杨浩淼， 张文科， 蒋 磊

（①电子科技大学 计算机学院，四川 成都611731；②卫士通信息产业股份有限公司，四川 成都610041；③四川省人民政府社会发展研究中心，四川 成都610091）

0 引言

早期TCP/IP协议存在种种安全问题，为此IETF设计了一套提供 Internet安全通信的协议，称之为IPsec协议[1-2]。该协议在IP层提供安全服务，包括机密性、完整性以及认证性。它既可以和IPv4联合使用，也可以和IPv6联合使用，是互联网的基础安全协议。因此, 了解和应用 IPSec 协议也必将成为网络安全课程中的重要内容。探讨如何开展 IPSec实验, 对提高学生计算机网络安全实践操作能力具有现实的指导意义。考虑到Windows平台应用的普及，这里将在Windows 2003平台下设计IPSec实验。

在建立 IPSec安全通道之前，对等体之间需要相互认证以确定身份。Windows 2003 IPSec 支持3种身份认证：Kerberos、证书和预共享密钥。只有当两个终结点（计算机）都位于同一个 Windows 2003域时，Kerberos 身份认证才有效。这种类型的身份认证是首选方法。如果计算机位于不同的域中，或者至少有一台计算机不在某个域中，则必须使用证书或预共享密钥。只有当每个终结点中包含一个由受信任的颁发机构签署的证书时，才能进行基于证书认证的IPSec通信。如果终结点不在同一个域中，并且无法获得证书，则预共享密钥是唯一的身份认证选择。

然而，在已有的网络安全实验教材中，IPSec身份认证实验大多数是通过“预共享密钥”的方式来进行的[3-4]。因此，这里将设计两个更通用的IPSec身份认证实验：“基于证书”和“基于Kerberos协议”。这些实验将使学生综合理解网络安全协议的基础知识，更好的培养学生的实践工程能力。……