一、设备验证
预共享对称密钥
带外方式共享，存储在设备本地
如：源-A 目的-B
L2L VPN管理连接建立策略10：
authen pre
group 2
enc des
hash sha
crypto isakmp key cisco123 address 172.26.26.2
验证方法有两个：加密途径和HMAC途径
1、加密途径验证
A取出自己的身份信息如，IP地址，主机名，序列号或者这些信息的组合，+密钥“cisco123”,运行加密算法——产生加密的身份信息
将加密信息和明文身份信息一起发送给B
B用cisco123去解密加密的身份信息，比较明文的身份信息，来做验证。
（这里的加密和解密应该不是DES，因为B是使用简单的cisco123去解密的，而不是DES的56位密钥，DES进行的是数据加密，不用于身份验证的，DES的加密密钥是56位怎么产生的？）
2、HMAC途径
HASH密钥用的是cisco123
通过加密途径来做设备验证的情况比较少，因为黑客知道了明文身份信息，同时取得了密文，可以通过密文去推导密钥是cisco123
而HMAC是不可逆的，多用这种方式做设备验证。
预共享非对称密钥
peer产生密钥对，然后共享公钥，带外输入到设备上
验证的时候一般以数字签名的方式进行，同样发送密文和明文的身份信息给对端。使用的是私钥签名-公钥解密的方式
常用的就是RSA-EN，伪随机数——使用公钥加密标准
这里有些不同，双方产生随机数，
A使用对方的公钥加密随机数——发送给B，
B用自己的私钥解密得到A的随机数（此时随机数两方都是一样的了）——再用这个随机数运行HMAC功能加密身份信息，将密文和明文身份信息发送给A
A完成验证
原理：随机数代替了预共享对称密钥方式中的简单密钥，先通过公钥加密标准来交换随机数，用随机数作为HMAC的密钥
数字证书
数字证书是基于非对称密钥的使用的，数字证书重要的三件事情是：设备身份信息，它的公钥，它的私钥
证书用来存储对等体的必要的信息，如果要验证对等体——只需要对方的数字证书
数字证书不预先共享给对方，而是只需要通信的时候，才共享
CA是数字世界中的公证人——用根证书证明自己的合法性
所有的安全通信设备都在同一个信任源CA那里得到证书
信任从来不会在两个对等体之间产生——从而杜绝了中间人攻击
PKI结构：公钥基础结构
小型CA：中央化的CA，只有一个CA存在，常位于一个物理区域。
大型CA：层次化的CA，最高级的CA——层次CA——RA的结构，每个对等体可以顺着证书链到达根证书——根证书是任何PEER都信任的；如果CA失效，可以通过RA来验证PEER身份。RA可以维持现在的证书体系，等CA恢复才可以建立新的证书和吊销证书。
CA维护：备份现在的CA（如GHOST镜像），当CA失效，将IP地址指向备份设备，证书持续运转。
证书请求：
PKCS#10方式：
客户产生密钥对
CN、公钥、密钥长度三项是必须选择的，其他可选
私钥加密以上内容——产生PKCS#10信息 ASN.1格式——交给CA
CA用PKCS#10中的公钥解密签名，另外可设置随机数口令要求客户验证，两者通过——产生证书
客户如何得到随机口令呢？
在PC机上：http://10.1.1.9/certsrv/mcsep/mscep.dll——返回CA-WINDOWS_2003SERVER的用户名和密码窗口，输入正确后即得到 OTP口令，默认为60分钟。
CA产生两种类型证书：CA根证书、实体证书
两个证书都包括以下内容：
1、CA的信息：CA名、证书序列号、证书有效期、CA公钥（不放在实体证书上，只保存在根证书上）、HMAC算法、CRL位置。
2、PKCS#10中的信息：设备名字和其他可选信息
实体证书的内容要多一些，CA还执行以下过程：
（1）、产生随机对称密钥a+CA的信息+PKCS#10中的信息——执行HASH——得到HMAC散列值b(这是一个MD5的128位或SHA-1产生的160位指纹)
（2）、用CA的私钥+a——运行RSA算法——得到加密的HMAC对称密钥c
（3）、CA将HMAC散列值b、加密的HMAC对称密钥c和产生b、c的HMAC算法名字放到实体证书中。
本质上CA对a运行分离的两次算法
——HASH签名得到b
——RSA签名得到c
CA为什么要这么做呢？搞得很麻烦
意义在这里：
对等体A收到了CA根证书和实体证书，先安装根证书（这里有个问题，为了防止CA被恶意攻击，用带外方式询问CA管理员得到CA的信息是否和根证书上面的信息相符合），根证书验证实体证书后才安装实体证书，根证书同时用来验证对等体B的证书，以下是验证过程：
1、A用CA的公钥+加密的HMAC对称密钥c——RSA解密签名——得到随机对称密钥a
2、证书信息+随机对称密钥a——HASH算法——得到新值，用这个新值——比较HMAC散列值b,验证CA是否合法——如果CA合法，那么实体证书同样合法
3、和对等体B的通信，B提供数字证书，通过根证书完成验证过程。
检查以下三个内容：
B的证书是由同一个CA签发的吗——用CA根证书上的公钥去检验B的签名（从这里可以看出，CA对任何对等体实质上都是使用一个公钥的）
是否在有效期之内？
是否在CRL中？
三者符合，则B为有效
证书序列号和随机产生的对称密钥不同，每一个实体证书都会有一个不同的HMAC签名值b
数字证书完成对等体的验证是带内验证，其他两种是带外的，所以更利于扩展，常用在大型网络环境中。
数字证书的方式存在以下三个问题：
1、随机口令的获得需要CA-WINDOWS的用户和口令，这样CA系统是否安全？在客户要求吊销证书的时候，一般需要提供这个随机口令，CA如何去管理大量的随机口令，存储在什么地方？
2、当获取CA根证书的时候，需要带外和CA管理员通信来证实CA的真实性，工作量增加，好象是不能带内绝对保证安全的，因为第一次和CA沟通的时候，等同于和普通的对等体沟通，是需要防止中间人攻击行为发生的。
3、根证书的数字内容的验证是自动完成的，不需要人工去参与的吗？——如何在设备上查看CA的公钥？
二、用户验证 XAUTH方式
目的很简单，用于远程访问环境中，设备丢失的情况，需要使用用户名和密码来提供扩展的安全性
经常有的一种情况是——VPN网关不允许客户保存用户信息在设备上，即使设备被盗，虽然可以验证设备成功，但是依然不可以访问。
