428-VPN的技术与应用.pptVIP

InfoSec, CIS NCTU VPN的技術與應用 曾文貴 資訊科學系 交通大學 VPN (Virtual Private Network) 在公眾數據網路（X.25、Frame Relay、ATM、Internet）上建構如同專線連線的私有網路，稱為『虛擬私有網路』 將遠端的LAN或是個人用戶利用公眾網路連接到私有的網路上 透過加密技術的保護，利用網際網路的分散式架構，就像是在共用網路上建立一個個獨立的通道（tunnel），只有通過認證的使用者才能獲得資料 VPN structure VPN structure (cont.) VPN的三種類別 Access VPN： 透過Internet為個人提供中央網路服務遠端存取能力，可採用ISDN線路、DSL、Cable Modem做暫時性的網路連接。一般而言，遠端使用者撥入一個Local POP，然後建立一個安全的連接，經由Internet到達中央閘道。 Intranet VPN： 透過Internet將遠端和分支辦公室鏈結到中央Intranet服務。連接可以是暫時的撥接或是永久的專線。 Extranet VPN： 透過Internet將客戶、供應商、夥伴及其他使用者鏈結到中央Intranet的特定部份 傳統與虛擬私有企業網路比較 軟體及硬體VPN裝置比較 Dial-up connection PPP protocol PPP主要是用來建立client (撥接用戶)端和ISP server (NAS - Network Access Server)端的communication Secure connection protocols PPTP L2TP VTP PPP Dial-up connection: secure protocols PPTP (Point to point tunnel protocol) 由 3Com 和微軟所發展，屬於OSI架構中第二層(layer 2)，用以封包任何第三層的協定 L2TP (Layer 2 tunneling protocol) 將 PPTP 和 Cisco 所發展的 Layer 2 Forwarding (L2F)合併的一種 protocol，提供 multi-point tunneling 的功能 Dial-up connection: secure protocols VTP (Visual Tunneling Protocol) 由 3Com 發展出來的通訊協定，屬於OSI架構中第三層，所以也被稱為 L3TP (Layer 3 tunneling protocol) Layer 2 vs layer 3 secure protocols 使用 Layer 2 protocol 的單位可以自行決定要自己管理使用者認證和 權限許可或是交給Network Service Provider (NSP)來管理 Layer 2 protocol 具備 tunnel switch 的能力，可以讓使用者在多個 tunnel 之間做切換 Layer 2 protocol 的 PPP 封包包含使用者的資訊，所以收到封包的單位可以對不同來源的使用者採用不同的安全機制，layer 3 protocol 則無法做到 PPTP Server: Microsoft NT 4.0 RAS 主要是用來達成撥接用戶 (remote client) 端和 Private Enterprise Server端的安全通訊 在一個TCP/IP-based的網路上建立VPN，使雙方通訊時能用Tunneling 方式安全的傳送資料 建立在PPP架構之上，在傳送時，client需先與NAS（或PPTP Server）建立PPP協定，再經過PPTP Server包裝後送至對方PPTP Server，最後再送到目的地。 PPTP (cont.) Router-based (適用於各種不同的 clients) : hardware PPTP (cont.) Client-based: software PPTP (cont.) Router-based protocol MPPE 對標準的 Microsoft dial-up networking加入完整的資料加密技術 在 PPP 封包進入 tunnel 前先加密，中間的tunnel switch 無法解密 Windows 95 和 NT 內建的是 40-bit 的版本 (128-bit 也已經發表) 使用 challenge handshake protocol(MS-CHAP)加強使用者的認證 IP-based secure protocols IPSec 由 Internet Eng