网络安全实验报告6

实验目的

1. 掌握网络安全实验环境的搭建方法，包括虚拟机网络拓扑配置及IP地址规划，确保两台主机间的连通性。
2. 学习并掌握SSL协议的安全机制，能够配置证书服务器（CA）与Web服务器，完成证书申请与安装，实现HTTPS加密传输。
3. 深入理解IPSec协议的工作原理，掌握在Windows环境下配置ESP（封装安全载荷）和AH（认证头）协议的策略与规则。
4. 通过Wireshark抓包工具，分析HTTP与HTTPS数据包的差异，以及IPSec协议在不同策略组合下的通信行为与数据封装格式。

实验内容

1. SSL协议应用与配置：搭建根CA服务器与Web服务器，在Web端申请并安装指定格式的数字证书，配置站点绑定，通过浏览器验证HTTPS服务的可用性。
2. HTTP与HTTPS协议分析：利用Wireshark工具分别抓取HTTP明文传输与HTTPS加密传输的数据包，重点分析TCP三次握手、SSL握手过程及数据载荷的加密差异。
3. IPSec协议（ESP）配置与测试：在两台主机间配置基于传输模式的IPSec策略，针对ICMP协议创建筛选器，指定使用ESP协议，测试不同策略指派组合下的Ping连通性。
4. IPSec协议（AH）与数据抓包分析：将IPSec协议修改为AH头认证模式，抓取数据包分析协议号、SPI、载荷长度等字段，对比ESP与AH在数据加密封装上的区别。

实验步骤

步骤1：实验环境搭建与基础配置 打开两台Windows虚拟机，根据“学号”后两位（设为XX）配置IP地址。将根CA（主机A）IP设置为192.168.XX.111，Web服务器（主机B）IP设置为192.168.XX.222。配置完成后，在两台虚拟机中互相执行ping命令，确保网络连通性良好。

步骤2：SSL证书服务配置 在根CA虚拟机中，通过服务器管理器添加“Active Directory 证书服务”角色及IIS服务。在Web服务器虚拟机中安装IIS服务，并编辑默认网站的iisstart.htm文件，在页面中加入学号后两位以便验证。在Web服务器的IIS管理器中，配置服务器证书，通过浏览器访问http://192.168.XX.111/certsrv申请证书，证书名称设置为“66-XX-WEB”，单位填写班号，公用名称使用姓名首字母。下载并安装证书后，在Web站点上绑定该证书，配置443端口。

步骤3：SSL协议抓包分析 在根CA虚拟机上开启Wireshark，选择网卡进行抓包。首先使用HTTP方式访问Web服务器IP，保存TCP三次握手及HTTP明文数据包的截图。随后使用HTTPS方式访问，抓取SSL/TLS完整握手流程的数据包（ClientHello、ServerHello、Certificate等）。对比两者发现，HTTP数据可直接读取，而HTTPS数据部分为乱码加密状态，且IP头与TCP头结构基本一致。

步骤4：IPSec（ESP）策略配置 重置环境或确保主机A和B网络互通。在主机A中，打开“本地安全策略”，创建“IP安全策略”。添加IP安全规则，选择“传输模式”。在IP筛选器列表中添加新筛选器，指定源地址为本机（192.168.XX.111），目标地址为主机B（192.168.XX.222），协议类型选择ICMP。在筛选器操作中，选择“协商安全”，并添加“完整”安全方法，勾选“ESP”协议及完整性算法（如SHA1）和加密算法（如3DES）。按照相同逻辑在主机B配置反向策略（源为本机，目标为A）。

步骤5：IPSec策略测试与连通性验证 分别设置主机A和B的策略指派状态（指派或不指派），进行四种组合测试。在主机A执行ping 192.168.XX.222。

• 当A、B均不指派时，Ping通（普通ICMP）。
• 当A指派、B不指派时，Ping不通（协商失败）。
• 当A不指派、B指派时，Ping不通。
• 当A、B均指派时，Ping通（建立ESP安全通道）。 使用Wireshark抓取成功通信时的ESP数据包，记录协议类型值（十进制50）、SPI值、序列号，并确认ICMP负载已被ESP封装加密。

步骤6：IPSec（AH）协议配置与分析 将上述策略中的筛选器操作修改为使用“AH”协议（协议号51），移除加密设置，保留完整性设置。确保两端均指派策略后，再次执行Ping并抓包。分析AH数据包，记录“下一个报头”字段（通常为ICMP对应的协议号1）、载荷长度和SPI值。分析发现，AH协议不加密数据负载，但提供了IP头和数据完整性校验。

实验分析

实验结果 通过实验成功搭建了基于SSL的HTTPS安全网站与基于IPSec的VPN通信环境。在SSL实验中，Wireshark抓包清晰展示了HTTP明文传输的风险与HTTPS通过SSL/TLS握手实现数据加密的过程，证实HTTPS在数据层面的安全性。在IPSec实验中，验证了通信双方策略必须匹配（均指派或均不指派）才能正常通信的特性。ESP抓包显示ICMP载荷被加密，无法直接查看内容；而AH抓包显示数据包未加密，但增加了AH头部用于完整性校验，验证了ESP提供机密性与完整性，AH仅提供完整性的理论。

个人收获 本次实验让我深刻理解了网络协议栈不同层面的安全机制。SSL工作在应用层，主要保护Web等服务的数据传输安全；而IPSec工作在网络层，能保护主机间所有IP流量。通过亲手配置证书服务和筛选器策略，我掌握了CA认证体系的运作逻辑以及IPSec传输模式的具体实现。特别是策略指派的对比测试，让我明白了网络安全通信需要双方预先协商并达成一致，单方面的安全配置会导致通信阻断，这加深了我对网络安全双向认证和协议协商过程的理解。