ipsec证书

① 怎样实现用IPSec证书进行身份验证的L2TP/IPSec远程访问

需要安装CA(证书服务器),再去申请. 在L2TP连接中可以导入该证书

② PKI和IPsec的区别

我给你回答：
PKI，是基于公私钥密钥的一整套体系，主要围绕数字证书的管理和应用。
IPsec是一种协议，范围较小，也是PKI的一种应用，需要数字证书的支持。
PKI的应用相当广泛，比如你使用网银、支付宝等，使用https加密登录，使用数字证书等，都属于pki的范畴。
ipsec使用范围较窄，主要应用于分支机构和总公司之间的加密通讯，一般不直接面对普通用户。而且它的实现主要也依赖于数字证书提供的加解密。

③ IPSEC是什么

IPSec 协议不是一个单独的协议，它给出了应用于IP层上网络数据安全的一整套体系结构，包括网络认证协议 Authentication Header（AH）、封装安全载荷协议Encapsulating Security Payload（ESP）、密钥管理协议Internet Key Exchange （IKE）和用于网络认证及加密的一些算法等。IPSec 规定了如何在对等层之间选择安全协议、确定安全算法和密钥交换，向上提供了访问控制、数据源认证、数据加密等网络安全服务。
一、安全特性
IPSec的安全特性主要有：
·不可否认性 "不可否认性"可以证实消息发送方是唯一可能的发送者，发送者不能否认发送过消息。"不可否认性"是采用公钥技术的一个特征，当使用公钥技术时，发送方用私钥产生一个数字签名随消息一起发送，接收方用发送者的公钥来验证数字签名。由于在理论上只有发送者才唯一拥有私钥，也只有发送者才可能产生该数字签名，所以只要数字签名通过验证，发送者就不能否认曾发送过该消息。但"不可否认性"不是基于认证的共享密钥技术的特征，因为在基于认证的共享密钥技术中，发送方和接收方掌握相同的密钥。
·反重播性 "反重播"确保每个IP包的唯一性，保证信息万一被截取复制后，不能再被重新利用、重新传输回目的地址。该特性可以防止攻击者截取破译信息后，再用相同的信息包冒取非法访问权（即使这种冒取行为发生在数月之后）。
·数据完整性 防止传输过程中数据被篡改，确保发出数据和接收数据的一致性。IPSec利用Hash函数为每个数据包产生一个加密检查和，接收方在打开包前先计算检查和，若包遭篡改导致检查和不相符，数据包即被丢弃。
·数据可靠性（加密） 在传输前，对数据进行加密，可以保证在传输过程中，即使数据包遭截取，信息也无法被读。该特性在IPSec中为可选项，与IPSec策略的具体设置相关。
·认证 数据源发送信任状，由接收方验证信任状的合法性，只有通过认证的系统才可以建立通信连接。
二、基于电子证书的公钥认证
一个架构良好的公钥体系，在信任状的传递中不造成任何信息外泄，能解决很多安全问题。IPSec与特定的公钥体系相结合，可以提供基于电子证书的认证。公钥证书认证在Windows 2000中，适用于对非Windows 2000主机、独立主机，非信任域成员的客户机、或者不运行Kerberos v5认证协议的主机进行身份认证。
三、预置共享密钥认证
IPSec也可以使用预置共享密钥进行认证。预共享意味着通信双方必须在IPSec策略设置中就共享的密钥达成一致。之后在安全协商过程中，信息在传输前使用共享密钥加密，接收端使用同样的密钥解密，如果接收方能够解密，即被认为可以通过认证。但在Windows 2000 IPSec策略中，这种认证方式被认为不够安全而一般不推荐使用。
四、公钥加密
IPSec的公钥加密用于身份认证和密钥交换。公钥加密，也被称为"不对称加密法"，即加解密过程需要两把不同的密钥，一把用来产生数字签名和加密数据，另一把用来验证数字签名和对数据进行解密。
使用公钥加密法，每个用户拥有一个密钥对，其中私钥仅为其个人所知，公钥则可分发给任意需要与之进行加密通信的人。例如：A想要发送加密信息给B，则A需要用B的公钥加密信息，之后只有B才能用他的私钥对该加密信息进行解密。虽然密钥对中两把钥匙彼此相关，但要想从其中一把来推导出另一把，以目前计算机的运算能力来看，这种做法几乎完全不现实。因此，在这种加密法中，公钥可以广为分发，而私钥则需要仔细地妥善保管。
五、Hash函数和数据完整性
Hash信息验证码HMAC（Hash message authentication codes）验证接收消息和发送消息的完全一致性（完整性）。这在数据交换中非常关键，尤其当传输媒介如公共网络中不提供安全保证时更显其重要性。
HMAC结合hash算法和共享密钥提供完整性。Hash散列通常也被当成是数字签名，但这种说法不够准确，两者的区别在于：Hash散列使用共享密钥，而数字签名基于公钥技术。hash算法也称为消息摘要或单向转换。称它为单向转换是因为：
1）双方必须在通信的两个端头处各自执行Hash函数计算；
2）使用Hash函数很容易从消息计算出消息摘要，但其逆向反演过程以目前计算机的运算能力几乎不可实现。
Hash散列本身就是所谓加密检查和或消息完整性编码MIC（Message Integrity Code），通信双方必须各自执行函数计算来验证消息。举例来说，发送方首先使用HMAC算法和共享密钥计算消息检查和，然后将计算结果A封装进数据包中一起发送；接收方再对所接收的消息执行HMAC计算得出结果B，并将B与A进行比较。如果消息在传输中遭篡改致使B与A不一致，接收方丢弃该数据包。
有两种最常用的hash函数：
·HMAC-MD5 MD5（消息摘要5）基于RFC1321。MD5对MD4做了改进，计算速度比MD4稍慢，但安全性能得到了进一步改善。MD5在计算中使用了64个32位常数，最终生成一个128位的完整性检查和。
·HMAC-SHA 安全Hash算法定义在NIST FIPS 180-1，其算法以MD5为原型。 SHA在计算中使用了79个32位常数，最终产生一个160位完整性检查和。SHA检查和长度比MD5更长，因此安全性也更高。
六、加密和数据可靠性
IPSec使用的数据加密算法是DES--Data Encryption Standard（数据加密标准）。DES密钥长度为56位，在形式上是一个64位数。DES以64位（8字节）为分组对数据加密，每64位明文，经过16轮置换生成64位密文，其中每字节有1位用于奇偶校验，所以实际有效密钥长度是56位。 IPSec还支持3DES算法，3DES可提供更高的安全性，但相应地，计算速度更慢。
七、密钥管理
·动态密钥更新
IPSec策略使用"动态密钥更新"法来决定在一次通信中，新密钥产生的频率。动态密钥指在通信过程中，数据流被划分成一个个"数据块"，每一个"数据块"都使用不同的密钥加密，这可以保证万一攻击者中途截取了部分通信数据流和相应的密钥后，也不会危及到所有其余的通信信息的安全。动态密钥更新服务由Internet密钥交换IKE（Internet Key Exchange）提供，详见IKE介绍部分。
IPSec策略允许专家级用户自定义密钥生命周期。如果该值没有设置，则按缺省时间间隔自动生成新密钥。
·密钥长度
密钥长度每增加一位，可能的密钥数就会增加一倍，相应地，破解密钥的难度也会随之成指数级加大。IPSec策略提供多种加密算法，可生成多种长度不等的密钥，用户可根据不同的安全需求加以选择。
·Diffie-Hellman算法
要启动安全通讯，通信两端必须首先得到相同的共享密钥（主密钥），但共享密钥不能通过网络相互发送，因为这种做法极易泄密。
Diffie-Hellman算法是用于密钥交换的最早最安全的算法之一。DH算法的基本工作原理是：通信双方公开或半公开交换一些准备用来生成密钥的"材料数据"，在彼此交换过密钥生成"材料"后，两端可以各自生成出完全一样的共享密钥。在任何时候，双方都绝不交换真正的密钥。
通信双方交换的密钥生成"材料"，长度不等，"材料"长度越长，所生成的密钥强度也就越高，密钥破译就越困难。 除进行密钥交换外，IPSec还使用DH算法生成所有其他加密密钥。

④ win10 VPN错误原因 IPSec 的 L2TP 协议的连接要求安装一个机器证书，它也叫做计算机证书

VPN一般指虚拟专用网络
虚拟专用网络的功能是：在公用网络上建立专用网络，进行加密通专讯。在属企业网络中有广泛应用。VPN网关通过对数据包的加密和数据包目标地址的转换实现远程访问。VPN有多种分类方式，主要是按协议进行分类。VPN可通过服务器、硬件、软件等多种方式实现。

⑤ 定义 IPSec 身份验证方法

定义 IPSec 身份验证方法
1.
创建包含“IP 安全策略”的控制台。或打开一个已保存的包含“IP 安全策略”的控制台文件。

2.
双击要修改的策略。

3.
双击要修改的规则。

4.
在“身份验证方法”选项卡上，单击“添加”。或者，如果要重新配置现有的方法，可单击身份验证方法，然后单击“编辑”。

5.
选择希望添加或修改的身份验证方法：

• 当该规则适用于被 Windows 2000 或 Windows Server 2003 Active Directory 域或受信任的 Active Directory 域验证为有效的计算机时，要将 Kerberos V5 安全协议用于身份验证服务，请单击“Active Directory 默认（Kerberos V5 协议）”。

• 要将公钥证书用于身份验证服务，请单击“使用由此证书颁发机构 (CA) 颁发的证书”，然后单击“浏览”选择根 CA。

• 要防止将 CA 的名称与证书请求一同发送，请选中“从证书请求中排除 CA 名称”复选框。

• 要启用证书到帐户的映射，请选中“启用证书到帐户的映射”复选框。

• 要指定使用自己的密钥进行身份验证，请单击“使用此字符串（预共享密钥）”。

6.
要删除身份验证方法或更改其首选顺序，请执行下列操作之一：

• 要删除所选方法，请单击“删除”。

• 要将所选方法上移一级，请单击“上移”。重复操作直到该方法处在所需的首选等级。

• 要将所选方法下移一级，请单击“下移”。重复操作直到该方法处在所需的首选等级。

要点

• 不推荐使用预共享密钥身份验证，因为它是一种相对较弱的身份验证方法。预共享密钥身份验证会创建一个主密钥，其安全性（由于可能会生成较差的加密格式）不如证书或 Kerberos V5 协议。此外，预共享密钥以纯文本方式存储。预共享密钥身份验证方法是出于互操作性目的而提供并遵循 IPSec 标准。建议您仅将预共享密钥用于测试，而在生产环境中使用证书或 Kerberos V5 来代替。

注意

• 要管理基于 Active Directory 的 IPSec 策略，您必须是 Active Directory 中 Domain Admins 组的成员，或者您必须被委派了适当的权限。要本地或远程管理计算机的 IPSec 策略，您必须是本地或远程计算机中 Administrators 组的成员。如果计算机已加入某个域，则 Domain Admins 组的成员可能会执行该过程。详细信息，请参阅默认本地组和默认组。

• 要创建包含“IP 安全策略”的控制台，请启动“IP 安全策略”管理单元。要打开已保存的控制台文件，请打开“MMC”。详细信息，请参阅“相关主题”。

• 运行 Windows XP Home Edition 的计算机不支持 Kerberos V5 协议身份验证方法。

• 如果选择使用证书进行身份验证，必须选择 CA（一般为已安装的计算机证书的根 CA）。此字段不能为空。

• 对于预共享密钥身份验证，每个 IPSec 对等方必须使用相同的预共享密钥，否则身份验证将失败。

• 如果有多个规则中的筛选器适用于同一对 IP 地址之间的通讯，那么两个规则中的验证方法列表应该相同。否则，由一个规则启动的安全请求可能与其他规则的筛选器匹配，但有不同的身份验证方法。这种情况下，协商将会失败。当某个规则在两个 IP 地址之间成功启动主模式安全关联之后，筛选不同通讯的其他规则将不会重新协商身份验证和主密钥（主模式安全关联）。相反，这些其他规则将使用相同的主模式安全关联来与其特别筛选器相匹配的通讯安全性（算法和会话密钥）进行协商。

⑥ 怎么查看linux的ipsec认证

你进入自己的主页，（不是用户管理中心） 然后左上角就有，视频认证 已认证， 然后你点那个已认证就可以看自己的视频认证了

⑦ IPSec使用Openssl生成的CA

之前有用过openssl生成CA证书，不过表示没有用过IPSec。。
你可以看看IPSec的指导书什么的，找找看有没有帮助。

⑧ IPSec VPN与SSL VPN具体有什么区别

1、认证不同

IPSec VPN：采用Internet Key Exchange（IKE）方式，通过数字凭证或是一组密匙来做认证；

SSL VPN：仅能使用数字凭证。

2、用户控制不同

IPSec VPN：能明确使用收控的设备接入的移动用户；

SSL VPN：使用无法控制的设备接入的用户。

3、系统被攻击几率不同

IPSec VPN：使用此连接，内网所连接的应用系统都有可能被黑客监测到，并找到攻击机会；

SSL VPN：使用此连接，没有网络层上的链接，黑客不容易监测到，攻击的机会也很小。

4、防病毒程度不同

IPSec VPN：一旦客户端遭到病毒感染，就可能会感染到内部网络所连接的每台电脑；

SSL VPN：病毒感染的仅限于这台主机，并且病毒必须是针对相同的应用系统的类型，否则这台主机都不会被感染。