网络安全概述ppt课件.pptx

1、第7讲 保密通信（一）IPSec FWPage 11 防火墙概述基本概念关键技术体系结构网络隔离2基本概念防火墙概念 William Cheswick和和Steve Beilovin（1994）：）：防火墙是放置在两个网络之间的一组组件，这组组防火墙是放置在两个网络之间的一组组件，这组组件共同具有下列性质：件共同具有下列性质： 只允许本地安全策略授权的通信信息通过只允许本地安全策略授权的通信信息通过 双向通信信息必须通过防火墙双向通信信息必须通过防火墙 防火墙本身不会影响信息的流通防火墙本身不会影响信息的流通 防火墙是位于两个信任程度不同的网络之间（如企业内部网络和Internet之间）的软件

2、或硬件设备的组合，它对两个网络之间的通信进行控制，通过强制实施统一的安全策略，防止对重要信息资源的非法存取和访问以达到保护系统安全的目的。 传统防火墙概念特指网络层实现3防火墙缺陷 使用不便，认为防火墙给人虚假的安全感使用不便，认为防火墙给人虚假的安全感 对用户不完全透明，可能带来传输延迟、瓶颈及单对用户不完全透明，可能带来传输延迟、瓶颈及单点失效点失效 不能替代墙内的安全措施不能替代墙内的安全措施 不能防范恶意的知情者不能防范恶意的知情者 不能防范不通过它的连接不能防范不通过它的连接 不能防范全新的威胁不能防范全新的威胁 不能有效地防范数据驱动式的攻击不能有效地防范数据驱动式的攻击 当使用端

3、当使用端-端加密时，其作用会受到很大的限制端加密时，其作用会受到很大的限制4关键技术数据包过滤 依据事先设定的过滤规则，对所接收的每个数据包做允许拒绝的决定。数据包过滤优点：数据包过滤优点： 速度快，性能高速度快，性能高 对用户透明对用户透明数据包过滤缺点：数据包过滤缺点： 维护比较困难维护比较困难(需要对需要对TCP/IP了解）了解） 安全性低（安全性低（IP欺骗等）欺骗等） 不提供有用的日志，或根本就不提供不提供有用的日志，或根本就不提供 不防范数据驱动型攻击不防范数据驱动型攻击 不能根据状态信息进行控制不能根据状态信息进行控制 不能处理网络层以上的信息不能处理网络层以上的信息 无法对网络

4、上流动的信息提供全面的控制无法对网络上流动的信息提供全面的控制互连的物理介质互连的物理介质应用层应用层表示层表示层会话层会话层传输层传输层应用层应用层表示层表示层会话层会话层传输层传输层网络层网络层数据链路层数据链路层物理物理层层网络层网络层数据链路层数据链路层物理层物理层网络层网络层数据链路层数据链路层物理层物理层5NAT （Network Address Translation） 网络地址转就是在防火墙上装一个合法IP地址集，然后 当内部某一用户要访问Internet时，防火墙动态地从地址集中选一个未分配的地址分配给该用户； 同时，对于内部的某些服务器如Web服务器，网络地址转换器允许为其

5、分配一个固定的合法地址。 地址翻译主要用在两个方面： 网络管理员希望隐藏内部网络的IP地址。这样互联网上的主机无法判断内部网络的情况。 内部网络的IP地址是无效的IP地址。 这种情况主要是因为现在的IP地址不够用，要申请到足够多的合法IP地址很难办到，因此需要翻译IP地址。6源IP目的IP10.0.0.108202.112.108.50源IP目的IP202.112.108.3202.112.108.50源IP目的IP202.112.108.50202.112.108.3源IP目的IP202.112.108.5010.0.0.108防火墙网关7应用层代理网关理解应用协议，可以实施更细粒度的网关理

6、解应用协议，可以实施更细粒度的访问控制访问控制对每一类应用，都需要一个专门的代理对每一类应用，都需要一个专门的代理灵活性不够灵活性不够客客 户户网网 关关服务器服务器发送请求发送请求转发请求转发请求请求响应请求响应转发响应转发响应8体系结构双宿主主机体系 双重宿主主机的特性： 安全至关重要（唯一通道），其用户口令控制安全是关键。 必须支持很多用户的访问（中转站），其性能非常重要。 缺点：双重宿主主机是隔开内外网络的唯一屏障，一旦它被入侵，内部网络便向入侵者敞开大门。防火墙防火墙双重宿主主机双重宿主主机内部网络内部网络9屏蔽主机体系 屏蔽主机体系结构由防火墙和内部网络的堡垒主机承担安全责任。一般

7、这种防火墙较简单，可能就是简单的路由器。 典型构成：包过滤路由器堡垒主机。 包过滤路由器配置在内部网和外部网之间，保证外部系统对内部网络的操作只能经过堡垒主机。 堡垒主机配置在内部网络上，是外部网络主机连接到内部网络主机的桥梁，它需要拥有高等级的安全。防火墙堡垒主机因特网因特网10屏蔽子网体系 组成：屏蔽子网体系结构在本质上与屏蔽主机体系结构一样，但添加了额外的一层保护体系周边网络。堡垒主机位于周边网络上，周边网络和内部网络被内部路由器分开。 周边网络：一个防护层，在其上可放置一些信息服务器，它们是牺牲主机，可能会受到攻击，因此又被称为非军事区（DMZ）。周边网络的作用：即使堡垒主机被入侵者控

8、制，它仍可消除对内部网的侦听。例: netxray等的工作原理。11周边网络内部网络外部路由器堡垒主机内部路由器12网络隔离物理隔离的指导思想与防火墙绝然不同：防火墙的思路是在保障互联互通的前提下，尽可能安全，而物理隔离的思路是在保证必须安全的前提下，尽可能互联互通。一个典型的物理隔离方案（处于完全隔离状态）互联网外部服务器内部服务器存储设备物理隔离控制设备集线器内部网络13一个典型的物理隔离方案（隔离设备处于与外网相连状态） 互联网外部服务器内部服务器存储设备物理隔离控制设备集线器内部网络非TCP/IP连接原始数据14一个典型的物理隔离方案（隔离设备处于与内网相连状态） 互联网外部服务器内部

9、服务器存储设备物理隔离控制设备集线器非TCP/IP连接原始数据152 VPN概述VPN定义VPN技术VPN分类IPSec体系16VPN定义 两个基本的专网形式远程独立客户机Modem电话网远程访问服务器Modem17数据网总部远程访问服务器分支机构服务器 适配器专用通道 适配器SDH、DDN、ADSL、ISDN、18总部总部网络网络远程局域远程局域网络网络单个单个用户用户Internet19VPN的定义：是指依靠ISP或其他NSP在公用网络基础设施之上构建的专用的数据通信网络，这里所指的公用网络有多种，包括IP网络、帧中继网络和ATM网络。 虚拟： 专用网：封闭的用户群、安全性高 、服务质量保

10、证 IETF对基于IP的VPN定义：使用IP机制仿真出一个私有的广域网。20VPN技术隧道技术 隧道是在公共通信网络上构建的一条数据路径，可以提供与专用通信线路等同的连接特性。隧道使用隧道协议来封装数据。一种协议X的数据报被封装在协议Y中，可以实现协议X在公共网络的透明传输。这里协议X称作被封装协议，协议Y称为封装协议。隧道的一般封装格式为(协议Y(隧道头(协议X)。21密钥管理 VPN技术的开放性预示着必须采用各种公开密码算法，这样算法的安全强度不能仅依赖于算法本身，只能依靠密钥的机密性。大规模部署VPN，也离不开自动密钥管理协议的支持。 VPN系统中常用的几种密钥管理协议包括：IKE协议、

11、SKIP协议、Kerberos协议。22VPN分类按VPN业务类型划分： Intranet VPN（内部公文流转） Access VPN（远程拨号VPN） Extranet VPN（各分支机构互联）按VPN发起主体划分： 客户发起，也称基于客户的VPN 服务器发起，也称客户透明方式或基于网络的VPN23按隧道协议层次划分： 二层隧道协议：L2F/L2TP 、PPTP 三层隧道协议：GRE （通用路由封装协议） 、IPSec 介于二、三层间的隧道协议：MPLS 基于SOCKS V5的VPN此外，根据VPN实现方式不同，还可进一步分为软件实现和硬件实现等。24IPSec体系两个通信协议：两个通信协

12、议：AH , ESP两种操作模式：传输模式，隧道模式两种操作模式：传输模式，隧道模式一个密钥交换管理协议：一个密钥交换管理协议：IKE两个数据库：安全策略数据库两个数据库：安全策略数据库SPD，安全关联数据，安全关联数据库库SADIPSec协议提供的安全服务包括：访问控制、无连接完整性、数据源鉴别、重传攻击保护、机密性、有限的流量保密等。25IPSec体系结构体系结构26IPSec协议主要内容包括：协议框架RFC2401；安全协议：AH协议RFC2402、ESP协议RFC2406； 密钥管理协议：IKE RFC2409 、ISAKMPRFC2408、OAKLEY协议RFC2412。 密码算法：

13、HMACRFC2104/2404、CASTRFC2144、ESP加密算法RFC2405/2451等。其他：解释域DOIRFC2407、IPCompRFC2393、RoadmapRFC2411。27IPSec的实现的实现283 IPsec数据封装3.1 AH3.2 ESP3.3 SA及SP293.1 AH为为IP包提供数据完整性和鉴别功能包提供数据完整性和鉴别功能利用利用MAC码实现鉴别，双方必须共享一个密钥码实现鉴别，双方必须共享一个密钥鉴别算法由鉴别算法由SA指定指定 鉴别的范围：整个包鉴别的范围：整个包两种鉴别模式：两种鉴别模式： 传输模式：不改变传输模式：不改变IP地址，插入一个地址，插

14、入一个AH 隧道模式：生成一个新的隧道模式：生成一个新的IP头，把头，把AH和原来的整和原来的整个个IP包放到新包放到新IP包的载荷数据中包的载荷数据中30AH功能功能提供的服务包括提供的服务包括数据源认证数据源认证无连接的完整性无连接的完整性可选的抗重放服务可选的抗重放服务不提供保密性不提供保密性31AH报文格式32AH头说明头说明 Next Header 8比特，指出比特，指出AH后的下一载荷的类型后的下一载荷的类型(RFC1700)33AH头说明头说明SPI32bit用 于 和 源用 于 和 源 / 目 的目 的 I P 地 址 、地 址 、 I P S e c 协 议协 议(ESP/A

15、H)共同唯一标识一个共同唯一标识一个SA34AH头说明头说明Sequence NumberSA建立时，发送方和接收方建立时，发送方和接收方SN初始化为初始化为0通信双方每使用一个特定的通信双方每使用一个特定的SA发送一个数据报则将发送一个数据报则将它们增它们增1，用于抵抗重放攻击，用于抵抗重放攻击AH规范强制发送者必须发送规范强制发送者必须发送SN给接收者，而接收给接收者，而接收者可以选择不使用抗重放特性，这时它不理会该者可以选择不使用抗重放特性，这时它不理会该SN若接收者启用抗重放特性，则使用滑动接收窗口机若接收者启用抗重放特性，则使用滑动接收窗口机制检测重放包。具体的滑动窗口因制检测重放包

16、。具体的滑动窗口因IPSec的实现而的实现而异异35AH头说明头说明Authentication Data该变长域包含数据报的认证数据，称为完整性校验值该变长域包含数据报的认证数据，称为完整性校验值(ICV)生成生成ICV的算法由的算法由SA指定，具体视指定，具体视IPSec的具体实现而的具体实现而定定为保证互操作性，为保证互操作性，AH强制所有的强制所有的IPSec必须实现两个必须实现两个MAC: HMAC-MD5, HMAC-SHA-136AH使用模式使用模式37AH传输模式的特点传输模式的特点保护端到端通信保护端到端通信通信的终点必须是通信的终点必须是IPSec终点终点38AH传输模式失

17、效案例传输模式失效案例1NAT网关网关39AH传输模式失效案例传输模式失效案例2代理网关代理网关代理网关代理网关40AH隧道模式的特点隧道模式的特点保护点到点通信保护点到点通信通信的终点必须是通信的终点必须是IPSec终点终点克服了传输模式的一些缺点克服了传输模式的一些缺点4142AH输出输入处理流程输出输入处理流程433.2 ESP提供保密功能，包括报文内容的机密性和有限提供保密功能，包括报文内容的机密性和有限的通信量的机密性，也可以提供鉴别服务（可的通信量的机密性，也可以提供鉴别服务（可选）选）将需要保密的用户数据进行加密后再封装到一将需要保密的用户数据进行加密后再封装到一个新的个新的IP

18、包中，包中，ESP只鉴别只鉴别ESP头之后的信息头之后的信息加密算法和鉴别算法由加密算法和鉴别算法由SA指定指定两种模式：传输模式和隧道模式两种模式：传输模式和隧道模式44ESP服务服务提供的服务包括提供的服务包括数据保密性数据保密性有限的数据流保密性有限的数据流保密性数据源认证（认证是可选的）数据源认证（认证是可选的）无连接的完整性无连接的完整性抗重放服务抗重放服务45初始化向量初始化向量(IV）46加密和鉴别算法加密和鉴别算法加密算法加密算法 3DES、RC5、IDEA、3IDEA、CAST、Blowfish鉴别算法鉴别算法 ICV计算应支持计算应支持: HMAC-MD5-96、HMAC-

19、SHA-1-96, 仅用仅用96位位4748495051ESP输出输入处理流程输出输入处理流程523.3 SA和SP53安全关联安全关联SA用于通信对等方之间对某些要素的一种协定，如：用于通信对等方之间对某些要素的一种协定，如：IPSec协议协议协议的操作模式：传输、隧道协议的操作模式：传输、隧道密码算法密码算法密钥密钥用于保护数据流的密钥的生存期用于保护数据流的密钥的生存期54安全关联安全关联SA通过像通过像IKE这样的密钥管理协议在通信对等方之这样的密钥管理协议在通信对等方之间协商而生成间协商而生成当一个当一个SA协商完成后，两个对等方都在其安全协商完成后，两个对等方都在其安全关联数据库关

20、联数据库(SAD)中存储该中存储该SA参数参数SA具有一定的生存期，当过期时，要么中止该具有一定的生存期，当过期时，要么中止该SA，要么用新的，要么用新的SA替换替换终止的终止的SA将从将从SAD中删除中删除55安全关联安全关联SASAnSA3SA2SA156安全关联安全关联SA安全参数索引安全参数索引32位整数，唯一标识位整数，唯一标识SA1255被被IANA保留将来使用保留将来使用0被保留用于本地实现被保留用于本地实现SAnSA3SA2SA157安全关联安全关联SA输出处理输出处理SA的目的的目的IP地址地址输入处理输入处理SA的源的源IP地址地址SAnSA3SA2SA158安全关联安全关

21、联SAAHESPSAnSA3SA2SA159安全关联安全关联SA32位整数，刚开始通常为位整数，刚开始通常为0每次用每次用SA来保护一个包时增来保护一个包时增1用于生成用于生成AH或或ESP头中的序列号域头中的序列号域在溢出之前，在溢出之前，SA会重新进行协商会重新进行协商SAnSA3SA2SA160安全关联安全关联SA用于外出包处理用于外出包处理标识序列号计数器的溢出时，一个标识序列号计数器的溢出时，一个SA是否仍是否仍 可以用来处理其余的包可以用来处理其余的包SAnSA3SA2SA161安全关联安全关联SA使用一个使用一个32位计数器和位图确定一个输入位计数器和位图确定一个输入的的AH或或

22、ESP数据包是否是一个重放包数据包是否是一个重放包SAnSA3SA2SA162安全关联安全关联SAAH认证密码算法和所需要的密钥认证密码算法和所需要的密钥SAnSA3SA2SA163安全关联安全关联SAESP认证密码算法和所需要的密钥认证密码算法和所需要的密钥SAnSA3SA2SA164安全关联安全关联SAESP加密算法，密钥，初始化向量加密算法，密钥，初始化向量(IV)和和IV模式模式IV模式：模式：ECB，CBC，CFB，OFBSAnSA3SA2SA165安全关联安全关联SA传输模式传输模式隧道模式隧道模式SAnSA3SA2SA166安全关联安全关联SA路径最大传输单元路径最大传输单元是可

23、测量和可变化的是可测量和可变化的它是它是IP数据报经过一个特定的从源主机到数据报经过一个特定的从源主机到 目的主机的网络路由而无需分段的目的主机的网络路由而无需分段的IP数据数据 包的最大长度包的最大长度SAnSA3SA2SA167安全关联安全关联SA包含一个时间间隔包含一个时间间隔外加一个当该外加一个当该SA过期时是被替代还是终止过期时是被替代还是终止SAnSA3SA2SA168安全策略安全策略SPSP：指定用于到达或源自特定主机：指定用于到达或源自特定主机/网网络的数据流的策略络的数据流的策略SPD：包含策略条目的有序列表：包含策略条目的有序列表通过使用一个或多个选择符来确定每个通过使用一

24、个或多个选择符来确定每个条目条目69安全策略安全策略SP选择符选择符32位位IPv4或或128位位IPv6地址地址可以是：主机地址、广播地址、可以是：主机地址、广播地址、单播地址、任意播地址、多播组单播地址、任意播地址、多播组地址地址范围，地址加子网掩码地址地址范围，地址加子网掩码通配符号等通配符号等SRnSR3SR2SR170安全策略安全策略SP选择符选择符32位位IPv4或或128位位IPv6地址地址可以是：主机地址、广播地址、可以是：主机地址、广播地址、单播地址、任意播地址、多播组单播地址、任意播地址、多播组地址地址范围，地址加子网掩码地址地址范围，地址加子网掩码通配符号等通配符号等SR

25、nSR3SR2SR171安全策略安全策略SP选择符选择符指定传输协议（只要传输协议指定传输协议（只要传输协议 能访问）能访问）SRnSR3SR2SR172安全策略安全策略SP选择符选择符完整的完整的DNS名名或或e-mail地址地址SRnSR3SR2SR173安全策略安全策略SP选择符选择符完整的完整的DNS用户名用户名SRnSR3SR2SR174安全策略安全策略SP选择符选择符应用端口应用端口SRnSR3SR2SR175安全策略安全策略SP采取的动作采取的动作DiscardBypass IPSecApply IPSecSRnSR3SR2SR176安全策略安全策略SP包括：包括：指向一个指向一

26、个SA或或SA集的指针集的指针应用的应用的IPSec协议协议运用的密码算法运用的密码算法生成生成ICV的算法的算法SRnSR3SR2SR177SPDSAD输入数据报处理输入数据报处理78SPDSAD输出数据报处理输出数据报处理794 IKE80I S A K M PI n t e r n e tI n t e r n e t 安 全 关 联 密 钥安 全 关 联 密 钥管理协议管理协议ISAKMP定义协商、建立、修改和删除定义协商、建立、修改和删除SA的过程和包格式的过程和包格式 (RFC2408) ISAKMP被设计为与密钥交换协议无关的协议，即不受任何具被设计为与密钥交换协议无关的协议，即

27、不受任何具体的密钥交换协议、密码算法、密钥生成技术或认证机制体的密钥交换协议、密码算法、密钥生成技术或认证机制 通信双方通过通信双方通过ISAKMP向对方提供自己支持的功能从而协商共向对方提供自己支持的功能从而协商共同的安全属性同的安全属性 ISAKMP消息可通过消息可通过TCP和和UDP传输：传输：Port 50081ISAKMP头格式头格式82ISAKMP头格式头格式- Initiator cookie 8bit串，由串，由ISAKMP交换的发起者生成交换的发起者生成会话过程中保持不变，用于验证会话过程中保持不变，用于验证生成的方法可不同，建议采用生成的方法可不同，建议采用MD5、SHA-

28、1或其它支持的杂凑函数利用通信方源地址、或其它支持的杂凑函数利用通信方源地址、目的地址、目的地址、UDP/TCP源端口、目的端口、源端口、目的端口、生成时间等生成生成时间等生成 必须保证唯一必须保证唯一83ISAKMP头格式头格式- Next payload84ISAKMP头格式头格式- Exchange type85ISAKMP头格式头格式- Flag 使用使用8bit中的低中的低3位位 1加密比特加密比特 2提交比特提交比特 3仅认证比特仅认证比特86ISAKMP载荷格式载荷格式87SA数据属性数据属性88ESP加密算法加密算法89ISAKMP载荷类型载荷类型通用载荷通用载荷安全关联载荷安

29、全关联载荷建议载荷建议载荷变换载荷变换载荷密钥交换载荷密钥交换载荷标识载荷标识载荷证书载荷证书载荷证书请求载荷证书请求载荷杂凑载荷杂凑载荷签名载荷签名载荷nonce载荷载荷通知载荷通知载荷删除载荷删除载荷厂商厂商ID载荷载荷90 交换阶段交换阶段交换模式交换模式生成密钥信息生成密钥信息模式配置模式配置混合认证混合认证91IKEIKE是一个混合协议，使用到三个不同协议的相关部是一个混合协议，使用到三个不同协议的相关部分：分： ISAKMP Oakley密钥确定协议密钥确定协议 SKEMEIKE实际定义了一个密钥交换，而实际定义了一个密钥交换，而ISAKMP仅仅提供仅仅提供了一个可由任意密钥交换协

30、议使用的通用密钥交换框了一个可由任意密钥交换协议使用的通用密钥交换框架架92阶段阶段1协商协商ISAKMP通信双方建立一个通信双方建立一个ISAKMP SA，即用于保护双方后面的协商通信的一个协定即用于保护双方后面的协商通信的一个协定然后用这个然后用这个ISAKMP SA为保护其它协议为保护其它协议(如如AH和和ESP)建立建立SA的协商的协商93阶段阶段2协商协商用于为其它安全服务，如用于为其它安全服务，如AH和和ESP建立建立SA一个阶段一个阶段1的的SA可用于建立多个阶段可用于建立多个阶段2的的SA94主模式主模式野蛮模式野蛮模式快速模式快速模式95主模式主模式用于协商阶段用于协商阶段1

31、的的SA这种交换模式被设计成将密钥交换信息与身这种交换模式被设计成将密钥交换信息与身份、认证信息相隔离，便于保护什么信息份、认证信息相隔离，便于保护什么信息9697主模式主模式1发起者发送一个封装有建议载荷的发起者发送一个封装有建议载荷的SA载荷，而建议载荷，而建议载荷重又封装有变换载荷载荷重又封装有变换载荷2响应者发送一个响应者发送一个SA载荷，表明接受协商的载荷，表明接受协商的SA的建的建议议3、4发起者和接受者交换发起者和接受者交换D-H公开值和各种辅助数公开值和各种辅助数据，如据，如nonce。Nonce是计算共享密钥（用来生成是计算共享密钥（用来生成加密密钥和认证密钥）所必须的加密密

32、钥和认证密钥）所必须的5、6双方交换标识数据并认证双方交换标识数据并认证D-H交换。这两个消交换。这两个消息中传递的信息是加密的，用于加密的密钥由消息息中传递的信息是加密的，用于加密的密钥由消息34中交换的密钥信息生成，所以身份信息受到保护中交换的密钥信息生成，所以身份信息受到保护98野蛮模式野蛮模式在不需要保护身份信息时，用于协商阶段在不需要保护身份信息时，用于协商阶段1的的SA这种交换模式允许同时传送与这种交换模式允许同时传送与SA、密钥交换、密钥交换和认证相关的载荷。将这些载荷组合到一条和认证相关的载荷。将这些载荷组合到一条消息中减少了消息的往返次数消息中减少了消息的往返次数99100野

33、蛮模式野蛮模式1发起者发送一个封装有单个建议载荷的发起者发送一个封装有单个建议载荷的SA载荷，而载荷，而建议载荷重又封装有变换载荷。在野蛮模式中，只建议载荷重又封装有变换载荷。在野蛮模式中，只提供带有一个变换的建议载荷，响应者可以选择接提供带有一个变换的建议载荷，响应者可以选择接受或拒绝该建议。受或拒绝该建议。D-H公开值、需要的随机数和身公开值、需要的随机数和身份信息也在其中发送份信息也在其中发送2响应者发送一个响应者发送一个SA载荷，其中封装有一个包含发起载荷，其中封装有一个包含发起者的建议和推荐的变换的建议载荷。者的建议和推荐的变换的建议载荷。 D-H公开值、公开值、需要的随机数和身份信

34、息也在其中发送需要的随机数和身份信息也在其中发送3发送者发送应用一致同意的认证函数生成的结果发送者发送应用一致同意的认证函数生成的结果101快速模式快速模式用于协商阶段用于协商阶段2的的SA，协商受到阶段，协商受到阶段1协商协商好的好的ISAKMP SA的保护的保护这种交换模式下交换的载荷都是加密的这种交换模式下交换的载荷都是加密的1021035 小结IPSec分析分析 协议复杂性，导致很难达到真正的安全性协议复杂性，导致很难达到真正的安全性 管理和配置复杂，使得安全性下降管理和配置复杂，使得安全性下降 实现上的兼容性实现上的兼容性 攻击：攻击：DOS，网络层之下的协议、之上的协，网络层之下的协议、之上的协议的弱点议的弱点 还在进一步完善还在进一步完善104