﻣﻦ ﺑﻴﻦ ﭼﻨﺪ ﺳﺎزﻣﺎن‬
‫‪‬‬
‫ﺑﻪ وﺟﻮد آوردن ﺧﺪﻣﺎت اﻣﻨﻴﺘﻲ ﺑﺮاي ﻛﺎرﺑﺮدﻫﺎي دﻳﮕﺮ )ﻣﺜﻞ ﺗﺠﺎرت‬
‫اﻟﻜﺘﺮوﻧﻴﻜﻲ(‬
‫ﺮو ﻴ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪7‬‬
‫ﻧﻤﻮﻧﻪاي‬
‫اي از ﻛﺎرﺑﺮد ‪IPSec‬‬
‫ﻧﻤﻮﻧﻪ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪8‬‬
‫ﻣﻘﺪﻣﻪ‬
‫‪‬‬
‫ﻣﺰاﻳﺎي اﺳﺘﻔﺎده از ‪IPSec‬‬
‫‪‬‬
‫ﺑﻜﺎرﮔﻴﺮي ددر‬
‫ﺻﻮرت ﺑﻜﺎ ﮔ ي‬
‫ﺧﺎرج ‪ LAN‬ددر ﺻﻮ ت‬
‫ﻦ داﺧﻞ و ﺧﺎ ج‬
‫اﻣﻨﻴﺖ ﻗﻮي ﺑﺑﻴﻦ‬
‫ﺗﺎﻣﻴﻦ اﻣﻨ ﺖ‬
‫ﺗﺎﻣ ﻦ‬
‫ﻣﺴﻴﺮﻳﺎﺑﻬﺎ و ﺣﻔﺎظ ﻫﺎ )‪Firewall‬ﻫﺎ(‬
‫‪‬‬
‫اﻧﺘﻬﺎﻳﻲ‬
‫رﻣﺰﻧﮕﺎري ددر ﻧﻘﺎط اﻧﺘﻬﺎﻳ‬
‫ﺳﺮﺑﺎر ﻣﺰﻧﮕﺎ ي‬
‫ﻋﺪم ﺳ ﺑﺎ‬
‫‪‬‬
‫ﭘﻨﻬﺎﻧﻲ از ﻧﻈﺮ ﻛﺎرﺑﺮان‬
‫‪‬‬
‫ﭘﻨﻬﺎﻧﻲ از دﻳﺪ ﺑﺮﻧﺎﻣﻪﻫﺎي ﻛﺎرﺑﺮدي ﻻﻳﻪﻫﺎي ﺑﺎﻻﺗﺮ )‪ IPSec‬زﻳﺮ ﻻﻳﻪ‬
‫اﻧﺘﻘﺎل ﻋﻤﻞ ﻣﻲﻧﻤﺎﻳﺪ(‬
‫‪‬‬
‫اﻳﺠﺎد ارﺗﺒﺎط اﻣﻦ ﺑﻴﻦ ﻛﺎرﻛﻨﺎن ﺳﺎزﻣﺎن از ﺧﺎرج ﺑﻪ داﺧﻞ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪9‬‬
‫وﻳﮋﮔﻴﻬﺎي ‪IPSec‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫داراي ﺗﻮﺻﻴﻒ ﻧﺴﺒﺘﺎ ﻣﺸﻜﻞ‬
‫اﻟﺰاﻣﻲ در ‪ IPv6‬و اﺧﺘﻴﺎري در ‪IPv4‬‬
‫ﭘﺮوﺗﻜﻞ ‪ IPSec‬در ﺳﺮآﻳﻨﺪﻫﺎي ﺗﻮﺳﻌﻪ ﻳﺎﻓﺘﻪ و ﺑﻌﺪ از ﺳﺮآﻳﻨﺪ اﺻﻠﻲ ‪IP‬‬
‫ﭘﻴﺎدهﺳﺎزي ﻣﻲﺷﻮد‪.‬‬
‫ﻢ ﺑﻮده و ﺑﻪ ﺻﻮرت زﻳﺮ دﺳﺘﻪﺑﻨﺪي ﺷﺪه اﺳﺖ‪:‬‬
‫ﻣﺴﺘﻨﺪات ‪ IPSec‬ﺑﺴﻴﺎر ﺣﺠﻴﻢ‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫ﻣﻌﻤﺎري )‪(Architecture‬‬
‫‪ : (ESP) Encapsulating Security Payload‬رﻣﺰﻧﮕﺎري ﺑﺴﺘﻪﻫﺎ )اﺣﺮاز‬
‫اﺧﺘﻴﺎري(‬
‫اﺻﺎﻟﺖ ﺑﻪ ﺻﻮرت اﺧ ﺎ‬
‫ا ﺎﻟ‬
‫‪ : (AH) Authentication Header‬اﺣﺮاز اﺻﺎﻟﺖ ﺑﺴﺘﻪﻫﺎ‬
‫ﻛﻠﻴﺪﻫﺎ‬
‫ﻦ ﻴ‬
‫ل اﻣﻦ‬
‫ﺗﺒﺎدل‬
‫ﻛﻠﻴﺪ‪ :‬ﺒ‬
‫ﻣﺪﻳﺮﻳﺖ ﻴ‬
‫ﻳﺮﻳ‬
‫اﻟﮕﻮرﻳﺘﻢﻫﺎي رﻣﺰﻧﮕﺎري و اﺣﺮاز اﺻﺎﻟﺖ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪10‬‬
‫ﺳﺎﺧﺘﺎر ﻣﺴﺘﻨﺪات ‪IPSec‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪11‬‬
‫ﻓﻬﺮﺳﺖ ﻣﻄﺎﻟﺐ‬
‫‪‬‬
‫ﻣﻘﺪﻣﻪ‬
‫‪‬‬
‫ﻣﻌﻤﺎري ‪IPSec‬‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ‪AH‬‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ‪ESP‬‬
‫‪‬‬
‫ﺗﺮﻛﻴﺐ ‪SA‬ﻫﺎ‬
‫‪‬‬
‫ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪12‬‬
‫ﺳﺮوﻳﺲﻫﺎي ‪IPSec‬‬
‫‪‬‬
‫ﺳﺮوﻳﺲﻫﺎي اراﺋﻪ ﺷﺪه‪:‬‬
‫‪‬‬
‫دﺳﺘﺮﺳﻲ‬
‫ﻲ‬
‫ﺮل ﺮ‬
‫ﻛﻨﺘﺮل‬
‫‪‬‬
‫ﺗﻀﻤﻴﻦ ﺻﺤﺖ دادهﻫﺎ در ارﺗﺒﺎط ‪Connectionless‬‬
‫‪‬‬
‫اﺣﺮاز اﺻﺎﻟﺖ ﻣﻨﺒﻊ دادهﻫﺎ )‪(Data Origin‬‬
‫‪‬‬
‫ﺗﺸﺨﻴﺺ ﺑﺴﺘﻪﻫﺎي ﺑﺎزارﺳﺎل ﺷﺪه و رد آﻧﻬﺎ )ﻣﻘﺎﺑﻠﻪ ﺑﺎ ﺣﻤﻼت ﺗﻜﺮار(‬
‫‪‬‬
‫ﻣﺤﺮﻣﺎﻧﮕﻲ ﺑﺴﺘﻪﻫﺎ‬
‫‪‬‬
‫ﻣﺤﺮﻣﺎﻧﮕﻲ ﺟﺮﻳﺎن ﺗﺮاﻓﻴﻚ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪13‬‬
‫ﺳﺮوﻳﺲﻫﺎي ‪IPSec‬‬
‫‪‬‬
‫ﻫﺎ ﺑﺎ دو ﭘﺮوﺗﻜﻞ زﻳﺮ اراﺋﻪ ﻣﻣﻲﺷﻮﻧﺪ‪:‬‬
‫ﻫﻤﻪ ﺳﺮوﻳﺲ‬
‫ﺳﺮوﻳﺲﻫﺎ‬
‫‪‬‬
‫)‪Authentication Header (AH‬‬
‫‪‬‬
‫)‪Encapsulating Security Payload (ESP‬‬
‫)‪Encapsulating Security Payload (ESP‬‬
‫‪AH‬‬
‫)‪ESP (encryption only‬‬
‫‪ESP (encryption plus‬‬
‫)‪authentication‬‬
‫ﻛﻨﺘﺮل دﺳﺘﺮﺳﻲ‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫ﺻﺤﺖ ‪connectionless‬‬
‫‪‬‬
‫‪‬‬
‫ﻣﻨﺒﻊ داده‬
‫اﺣﺮاز اﺻﺎﻟﺖ ﻣﻨ ﻊ‬
‫اﺣ از‬
‫‪‬‬
‫‪‬‬
‫رد ﺑﺴﺘﻪﻫﺎي ﺑﺎزارﺳﺎل ﺷﺪه‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫ﻲ ﺑﺴﺘﻪﻫﺎ‬
‫ﻣﺤﺮﻣﺎﻧﮕﻲ‬
‫‪‬‬
‫‪‬‬
‫ﻣﺤﺮﻣﺎﻧﮕﻲ ﺟﺮﻳﺎن ﺗﺮاﻓﻴﻚ‬
‫‪‬‬
‫‪‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪14‬‬
‫ﻣﺠﻤﻊ اﻣﻨﻴﺘﻲ‬
‫‪‬‬
‫ﺗﻌﺮﻳﻒ‪ :‬ﻣﺠﻤﻊ اﻣﻨﻴﺘﻲ)‪ (Security Association‬ﻳﻚ ﻣﻔﻬﻮم‬
‫ﻛﻠﻴﺪي در ﻣﻜﺎﻧﻴﺰمﻫﺎي اﺣﺮاز اﺻﺎﻟﺖ و ﻣﺤﺮﻣﺎﻧﮕﻲ ﺑﺮاي ‪ IP‬ﺑﻮده و‬
‫ﻳﻚ راﺑﻄﻪ ﻳﻚ ﻃﺮﻓﻪ ﺑﻴﻦ ﻓﺮﺳﺘﻨﺪه و ﮔﻴﺮﻧﺪه ﺑﺴﺘﻪ اﻳﺠﺎد ﻣﻲﻛﻨﺪ‪.‬‬
‫‪‬‬
‫‪ SA‬در ‪ IP‬ﺑﻪ ﻧﻮﻋﻲ ﻣﻌﺎدل ‪ Connection‬در ‪ TCP‬اﺳﺖ‪.‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪15‬‬
‫ﻣﺠﻤﻊ اﻣﻨﻴﺘﻲ‬
‫‪‬‬
‫‪‬‬
‫وﻳﮋﮔﻴﻬﺎ‪:‬‬
‫ﺷﻮد‪:‬‬
‫ﻣﺸﺨﺺ ﻣﻲﺷ د‬
‫ﭘﺎراﻣﺘﺮ ﺸﺨ‬
‫ﻳﻜﺘﺎ ﺎﺑﺎ ‪ 3‬ﺎ ا ﺘ‬
‫ﺑﺼﻮرت ﻜﺘﺎ‬
‫ت‬
‫ﻳﻚ ‪SA‬‬
‫ﻚ‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪ :(SPI) Security Parameters Index‬ﻳﻚ رﺷﺘﻪ ﺑﻴﺘﻲ ﻧﺴﺒﺖ داده‬
‫ﺷﺪه ﺑﻪ ‪SA‬‬
‫‪ : IP Destination Address‬آدرس ﻣﻘﺼﺪ ﻧﻬﺎﻳﻲ ‪SA‬‬
‫ﻖ ‪ SA‬ﺑﺑﻪ ‪ AH‬ﻳﻳﺎ ‪ESP‬‬
‫ﺑﻴﺎﻧﮕﺮ ﺗﻌﻠﻖ‬
‫‪ : Security Protocol Identifier‬ﺑﻴ ﺮ‬
‫‪y‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪16‬‬
‫ﻣﺠﻤﻊ اﻣﻨﻴﺘﻲ‬
‫‪‬‬
‫ﭘﺎراﻣﺘﺮﻫﺎي ‪SA‬‬
‫‪‬‬
‫‪ :Sequence Number Counter‬ﺷﻤﺎره ﺳﺮﻳﺎل ﺑﺴﺘﻪﻫﺎ‬
‫‪‬‬
‫ﺷﻤﺎرﻧﺪه‬
‫ﺮرﻳﺰ درر ر‬
‫‪ :Sequence Counter Overflow‬ﻧﺸﺎﻧﮕﺮﺮ ﺳﺮرﻳﺰ‬
‫‪q‬‬
‫‪‬‬
‫‪ :Anti Replay Window‬اﺳﺘﻔﺎده ﺑﺮاي ﻣﺸﺨﺺ ﻛﺮدن ﺗﻜﺮاري ﺑﻮدن ﺑﺴﺘﻪ درﻳﺎﻓﺘﻲ‬
‫‪‬‬
‫آﻧﻬﺎ و ‪...‬‬
‫ﻋﻤﺮ ﻬ‬
‫ﻃﻮل ﺮ‬
‫اﺣﺮاز اﺻﺎﻟﺖ‪ ،‬ﻛﻠﻴﺪﻫﺎ و ﻮل‬
‫اﻟﮕﻮرﻳﺘﻢ ﺮ ز‬
‫‪ :AH Information‬ﻮر ﻢ‬
‫‪‬‬
‫‪ :ESP Information‬اﻟﮕﻮرﻳﺘﻢ رﻣﺰ و اﺣﺮاز اﺻﺎﻟﺖ‪ ،‬ﻛﻠﻴﺪﻫﺎ و ﻃﻮل ﻋﻤﺮ آﻧﻬﺎ‪ ،‬ﻣﻘﺎدﻳﺮ‬
‫اوﻟﻴﻪ و ‪...‬‬
‫‪‬‬
‫‪ :SA Lifetime‬ﻃﻮل ﻋﻤﺮ ‪SA‬‬
‫‪‬‬
‫‪ :IPSec Protocol Mode‬ﻳﻚ از ﻣ‪‬ﺪﻫﺎي اﻧﺘﻘﺎل و ﺗﻮﻧﻞ‬
‫‪‬‬
‫ﺣﺪاﻛﺜﺮ اواﺣﺪ ﻗﺎ ﻞ‬
‫ﻗﺎﺑﻞ‬
‫ﻣﻘﺪار ‪ ) MTU‬اﻛ‬
‫ﻫﺮﮔﻮﻧﻪ ا‬
‫‪ :Maximum Transmission Unit‬ﮔ‬
‫‪M i‬‬
‫‪T‬‬
‫‪i i U it‬‬
‫اﻧﺘﻘﺎل( ﻣﺸﺎﻫﺪه ﺷﺪه در ﻣﺴﻴﺮ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪17‬‬
‫ﻣ‪‬ﺪﻫﺎي‬
‫ﻣﺪﻫﺎي اﻧﺘﻘﺎل ﺑﺴﺘﻪ در ‪IPSec‬‬
‫‪‬‬
‫در ﻫﺮ دوي ‪ AH‬و ‪ ESP‬دو ﻣ‪‬ﺪ اﻧﺘﻘﺎل وﺟﻮد دارد‪:‬‬
‫‪‬‬
‫‪(T‬‬
‫)‪(Transport Mode‬‬
‫‪‬ﻣ‪‬ﺪ اﻧﺘﻘﺎل) ‪M d‬‬
‫‪‬‬
‫‪‬‬
‫ﺗﻐﻴﻴﺮات ﺗﻨﻬﺎ روي ﻣﺤﺘﻮاي ﺑﺴﺘﻪ ﺻﻮرت ﻣﻲ ﮔﻴﺮد‪ ،‬ﺑﺪون ﺗﻐﻴﻴﺮ ﺳﺮآﻳﻨﺪ ‪IP‬‬
‫ﻣ‪‬ﺪ ﺗﻮﻧﻞ )‪(Tunnel Mode‬‬
‫‪‬‬
‫اﻋﻤﺎل ﺗﻐﻴﻴﺮات روي ﻛﻞ ﺑﺴﺘﻪ ‪) IP‬ﺳﺮآﻳﻨﺪ‪ (Payload+‬و ﻓﺮﺳﺘﺎدن ﻧﺘﻴﺠﻪ‬
‫ﺑﻪ ﻋﻨﻮان ﻳﻚ ﺑﺴﺘﻪ ﺟﺪﻳﺪ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪18‬‬
‫‪‬ﺪ اﻧﺘﻘﺎل در ‪IPSec‬‬
‫ﻣﻣﺪ‬
‫‪‬‬
‫ﻣ‪‬ﺪ اﻧﺘﻘﺎل‬
‫‪‬‬
‫در ﻛﺎرﺑﺮدﻫﺎي اﻧﺘﻬﺎ ﺑﻪ اﻧﺘﻬﺎ )‪ (end‐to‐end‬ﻣﺜﻞ ﻛﺎرﮔﺰار‪/‬ﻛﺎرﻓﺮﻣﺎ‬
‫اﺳﺘﻔﺎده ﻣﻲﺷﻮد‪.‬‬
‫‪‬‬
‫‪ : ESP‬رﻣﺰﻧﮕﺎري )ﺿﺮوري( و ﺻﺤﺖ )اﺧﺘﻴﺎري( ﻣﺤﺘﻮاي ﺑﺴﺘﻪ‬
‫‪‬‬
‫ﺑﺴﺘﻪ‬
‫ﺳﺮآﻳﻨﺪ ﺘ‬
‫ﺷﺪه آ‬
‫اﻧﺘﺨﺎب ﺷ‬
‫ﻗﺴﻤﺘﻬﺎي اﻧﺘﺨﺎ‬
‫ﺑﺴﺘﻪ و ﻗ ﺘ ﺎ‬
‫ﻣﺤﺘﻮاي ﺘ‬
‫‪ : AH‬ﺻﺤﺖ ﺘ ا‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪19‬‬
‫‪‬ﺪ ﺗﻮﻧﻞ در ‪IPSec‬‬
‫ﻣﻣﺪ‬
‫‪‬‬
‫ﻣ‪‬ﺪ ﺗﻮﻧﻞ‬
‫‪‬‬
‫ﻣﻮرد اﺳﺘﻔﺎده در ارﺗﺒﺎط ‪ Gateway‬ﺑﻪ ‪.Gateway‬‬
‫‪‬‬
‫ﺳﺮآﻳﻨﺪ داﺧﻠﻲ‬
‫ﻲ‬
‫ﻴﺺ ﺮ ﻳ‬
‫ﻗﺎدر ﺑﺑﻪ ﺗﺸﺨﻴﺺ‬
‫ﻣﻴﺎﻧﻲ ر‬
‫ب )‪ (router‬ﻴ ﻲ‬
‫ﻴﭻ ﻣﺴﻴﺮﻳﺎب‬
‫ﻫﻴﭻ‬
‫ﻧﻴﺴﺖ‪.‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪20‬‬
‫ﻗﺎﺑﻠﻴﺖ ﻫﺎي ﻣ‪‬ﺪﻫﺎي‬
‫ﻣﺪﻫﺎي اﻧﺘﻘﺎل و ﺗﻮﻧﻞ‬
‫ﻣ‪‬ﺪ اﻧﺘﻘﺎل‬
‫ﻣ‪‬ﺪ ﺗﻮﻧﻞ‬
‫‪AH‬‬
‫ﻞ ﺑﺑﺴﺘﻪ ‪ IP‬داﺧﻠﻲ‬
‫ﻲ‬
‫اﺣﺮازز اﺻﺎﻟﺖ ﻛﻞ‬
‫ﺮ‬
‫ﺑﺨﺸﻬﺎﻳﻲ‬
‫ﻳﻲ‬
‫دادههاي ‪ IP‬و ﺑ ﻬ‬
‫ﺑﺨﺶ ا‬
‫ﺮاز ﺑ ﺶ‬
‫ااﺣﺮاز‬
‫ﺑﻪ اﻧﻀﻤﺎم ﺑﺨﺸﻬﺎﻳﻲ از ﺳﺮآﻳﻨﺪ ‪IP‬‬
‫از ﺳﺮآﻳﻨﺪ ‪IP‬‬
‫ﺑﺴﺘﻪ ﺑﻴﺮوﻧﻲ‬
‫‪ESP‬‬
‫رﻣﺰ ﺑﺨﺶ دادهاي ‪ IP‬ﻛﻪ ﺑﻪ دﻧﺒﺎل‬
‫ﺳﺮآﻳﻨﺪ ‪ ESP‬ﻗﺮار دارد‪.‬‬
‫داﺧﻠﻲ‬
‫رﻣﺰ ﻛﻞ ﺑﺴﺘﻪ ‪ IP‬داﺧﻠ‬
‫‪ESP with‬‬
‫‪Authentication‬‬
‫رﻣﺰ ﺑﺨﺶ دادهاي ‪ IP‬ﻛﻪ ﺑﻪ دﻧﺒﺎل‬
‫دارد‪.‬‬
‫ﻗﺮار دا د‬
‫ﺳﺮآﻳﻨﺪ ‪ ESP‬ﻗ ا‬
‫ﺳ آﻳﻨﺪ‬
‫اﺣﺮاز اﺻﺎﻟﺖ ﺑﺨﺶ دادهاي ‪ IP‬و ﻧﻪ‬
‫ﺳﺮآﻳﻨﺪ آن‪.‬‬
‫رﻣﺰ ﻛﻞ ﺑﺴﺘﻪ ‪ IP‬داﺧﻠﻲ‪.‬‬
‫داﺧﻠﻲ‬
‫ﺑﺴﺘﻪ ‪ IP‬داﺧﻠ‬
‫اﺣﺮاز اﺻﺎﻟﺖ ﺑ ﺘﻪ‬
‫اﺣ از‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪21‬‬
‫ﻓﻬﺮﺳﺖ ﻣﻄﺎﻟﺐ‬
‫‪‬‬
‫ﻣﻘﺪﻣﻪ‬
‫‪‬‬
‫ﻣﻌﻤﺎري ‪IPSec‬‬
‫ﻣﻌ ﺎ ي‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ‪AH‬‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ‪ESP‬‬
‫‪‬‬
‫ﺗﺮﻛﻴﺐ ‪SA‬ﻫﺎ‬
‫‪‬‬
‫ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪22‬‬
‫)‪Authentication Header (AH‬‬
‫‪‬‬
‫‪Authentication Header‬‬
‫‪‬‬
‫‪‬‬
‫اﺣﺮاز اﺻﺎﻟﺖ ﺑﺴﺘﻪﻫﺎي ‪IP‬‬
‫ﺗﻀﻤﻴﻦ ﺻﺤﺖ و اﺣ از‬
‫ﺗﺎﻣﻴﻦ ﺳﺮوﻳﺲ ﺻﺤﺖ دادهﻫﺎ ﺑﺎ اﺳﺘﻔﺎده از ‪MAC‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪ HMAC‐MD5‐96‬ﻳﻳﺎ ‪HMAC‐SHA‐1‐96‬‬
‫ﺑﻪ ﻣﻘﺪار ﻓﻴﻠﺪ ‪ MAC‬در ‪ ،AH‬ﻣﻘﺪار ﻛﻨﺘﺮل ﺻﺤﺖ )‪ (ICV‬ﮔﻔﺘﻪ ﻣﻲﺷﻮد‪.‬‬
‫ﻃﺮﻓﻴﻦ ﻧﻴﺎز ﺑﻪ ﺗﻮاﻓﻖ روي ﻳﻚ ﻛﻠﻴﺪ ﻣﺸﺘﺮك ﻣﺘﻘﺎرن دارﻧﺪ‪.‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪23‬‬
‫)‪Authentication Header (AH‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪24‬‬
‫)‪Authentication Header (AH‬‬
‫‪‬‬
‫ﻓﻴﻠﺪﻫﺎي ‪:AH‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫در ﺑﺑﺴﺘﻪ‬
‫ﻣﻮﺟﻮد ر‬
‫ﺑﻌﺪي ﻮﺟﻮ‬
‫ﺳﺮآﻳﻨﺪ ﺑ ي‬
‫ﻮع ﺮ ﻳ‬
‫‪ 8) Next Header‬ﺑﻴﺑﻴﺖ((‪ :‬ﻧﻮع‬
‫‪ 8) PayLoad Length ‬ﺑﻴﺖ(‪ :‬ﺑﻴﺎﻧﮕﺮ ﻃﻮل ‪) AH‬ﺑﺎ واﺣﺪ ﻛﻠﻤﻪ ‪32‬‬
‫ﺑﻴﺘﻲ( ﻣﻨﻬﺎي ‪2‬‬
‫‪ 16) Reserved‬ﺑﻴﺖ(‪ :‬رزرو ﺷﺪه ﺑﺮاي اﺳﺘﻔﺎدهﻫﺎي آﻳﻨﺪه‬
‫‪ 32) Sec. Param. Index‬ﺑﻴﺖ(‪ :‬ﺑﺮاي ﺗﻌﻴﻴﻦ ‪ SPI‬ﻣﺮﺑﻮط ﺑﻪ ‪SA‬‬
‫‪ 32) Sequence Number‬ﺑﻴﺖ(‪ :‬ﺷﻤﺎرﻧﺪه‬
‫‪) Authentication Data‬ﻣﺘﻐﻴﺮ(‪ :‬درﺑﺮﮔﻴﺮﻧﺪه ‪ MAC‬ﻳﺎ ‪ICV‬‬
‫‪(Integrity Check Value‬‬
‫) ‪h k l‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪25‬‬
‫)‪Authentication Header (AH‬‬
‫‪‬‬
‫ﻣﺤﺎﺳﺒﻪ ‪MAC‬‬
‫‪‬‬
‫‪‬‬
‫ﻃﻮل ﭘﻴﺶ ﻓﺮض ‪ 96‬ﺑﻴﺖ ) ‪ 3‬ﺗﺎ ‪ 32‬ﺑﻴﺘﻲ(‬
‫‪‬‬
‫اﻟﮕﻮرﻳﺘﻢ ‪HMAC‬‬
‫ﺧﺮوﺟﻲ اﻟﮕ ﺘ‬
‫ﺑﻴﺖ ﺧ‬
‫اوﻟﻴﻦ ‪ 96‬ﺖ‬
‫اﻟ‬
‫‪‬‬
‫‪ HMAC‐MD5‬ﻳﺎ ‪HMAC‐SHA‐1‬‬
‫ﮔﻴﺮد‪:‬‬
‫اﻧﺠﺎم ﻣﻲﮔ د‬
‫ﻣﻘﺎدﻳﺮ ززﻳﺮ اﻧ ﺎ‬
‫ﻣﺤﺎﺳﺒﻪ ‪ MAC‬روي ﻘﺎد‬
‫ﺎ ﻪ‬
‫‪‬‬
‫ﺳﺮآﻳﻨﺪ ﻧﺎﻣﺘﻐﻴﺮ ‪ ،IP‬ﺳﺮآﻳﻨﺪ ﻧﺎﻣﺘﻐﻴﺮ ‪ AH‬و ﻣﺤﺘﻮاي ﺑﺴﺘﻪ‬
‫‪‬‬
‫ﺗﻐﻴﻴﺮ ﻣﻲﻛﻨﻨﺪ ) ﺎﻧﻨﺪ‬
‫ﻣﺎﻧﻨﺪ‬
‫اﺣﺘﻤﺎﻻ ددر اﻧﺘﻘﺎل ﺗﻐ‬
‫ﺳﺮآﻳﻨﺪ ﻛﻪ ا ﺘ ﺎﻻ‬
‫ﻗﺴﻤﺘﻬﺎﻳﻲ از آ ﻨﺪ‬
‫ﻗ ﺘﺎ‬
‫‪ ،(TTL‬در ﻣﺤﺎﺳﺒﻪ ‪ MAC‬ﺻﻔﺮ ﻣﻨﻈﻮر ﻣﻲﺷﻮﻧﺪ‪.‬‬
‫‪‬‬
‫دﺧﻴﻞ ﻫ ﺘﻨﺪ‬
‫ﻫﺴﺘﻨﺪ‬
‫ﻣﺤﺎﺳﺒﻪ ‪ MAC‬دﺧ ﻞ‬
‫ﻧﻴﺰ ددر ﻣﺤﺎﺳ ﻪ‬
‫ﮔﻴﺮﻧﺪه ﻧ ﺰ‬
‫ﻓﺮﺳﺘﻨﺪه و ﮔ ﻧﺪه‬
‫آدرﺳﻬﺎي ﻓ ﺳﺘﻨﺪه‬
‫آد ﺳﻬﺎي‬
‫)ﺟﻬﺖ ﺟﻠﻮﮔﻴﺮي از ﺣﻤﻠﻪ ﺟﻌﻞ ‪(IP‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪26‬‬
‫)‪Authentication Header (AH‬‬
‫‪‬‬
‫ﻣ‪‬ﺪﻫﺎي اﻧﺘﻘﺎل و ﺗﻮﻧﻞ در ‪:AH‬‬
‫‪‬‬
‫ﻣ‪‬ﺪ اﻧﺘﻘﺎل )‪ :(Transport‬ﺑﺮاي اﺣﺮاز اﺻﺎﻟﺖ ﻣﺴﺘﻘﻴﻢ ﺑﻴﻦ ﻛﺎﻣﭙﻴﻮﺗﺮ ﻛﺎرﺑﺮ و‬
‫ر ﺰر‬
‫ﻛﺎرﮔﺰار‬
‫‪‬‬
‫ﻦ ﻛﺎرﺑﺮ و ﺣﻔﺎظ )‪(firewall‬‬
‫ﻣ‪‬ﺪ ﺗﻮﻧﻞ )‪ :(Tunnel‬ﺑﺮاي اﺣﺮاز اﺻﺎﻟﺖ ﺑﻴﻦ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪27‬‬
‫اﻧﻮاع اﺣﺮاز اﺻﺎﻟﺖ ﺑﺎ ‪AH‬‬
‫ﺑﺎ اﺳﺘﻔﺎده از ﻣ‪‬ﺪ اﻧﺘﻘﺎل‬
‫ﺗﻮﻧﻞ‬
‫ﻞ‬
‫ﺑﺎ اﺳﺘﻔﺎده ازز ﻣ‪‬ﺪ ﻮ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪28‬‬
‫ﻣﺤﺪوده اﺣﺮاز اﺻﺎﻟﺖ ‪AH‬‬
‫‪‬‬
‫ﻣ‪‬ﺪ اﻧﺘﻘﺎل‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪29‬‬
‫ﻣﺤﺪوده اﺣﺮاز اﺻﺎﻟﺖ ‪AH‬‬
‫‪‬‬
‫ﻣ‪‬ﺪ ﺗﻮﻧﻞ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪30‬‬
‫ﻣﻘﺎﺑﻠﻪ ﺑﺎ ﺣﻤﻠﻪ ﺗﻜﺮار در ‪AH‬‬
‫‪‬‬
‫روش ﻣﻘﺎﺑﻠﻪ ﺑﺎ ﺣﻤﻠﻪ ﺗﻜﺮار )‪(Replay‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫ﺻﻔﺮ ﺑﻪ ﻫﻫﺮ ‪SA‬‬
‫ﻣﻘﺪار ﺻﻔ‬
‫ﻧﺪه ﺑﺎ ﻣﻘﺪا‬
‫ﺷﻤﺎرﻧﺪه‬
‫اﺧﺘﺼﺎص ﻳﻚ ﺷﻤﺎ‬
‫اﻓﺰاﻳﺶ ﺷﻤﺎرﻧﺪه ﺑﻪ ازاي ﻫﺮ ﺑﺴﺘﻪ ﺟﺪﻳﺪ ﻛﻪ ﺑﺎ اﻳﻦ ‪ SA‬ﻓﺮﺳﺘﺎده ﻣﻲ‬
‫ﺷﻮد‪.‬‬
‫ﻮ‬
‫اﮔﺮ ﺷﻤﺎرﻧﺪه ﺑﻪ ﻣﻘﺪار ‪ 232‐1‬ﺑﺮﺳﺪ‪ ،‬ﺑﺎﻳﺪ از ﻳﻚ ‪ SA‬ﺟﺪﻳﺪ ﺑﺎ ﻛﻠﻴﺪ‬
‫ﺟﺪﻳﺪ اﺳﺘﻔﺎده ﻛﺮد‪.‬‬
‫درﻧﻈﺮﮔﺮﻓﺘﻦ ﻳﻚ ﭘﻨﺠﺮه ﺑﻪ اﻧﺪازه ﭘﻴﺶ ﻓﺮض ‪W =64‬‬
‫ﻟﺒﻪ ﺳﻤﺖ راﺳﺖ ﭘﻨﺠﺮه ﺑﻪ ﺑﺰرﮔﺘﺮﻳﻦ ﺷﻤﺎره ﺑﺴﺘﻪ رﺳﻴﺪه و ﺗﺎﻳﻴﺪﺷﺪه از‬
‫ﻧﻈﺮ ﺻﺤﺖ اﺧﺘﺼﺎص ﻣﻲﻳﺎﺑﺪ‪.‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪31‬‬
‫ﻣﻘﺎﺑﻠﻪ ﺑﺎ ﺣﻤﻠﻪ ﺗﻜﺮار در ‪AH‬‬
‫‪‬‬
‫ﻣﻜﺎﻧﻴﺰم ﺑﺮﺧﻮرد ﺑﺎ ﺑﺴﺘﻪ ﺟﺪﻳﺪ در ﭘﻨﺠﺮه‬
‫‪‬‬
‫ﺑﺴﺘﻪ ﺟﺪﻳﺪ و داﺧﻞ ﻣﺤﺪوده ﭘﻨﺠﺮه‬
‫‪‬‬
‫‪‬‬
‫ﺑﺴﺘﻪ ﺧﺎرج از ﻣﺤﺪوده ﭘﻨﺠﺮه )ﺳﻤﺖ راﺳﺖ(‬
‫‪‬‬
‫‪‬‬
‫ﻣﺤﺎﺳﺒﻪ ‪ MAC‬و ﻋﻼﻣﺖ زدن ﺧﺎﻧﻪ ﻣﺘﻨﺎﻇﺮ در ﭘﻨﺠﺮه در ﺻﻮرت اﺣﺮاز‬
‫اﺻﺎﻟﺖ‬
‫ﻣﺤﺎﺳﺒﻪ ‪ ،MAC‬اﺣﺮاز اﺻﺎﻟﺖ و ﺷﻴﻔﺖ ﭘﻨﺠﺮه ﺑﻪ ﺳﻤﺖ راﺳﺖ‪ ،‬ﺑﻪ ﻃﻮري ﻛﻪ‬
‫ﻧﺸﺎن دﻫﺪ‪.‬‬
‫ﺖ ﻟﻟﺒﻪ ﭘﻨﺠﺮه راا ﻧﺸﺎ‬
‫ﺖ اراﺳﺖ‬
‫ﻣﺘﻨﺎﻇﺮ ﺳﻤﺖ‬
‫ﺧﺎﻧﻪ ﺘ ﺎﻇ‬
‫ﺧﺎﻧ‬
‫ﺑﺴﺘﻪ ﺟﺪﻳﺪ ﺧﺎرج از ﻣﺤﺪوده ﭘﻨﺠﺮه ﻳﺎ ﻋﺪم اﺣﺮاز اﺻﺎﻟﺖ آن‬
‫‪‬‬
‫دور اﻧﺪاﺧﺘﻪ ﻣﻣﻲﺷﻮد!‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪32‬‬
‫ﻣﻘﺎﺑﻠﻪ ﺑﺎ ﺣﻤﻠﻪ ﺗﻜﺮار در ‪AH‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪33‬‬
‫ﻓﻬﺮﺳﺖ ﻣﻄﺎﻟﺐ‬
‫‪‬‬
‫ﻣﻘﺪﻣﻪ‬
‫‪‬‬
‫ﻣﻌﻤﺎري ‪IPSec‬‬
‫ﻣﻌ ﺎ ي‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ‪AH‬‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ‪ESP‬‬
‫‪‬‬
‫ﺗﺮﻛﻴﺐ ‪SA‬ﻫﺎ‬
‫‪‬‬
‫ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪34‬‬
‫‪Encapsulating Security‬‬
‫)‪Payload (ESP‬‬
‫‪‬‬
‫وﻳﮋﮔﻴﻬﺎ‬
‫‪‬‬
‫ﭘﺸﺘﻴﺒﺎﻧﻲ از ﻣﺤﺮﻣﺎﻧﮕﻲ داده و ﺗﺎ ﺣﺪي ﻣﺤﺮﻣﺎﻧﮕﻲ ﺗﺮاﻓﻴﻚ‬
‫‪‬‬
‫اﻣﻜﺎن اﺣﺮاز اﺻﺎﻟﺖ )ﻣﺸﺎﺑﻪ ‪(AH‬‬
‫‪‬‬
‫اﺳﺘﻔﺎده از اﻟﮕﻮرﻳﺘﻢ ‪ DES‬در ﻣﺪ ‪) CBC‬اﻣﻜﺎن اﺳﺘﻔﺎده از ‪,3‐DES‬‬
‫دارد((‪.‬‬
‫‪ CAST ,3‐IDEA‬و ‪ Blowfish‬ﻧﻴﺰ وﺟﻮد ا‬
‫‪3 IDEA ,IDEA ,RC5‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪35‬‬
‫‪Encapsulating Security‬‬
‫)‪Payload (ESP‬‬
‫‪‬‬
‫ﻓﻴﻠﺪﻫﺎي ‪ESP‬‬
‫ﻓﻠ ﺎ‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪ : SPI‬ﺷﻨﺎﺳﻪ ‪SA‬‬
‫ﺗﻜﺮار‬
‫ﺣﻤﻠﻪ ﻜ ا‬
‫ﺟﻠﻮﮔﻴﺮي ااز ﻠ‬
‫ﺑﺮاي ﻠ ﮔ‬
‫ﺷﻤﺎرﻧﺪه ا‬
‫‪ : Sequence Number‬ﺎ‬
‫‪S‬‬
‫‪N b‬‬
‫ﻣﺸﺎﺑﻪ ‪AH‬‬
‫رﻣﺰ ﻣﻲﺷﻮد‬
‫ﺑﺴﺘﻪ ﻛﻪ ﻣﺰ‬
‫‪ : Payload‬ﻣﺤﺘﻮاي ﺑ ﺘﻪ‬
‫‪ : Padding‬ﺑﻴﺘﻬﺎي اﺿﺎﻓﻲ‬
‫‪ : Pad Length‬ﻃﻮل ﻓﻴﻠﺪ ﺑﺎﻻ‬
‫‪Pad Length‬‬
‫‪ : Next Header‬ﻧﻮع داده ﻣﻮﺟﻮد در ‪Payload Data‬‬
‫‪ : Authentication Data‬ﻣﻘﺪار ‪ MAC‬ﻣﺤﺎﺳﺒﻪ ﺷﺪه )ﺑﺪون در‬
‫‪Authentication Data‬‬
‫ﻧﻈﺮ ﮔﺮﻓﺘﻦ ﺧﻮد ﻓﻴﻠﺪ(‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪36‬‬
‫‪Encapsulating Security‬‬
‫)‪Payload (ESP‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪37‬‬
‫‪‬ﺪ اﻧﺘﻘﺎل در ‪ESP‬‬
‫ﻣﻣﺪ‬
‫‪‬‬
‫‪‬ﻣ‪‬ﺪ اﻧﺘﻘﺎل‬
‫‪‬‬
‫ﻦ ‪host‬ﻫﺎ‬
‫ﻣﺤﺮﻣﺎﻧﮕﻲ ﺑﻴﻦ‬
‫ﺗﻀﻤﻴﻦ ﺮ ﻲ‬
‫ﻦ‬
‫‪‬‬
‫رﻣﺰﻧﮕﺎري ﺑﺴﺘﻪ داده‪ ،‬دﻧﺒﺎﻟﻪ ‪ ESP‬و اﺿﺎﻓﻪ ﺷﺪن ‪ MAC‬درﺻﻮرت‬
‫ﻣﺒﺪاء‬
‫ﺗﻮﺳﻂ ﺒ‬
‫اﺣﺮازز اﺻﺎﻟﺖ ﻮ‬
‫ب ﺮ‬
‫اﻧﺘﺨﺎب‬
‫‪‬‬
‫ﺗﻌﻴﻴﻦ ﻣﺴﻴﺮ ﺗﻮﺳﻂ ﻣﺴﻴﺮﻳﺎﺑﻬﺎي ﻣﻴﺎﻧﻲ ﺑﺎ اﺳﺘﻔﺎده از ﺳﺮآﻳﻨﺪﻫﺎي اﺻﻠﻲ‬
‫اﻧﺪ(‬
‫ﻧﺸﺪهاﻧﺪ‬
‫)ﻛﻪ رﻣﺰ ﻧﺸﺪه‬
‫‪‬‬
‫ﭼﻚ ﻛﺮدن ﺳﺮآﻳﻨﺪ ‪ IP‬ﺗﻮﺳﻂ ﻣﻘﺼﺪ و واﮔﺸﺎﻳﻲ رﻣﺰ ﺑﺎﻗﻴﻤﺎﻧﺪه ﭘﻴﺎم‬
‫‪‬‬
‫اﻣﻜﺎن آﻧﺎﻟﻴﺰ ﺗﺮاﻓﻴﻚ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪38‬‬
‫‪‬ﺪ اﻧﺘﻘﺎل در ‪ESP‬‬
‫ﻣﻣﺪ‬
‫‪‬‬
‫ﺑﺮاي ارﺗﺒﺎط ﺑﻴﻦ ﻣﻴﺰﺑﺎنﻫﺎ‬
‫‪‬‬
‫ﻣﺤﺪوده ‪ESP‬‬
‫= ‪ESP trailer‬‬
‫‪Padding, Pad Length,‬‬
‫‪and‬‬
‫‪dN‬‬
‫‪Next H‬‬
‫‪Header‬‬
‫‪d Fi‬‬
‫‪Fields‬‬
‫‪ld‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪39‬‬
‫‪‬ﺪ ﺗﻮﻧﻞ در ‪ESP‬‬
‫ﻣﻣﺪ‬
‫‪‬‬
‫‪‬ﻣ‪‬ﺪ ﺗﻮﻧﻞ‬
‫‪‬‬
‫ﻲ ﻓﺮﺳﺘﻨﺪه و‬
‫اﺿﺎﻓﻪ ﺷﺪن آدرس ﻣﺒﺪاء و ﻣﻘﺼﺪ دروازهﻫﺎي ﺧﺮوﺟﻲ‬
‫ﮔﻴﺮﻧﺪه‪ ،‬ﺳﺮآﻳﻨﺪ ‪ ESP‬و دﻧﺒﺎﻟﻪ ‪ ESP‬و ﻗﺴﻤﺖ ﻣﺮﺑﻮط ﺑﻪ ‪ MAC‬در‬
‫ﺻﻮرت ﻧﻴﺎز )ﺑﺮاي اﺣﺮاز اﺻﺎﻟﺖ(‬
‫‪‬‬
‫اﻧﺠﺎم ﻣﺴﻴﺮﻳﺎﺑﻲ در ﻣﺴﻴﺮﻳﺎبﻫﺎي ﻣﻴﺎﻧﻲ از روي آدرسﻫﺎي ﺟﺪﻳﺪ‬
‫‪‬‬
‫رﺳﻴﺪن ﺑﺴﺘﻪ ﺑﻪ ﻓﺎﻳﺮوال ﺷﺒﻜﻪ ﻣﻘﺼﺪ و ﻣﺴﻴﺮﻳﺎﺑﻲ از روي آدرس ‪IP‬‬
‫ﻗﺒﻠﻲ ﺗﺎ ﮔﺮه ﻧﻬﺎﻳﻲ‬
‫‪‬‬
‫ﺧﺼﻮﺻﻲ ﻣﺠﺎزي‬
‫ﺷﺒﻜﻪﻫﺎي ﺧﺼﻮﺻ‬
‫ﻫﺎي اﻳﺠﺎد ﺷ ﻜﻪ‬
‫وشﻫﺎي‬
‫ﻳﻜﻲ از روش‬
‫ﻣﺪ ﺗﻮﻧﻞ ‪ IPSec‬ﻳﻜ‬
‫ﻣ‪‬ﺪ‬
‫)‪ (VPN‬اﺳﺖ‪.‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪40‬‬
‫‪‬ﺪ ﺗﻮﻧﻞ در ‪ESP‬‬
‫ﻣﻣﺪ‬
‫‪‬‬
‫ﺷﺒﻜﻪ ﺧﺼﻮﺻﻲ ﻣﺠﺎزي‬
‫)‪(VPN‬‬
‫‪‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺤﺪوده ‪ESP‬‬
‫ﺗﻮﻧﻞ‬
‫ﻞ‬
‫درر ﻣ‪‬ـﺪ ﻮ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪41‬‬
‫ﻓﻬﺮﺳﺖ ﻣﻄﺎﻟﺐ‬
‫‪‬‬
‫ﻣﻘﺪﻣﻪ‬
‫‪‬‬
‫ﻣﻌﻤﺎري ‪IPSec‬‬
‫ﻣﻌ ﺎ ي‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ‪AH‬‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ‪ESP‬‬
‫‪‬‬
‫ﺗﺮﻛﻴﺐ ‪SA‬ﻫﺎ‬
‫‪‬‬
‫ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪42‬‬
‫ﺗﺮﻛﻴﺐ ‪SA‬ﻫﺎ‬
‫‪‬‬
‫ﺑﺎ ﺗﻮﺟﻪ ﺑﻪ اﻳﻨﻜﻪ ﻫﺮ ‪ SA‬ﺗﻨﻬﺎ ﻳﻜﻲ از ﺳﺮوﻳﺲﻫﺎي ‪ AH‬ﻳﺎ ‪ ESP‬را‬
‫ﭘﻴﺎدهﺳﺎزي ﻛﺮده اﺳﺖ‪ ،‬ﺑﺮاي اﺳﺘﻔﺎده از ﻫﺮ دو ﺳﺮوﻳﺲ ﺑﺎﻳﺪ آﻧﻬﺎ‬
‫را ﺑﺎﻫﻢ ﺗﺮﻛﻴﺐ ﻛﺮد‪.‬‬
‫‪‬‬
‫ﺗﺮﻛﻴﺒﻬﺎي ﻣﺨﺘﻠﻒ‬
‫‪‬‬
‫ﭘﻴﺎده ﺳﺎزي ‪ IPSec‬ﺗﻮﺳﻂ ‪ host‬ﻫﺎي ﻣﺘﻨﺎﻇﺮ‬
‫‪‬‬
‫ﭘﻴﺎده ﺳﺎزي ‪ IPSec‬ﺗﻮﺳﻂ ‪ gateway‬ﻫﺎ‬
‫‪‬‬
‫ﺣﺎﻟﺖ ﺎﻻ‬
‫ﺑﺎﻻ‬
‫ﺗﺮﻛﻴﺐ دو ﺎﻟ‬
‫ﻛ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪43‬‬
‫ﺗﺮﻛﻴﺐ ‪SA‬ﻫﺎ‬
‫‪‬‬
‫ﺷﻮﻧﺪ‪،‬‬
‫‪‬ﻋﻤﺎل ﺷ ﻧ‬
‫ﻳﻚ ﺑﺴﺘﻪ ا ﺎل‬
‫ﻫﺎ ﻛﻛﻪ ﺎﺑﺎﻳﺪ ﺑﺮ روي ﻚ‬
‫ﺗﺮﺗﻴﺒﻲ ااز ‪ SA‬ﺎ‬
‫ﺗﺗ‬
‫‪ bundle‬ﻧﺎﻣﻴﺪه ﻣﻲ ﺷﻮﻧﺪ‪.‬‬
‫‪‬‬
‫‪SA‬ﻫﺎ در ﻳﻚ ‪ bundle‬ﺑﻪ دو ﻃﺮﻳﻖ ﻗﺎﺑﻞ ﺗﺮﻛﻴﺐ ﻫﺴﺘﻨﺪ‪:‬‬
‫‪‬‬
‫‪‬‬
‫‪Transport Adjacency‬‬
‫‪‬‬
‫ا‪‬ﻋﻤﺎل ﭼﻨﺪ ‪ SA‬در ﻣ‪‬ﺪ اﻧﺘﻘﺎل ﺑﻪ ﺑﺴﺘﻪ‬
‫‪‬‬
‫ﺻﺮﻓﺎً ﻳﻚ ﺳﻄﺢ از ﺗﺮﻛﻴﺐ را ﺑﺮاي ‪ AH‬و ‪ ESP‬ﻓﺮاﻫﻢ ﻣﻲﻧﻤﺎﻳﺪ‪.‬‬
‫‪Iterated Tunneling‬‬
‫‪‬‬
‫در ﺗﻮﻮ‬
‫ﺗﻮ ر‬
‫ﻫﺎي ﻮ‬
‫ﻞ ي‬
‫ﺗﻮﻧﻞ‬
‫اﻣﻨﻴﺘﻲ ﺑﺎ ﻮ‬
‫ﻲ‬
‫ﭼﻨﺪ ﻻﻳﻪ‬
‫اﻳﺠﺎد ﭼ‬
‫‪‬‬
‫ﻣﺒﺪا و ﻣﻘﺼﺪ ﻫﺮ ﺗﻮﻧﻞ ﻣﻲﺗﻮاﻧﺪ در ﺳﺎﻳﺘﻬﺎي ﻣﺨﺘﻠﻔﻲ از ﻣﺴﻴﺮ ﺑﺎﺷﺪ‪.‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪44‬‬
‫ﺗﺮﻛﻴﺐ ‪SA‬ﻫﺎ‬
‫‪‬‬
‫ﻣﺤﺮﻣﺎﻧﮕﻲ ﺑﻪ ﺻﻮرت ﺗﻮأم از ﻃﺮﻳﻖ‪:‬‬
‫اﻣﻜﺎن داﺷﺘﻦ اﺣﺮاز اﺻﺎﻟﺖ و ﻣﺤﺮﻣﺎﻧﮕ‬
‫‪‬‬
‫‪ :ESP with Authentication Option‬اﺣﺮاز اﺻﺎﻟﺖ ﻣﺤﺘﻮاي رﻣﺰﺷﺪه‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪ :Transport Adjacency‬ا‪‬ﻋﻤﺎل ‪ ESP‬و ﺳﭙﺲ ‪ AH‬ﺑﺮ روي آن در ﻣ‪‬ﺪ‬
‫اﻧﺘﻘﺎل‬
‫‪‬‬
‫‪‬‬
‫ﺳﺮآﻳﻨﺪ ‪IP‬‬
‫ﺖ ﺮآﻳ‬
‫ل‪ :‬ﻋﺪمم ﺣﻔﺎﻇﺖ‬
‫ﻣ‪‬ﺪ ااﻧﺘﻘﺎل‬
‫ﻣ‪‬ﺪ ﺗﻮﻧﻞ‪ :‬ﺣﻔﺎﻇﺖ ﻛﻞ ﺑﺴﺘﻪ داﺧﻠﻲ‬
‫ﺣﻔﺎﻇﺖ از ﺳﺮآﻳﻨﺪ ‪ IP‬و ﺳﺮآﻳﻨﺪ ‪ ،ESP‬ﺣﻔﻆ ﻣﺤﺮﻣﺎﻧﮕﻲ ﺑﺴﺘﻪ‬
‫‪ :Transport‐Tunnel Bundle‬ا‪‬ﻋﻤﺎل ‪ AH‬در ‪‬ﻣ‪‬ﺪ اﻧﺘﻘﺎل و ﺳﭙﺲ ‪ESP‬‬
‫‪l‬‬
‫‪dl‬‬
‫در ﻣ‪‬ﺪ ﺗﻮﻧﻞ‬
‫‪‬‬
‫‪‬‬
‫ﻣﺘﻐﻴﺮ(‬
‫ﻓﻴﻠﺪﻫﺎي ﻣﺘﻐ‬
‫ﺳﺮآﻳﻨﺪ ‪) IP‬ﺑﻪ ﻏﻏﻴﺮ از ﻓ ﻠﺪﻫﺎي‬
‫اﺣﺮاز اﺻﺎﻟﺖ داده و ﺳ آﻳﻨﺪ‬
‫اﺣ از‬
‫ﻣﺤﺮﻣﺎﻧﮕﻲ ﻛﻞ ﺑﺴﺘﻪ و اﻣﻀﺎي آن‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪45‬‬
‫ﺗﺮﻛﻴﺐ ‪SA‬ﻫﺎ‪ :‬ﺣﺎﻟﺖ ‪1‬‬
‫‪‬‬
‫‪‬‬
‫اﻧﺘﻬﺎ‬
‫اﻧﺘﻬﺎ‪-‬ﺑﻪ‪-‬ا ﺎ‬
‫‪ IPSec‬ﺑﻪ ﺻﻮرت ا ﺎ‬
‫ﺳﺎزي ‪IPS‬‬
‫ﭘﻴﺎده ﺎ‬
‫ﺎ‬
‫اﻣﻜﺎن اﺳﺘﻔﺎده از ﻫﺮ ﻳﻚ از ﺗﺮﻛﻴﺒﺎت ﻣﻤﻜﻦ از اﻧﻮاع ‪SA‬ﻫﺎ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪46‬‬
‫ﺗﺮﻛﻴﺐ ‪SA‬ﻫﺎ‪ :‬ﺣﺎﻟﺖ ‪2‬‬
‫‪‬‬
‫‪‬‬
‫ﺑﺮﻗﺮاري ﺗﻮﻧﻞ اَﻣﻦ ﺑﻴﻦ دروازه ﻫﺎ‪ :‬ﺷﺒﻜﻪ ﺧﺼﻮﺻﻲ ﻣﺠﺎزي‬
‫اﻳﺠﺎد ﺗﻮﻧﻞ در ﻳﻜﻲ از ﻣ‪‬ﺪﻫﺎي ‪ ESP ،AH‬و ﻳﺎ ‪.ESP with Auth.‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪47‬‬
‫ﺗﺮﻛﻴﺐ ‪SA‬ﻫﺎ‪ :‬ﺣﺎﻟﺖ ‪3‬‬
‫‪‬‬
‫‪‬‬
‫ﺣﺎﻟﺖ ‪ 1‬و ‪2‬‬
‫ﺗﺮﻛﻴﺐ دو ﺎﻟﺖ‬
‫ﺗﻛ‬
‫اﮔﺮ ﺗﻮﻧﻞ ﺑﻴﻦ دروازهﻫﺎ از ﻧﻮع ‪ ESP‬ﺑﺎﺷﺪ‪ ،‬ﺑﻪ ﻃﻮر ﻣﺤﺪود ﻣﺤﺮﻣﺎﻧﮕﻲ ﺗﺮاﻓﻴﻚ‬
‫ﮔﺮدد‪.‬‬
‫ﻧﻴﺰ ﻓﺮاﻫﻢ ﻣﻣﻲﮔﺮدد‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪48‬‬
‫ﺗﺮﻛﻴﺐ ‪SA‬ﻫﺎ‪ :‬ﺣﺎﻟﺖ ‪4‬‬
‫‪‬‬
‫‪‬‬
‫داﺧﻠﻲ‬
‫ﻳﻚ‬
‫ﺷﺒﻜﻪ اﺧﻠ‬
‫ﺳﻴﺴﺘﻢ ﺷ ﻜ‬
‫ﺘ‬
‫ﺑﻴﺮوﻧﻲ ﺑﻪ ﻚ‬
‫ﻣﻴﺰﺑﺎن ﻧ‬
‫ﻳﻚ ﺎ‬
‫اﺗﺼﺎل ﻚ‬
‫ﺑﺮاي اﺗ ﺎل‬
‫ا‬
‫اﻳﺠﺎد ﺗﻮﻧﻞ ﺗﺎ دروازه ﺷﺒﻜﻪ داﺧﻠﻲ‪ ،‬ﺗﺮﻛﻴﺐ ﭼﻨﺪ ‪SA‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪49‬‬
‫ﻓﻬﺮﺳﺖ ﻣﻄﺎﻟﺐ‬
‫‪‬‬
‫ﻣﻘﺪﻣﻪ‬
‫‪‬‬
‫ﻣﻌﻤﺎري ‪IPSec‬‬
‫ﻣﻌ ﺎ ي‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ‪AH‬‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ‪ESP‬‬
‫‪‬‬
‫ﺗﺮﻛﻴﺐ ‪SA‬ﻫﺎ‬
‫‪‬‬
‫ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪50‬‬
‫ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ‬
‫‪‬‬
‫ﻋﻤﻮﻣﺎ ﺑﻪ ‪ 4‬ﻛﻠﻴﺪ ﺳﺮي‪ ،‬دو ﺗﺎ ﺑﺮاي ‪ AH‬و دو ﺗﺎ ﺑﺮاي ‪) ESP‬در دو‬
‫ﺎزﻣﻨﺪﻳﻢ‪.‬‬
‫ﺟﻬﺖ( ﻧﻴ ز‬
‫‪‬‬
‫ﺑﺮاي ﺗﻮﻟﻴﺪ و ﺗﻮزﻳﻊ اﻳﻦ ﻛﻠﻴﺪﻫﺎ ﺑﻪ ﻳﻚ ﻣﻜﺎﻧﻴﺰم ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ‬
‫ﻧﻴﺎزﻣﻨﺪﻳﻢ‪.‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪51‬‬
‫ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ‬
‫‪‬‬
‫ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ دﺳﺘﻲ‪ :‬ﺗﻨﻬﺎ در ﺳﻴﺴﺘﻢ ﻫﺎي اﻳﺴﺘﺎ و ﻛﻮﭼﻚ ﻗﺎﺑﻞ‬
‫ﺖ‪.‬‬
‫ااﺳﺘﻔﺎده ااﺳﺖ‬
‫‪‬‬
‫ﺧﻮدﻛﺎر‪:‬‬
‫ﻛﻠﻴﺪ ﺧ دﻛﺎ‬
‫ﻣﺪﻳﺮﻳﺖ ﻛﻠ ﺪ‬
‫ﺪ ﺖ‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ اﺗﻮﻣﺎﺗﻴﻚ و ﭘﻴﺶ ﻓﺮض ﻣﺪﻳﺮﻳﺖ و ﺗﻮزﻳﻊ ﻛﻠﻴﺪ ‪IPSec‬‬
‫اﺻﻄﻼﺣﺎ ‪ ISAKMP/Oakley‬ﻧﺎﻣﻴﺪه ﻣﻣﻲ ﺷﻮد‪.‬‬
‫‪Internet Security Association‬‬
‫‪and Key Management Protocol‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪52‬‬
‫ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ‬
‫‪‬‬
‫ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ ﺧﻮدﻛﺎر ﺑﻪ ﻧﺎم ‪ ISAKMP/Oakley‬ﻣﻌﺮوف اﺳﺖ‬
‫ﻞ اﺳﺖ‪:‬‬
‫ﭘﺮوﺗﻜﻞ‬
‫ﺷﺎﻣﻞ دوو ﭘﺮو‬
‫و ﻞ‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ﺗﻌﻴﻴﻦ ﻛﻠﻴﺪ ‪Oakley‬‬
‫‪‬‬
‫‪‬‬
‫ﻓﺮم ﺗﻮﺳﻌﻪ ﻳﺎﻓﺘﻪ ﭘﺮوﺗﻜﻞ ‪ Diffie‐Hellman‬ﻛﻪ ﺿﻌﻔﻬﺎي آن را ﺑﺮﻃﺮف‬
‫ﻛﺮده اﺳﺖ‪.‬‬
‫ﭘﺮوﺗﻜﻞ ﻣﺪﻳﺮﻳﺖ ﻛﻠﻴﺪ و ‪ SA‬در ااﻳﻨﺘﺮﻧﺖ )‪(ISAKMP‬‬
‫‪‬‬
‫ﺗﻌﺮﻳﻒ روﻳﻪﻫﺎ و ﻗﺎﻟﺐ ﺑﺴﺘﻪﻫﺎ ﺑﺮاي ﺑﺮﻗﺮاري‪ ،‬ﻣﺬاﻛﺮه‪ ،‬ﺗﻐﻴﻴﺮ ﻳﺎ ﺣﺬف ‪SA‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪53‬‬
‫ﭘﺮوﺗﻜﻞ ‪Oakley‬‬
‫‪‬‬
‫ﭘﺮوﺗﻜﻞ ‪Oakley‬‬
‫ﺧﺼﻮﺻﻴﺎت ﺗﻜﻞ‬
‫ﺎت‬
‫ﺧ‬
‫‪‬‬
‫ﻣﻘﺎﺑﻠﻪ ﺑﺎ ﺣﻤﻠﻪ ‪ Clogging ‬در ‪ :DH‬ﻣﻨﺎﺑﻊ ﻗﺮﺑﺎﻧﻲ ﺑﺎ درﺧﻮاﺳﺘﻬﺎي‬
‫ﺷﻮد‪.‬‬
‫ﻛﻠﻴﺪﺪ ﺗﻠﻒ ﻣﻲﺷ د‬
‫ﺎدل ﻛﻠ‬
‫ﻣﻜﺮر ﺗﺗﺒﺎدل‬
‫ﻜ‬
‫‪‬‬
‫‪‬‬
‫ﻣﻘﺎﺑﻠﻪ ﺑﺎ ﺣﻤﻠﻪ ﻣﺮد ﻣﻴﺎﻧﻲ در ‪:DH‬‬
‫‪‬‬
‫‪‬‬
‫ﺑﺎ اﺳﺘﻔﺎده از ﺗﻌﺮﻳﻒ ﻣﻔﻬﻮﻣﻲ ﺗﺤﺖ ﻋﻨﻮان ﻛﻮﻛﻲ )‪ (Cookie‬ﻣﺸﻜﻞ اﻳﻦ‬
‫ﻲ ﻛﻨﺪ‪.‬‬
‫ﺑﺮﻃﺮف ﻣﻲ‬
‫ﺣﻤﻠﻪ ررا ﺑﺮ ﺮ‬
‫ﻛﻠﻴﺪ ‪DH‬‬
‫ﺗﺒﺎدل ﻛﻠ ﺪ‬
‫اﺣﺮاز اﺻﺎﻟﺖ ددر ﺗ ﺎدل‬
‫اﺣ از‬
‫ﻣﻘﺎﺑﻠﻪ ﺑﺎ ﺣﻤﻠﻪ ﺗﻜﺮار‪:‬‬
‫‪‬‬
‫ﻣﻘﺎﺑﻠﻪ ﻣﻲﻛﻛﻨﺪ‪.‬‬
‫ﺗﻜﺮار ﻘﺎ ﻠ‬
‫ﻫﺎي ﺗﻜ ا‬
‫ﺣﻤﻠﻪ ﺎ‬
‫ﻧﺎﻧﺲ ﺎﺑﺎ ﻠ‬
‫اﺳﺘﻔﺎده ااز ﻧﺎﻧ‬
‫ﺎﺑﺎ ا ﺘﻔﺎ‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪54‬‬
‫ﭘﺮوﺗﻜﻞ ‪Oakley‬‬
‫‪‬‬
‫‪Clogging‬‬
‫ﻣﻘﺎﺑﻠﻪ ﺑﺎ ﺣﻤﻠﻪ ‪Cl i‬‬
‫‪‬‬
‫اﺳﺘﻔﺎده از ﻛﻮﻛﻲ )ﺗﻮﺳﻂ ﻫﺮ ﻳﻚ از ﻃﺮﻓﻴﻦ( ﺑﻪ ﺻﻮرت زﻳﺮ‪:‬‬
‫‪‬‬
‫ارﺳﺎل ﻋﺪد ﺗﺼﺎدﻓﻲ ﻛﻮﻛﻲ ﺗﻮﺳﻂ ﻫﺮﻳﻚ از ﻃﺮﻓﻴﻦ ارﺗﺒﺎط‬
‫‪‬‬
‫ارﺳﺎل ‪ ack‬ﺗﻮﺳﻂ ﻃﺮف دﻳﮕﺮ‬
‫‪‬‬
‫ﻧﻴﺎز ﺑﻪ ارﺳﺎل ‪ ack‬ﺗﻮﺳﻂ ﻣﺒﺪأ در اوﻟﻴﻦ ﭘﻴﺎم ‪DH‬‬
‫‪‬‬
‫اﮔﺮ ﻣﻬﺎﺟﻢ از آدرس ﺟﻌﻠﻲ ﺑﺮاي ارﺳﺎل ﻛﻮﻛﻲ اﺳﺘﻔﺎده ﻛﺮده ﺑﺎﺷﺪ‪،‬‬
‫ﭼﻮن ‪ ack‬را درﻳﺎﻓﺖ ﻧﻤﻲﻛﻨﺪ‪ ،‬ﻧﻤﻲ ﺗﻮاﻧﺪ ‪ DH‬را آﻏﺎز ﻧﻤﺎﻳﺪ‪.‬‬
‫‪‬‬
‫ﺑﺎﻳﺪ ﺗﻮﻟﻴﺪ و وارﺳﻲ ﻛﻮﻛﻲ ﻛﻢ ﻫﺰﻳﻨﻪ ﺑﺎﺷﺪ ﺗﺎ ﺣﻤﻼت اﺗﻼف ﻣﻨﺎﺑﻊ‬
‫ﻣﻤﻜﻦ ﻧﺒﺎﺷﺪ‪.‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪55‬‬
‫ﭘﺮوﺗﻜﻞ ‪ISAKMP‬‬
‫‪‬‬
‫‪‬‬
‫ﺗﻌﺮﻳﻒ روﻳﻪﻫﺎ و ﻗﺎﻟﺐ ﺑﺴﺘﻪﻫﺎ ﺑﺮاي ﺑﺮﻗﺮاري‪ ،‬ﻣﺬاﻛﺮه‪ ،‬ﺗﻐﻴﻴﺮ ﻳﺎ‬
‫ﺣﺬف ‪SA‬‬
‫ﻗﺎﻟﺐ ﺑﺴﺘﻪﻫﺎي ‪ISAKMP‬‬
‫‪‬‬
‫‪‬‬
‫ﺑﺮاي‬
‫دادهااي ا‬
‫ﺑﺨﺶ ا‬
‫ﻳﻚ ﻧﻧﻮع ﺨﺶ‬
‫ﺳﺮآﻳﻨﺪ و ﻚ‬
‫ﺷﺎﻣﻞ آ‬
‫ﭘﻴﺎم ‪ ISAKMP‬ﺷﺎ ﻞ‬
‫ﻳﻚ ﺎ‬
‫ﻚ‬
‫ﺗﺒﺎدل دادهﻫﺎي ﻣﺮﺑﻮط ﺑﻪ ﺗﻮﻟﻴﺪ ﻛﻠﻴﺪ و اﺣﺮاز اﺻﺎﻟﺖ اﺳﺖ‪.‬‬
‫روﻳﻪﻫﺎ‬
‫وﻳﻪ‬
‫‪‬‬
‫ﺷﺎﻣﻞ ﻣﺠﻤﻮﻋﻪاي از ﺗﻌﺎﻣﻞﻫﺎي )ﭘﺮوﺗﻜﻞﻫﺎي( از ﻗﺒﻞ ﺗﻌﺮﻳﻒ ﺷﺪه ﺑﺮاي‬
‫ﻮر ﻣﺨﺘﻠﻒ‬
‫اﻣﻮر‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪56‬‬
ISAKMP ‫اﻧﻮاع ﺑﺨﺶ داده اي در‬
yp
p
Type
Description
Security Association (SA) Used to negotiate security attributes and indicate the DOI and
Situation under which negotiation is taking place.
Proposal (P)
Used during SA negotiation; indicates protocol to be used and
number of transforms.
Transform (T)
Used during SA negotiation; indicates transform and related SA
attributes.
Key Exchange (KE)
Identification (ID)
Certificate (CERT)
Supports a variety of key exchange techniques.
Used to exchange identification information.
information
Used to transport certificates and other certificate- related
information.
Certificate Request (CR)
Used to request certificates; indicates the types of certificates
requested and the acceptable certificate authorities.
authorities
Hash (HASH)
Signature (SIG)
Nonce (NONCE)
Notification (N)
Contains data generated by a hash function.
Contains data generated by a digital signature function.
Contains a nonce.
Used to transmit notification data, such as an error condition.
Delete (D)
Indicates an SA that is no longer valid.
57
(http://dnsl.ce.sharif.edu ) ‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
90-91 ‫ ﻧﻴﻤﺴﺎل اول‬- ‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ‬
‫اﻧﻮاع ﺗﻌﺎﻣﻼت در ‪ISAKMP‬‬
‫‪‬‬
‫‪ :Base Exchange‬ﺗﺒﺎدل ﻛﻠﻴﺪ و اﺣﺮاز اﺻﺎﻟﺖ ﺑﺪون ﻣﺤﺎﻓﻈﺖ از ﺷﻨﺎﺳﻪ‪.‬‬
‫‪‬‬
‫ﭘﺎﻳﻪ ﺑﺑﺎ ﺣﻔﺎﻇﺖ ازز‬
‫ﻞﭘﻳ‬
‫ﺗﻮﺳﻌﻪ ﺗﻌﺎﻣﻞ‬
‫‪ :Identity Protection Exchange‬ﻮ‬
‫‪y‬‬
‫‪g‬‬
‫ﺷﻨﺎﺳﻪ ﻃﺮﻓﻴﻦ‪.‬‬
‫‪‬‬
‫ﺻﺮﻓﺎ اﺣﺮاز اﺻﺎﻟﺖ دوﻃﺮﻓﻪ ﺑﺪون‬
‫‪ :Authentication Only Exchange‬ﺻﺮﻓﺎً‬
‫‪Authentication Only Exchange‬‬
‫ﺗﺒﺎدل ﻛﻠﻴﺪ‪.‬‬
‫‪‬‬
‫ﺗﺒﺎدﻟﻲ ﺑﺎ ﻋﺪم ﺣﻔﺎﻇﺖ از‬
‫ﺎﻣﻬﺎي ﺗ ﺎدﻟ‬
‫‪ :Aggressive Exchange‬ﻛﺎﻫﺶ ﺗﻌﺪاد ﭘﭘﻴﺎﻣﻬﺎي‬
‫‪Aggressive Exchange‬‬
‫ﺷﻨﺎﺳﻪ‪.‬‬
‫‪‬‬
‫ﻣﺪﻳﺮﻳﺖ ‪.SA‬‬
‫ﺑﺮاي ﺪ ﺖ‬
‫ﺎت ا‬
‫اﻃﻼﻋﺎت‬
‫ﻓﻪ اﻃﻼ‬
‫ﻳﻜﻄﺮﻓﻪ‬
‫ﺎل ﻜﻄ‬
‫‪ :Informational Exchange‬اارﺳﺎل‬
‫‪Informational Exchange‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪58‬‬
‫ﭘﺎﻳﺎن‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ‬
‫‪http://dnsl.ce.sharif.edu‬‬
‫ﭘﺴﺖ اﻟﻜﺘﺮوﻧﻴﻜﻲ‬
‫‪[email protected]‬‬
‫ﻣﺮﺗﻀﻲ اﻣﻴﻨﻲ ‪ -‬ﻧﻴﻤﺴﺎل اول ‪90-91‬‬
‫اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ‬
‫ﻣﺮﻛﺰ اﻣﻨﻴﺖ داده و ﺷﺒﻜﻪ ﺷﺮﻳﻒ ) ‪(http://dnsl.ce.sharif.edu‬‬
‫‪59‬‬