网络安全理论与应用第十一章.pptVIP

第十一章 虚拟专用网及其安全性 目录 广义VPN介绍 安全VPN概念 安全VPN关键技术 安全VPN实施 VPN定义 VPN 解释 解释：Virtual Private Network，即为“虚拟专用网”。 V 即Virtual，表示VPN有别于传统的专用网络，它并不一种物理的网络，而是企业利用电信运营商所提供的公有网络资源和设备，而建立的自己的逻辑专用网络，这种网络的好处在于可以降低企业建立使用“专用网络”的费用。 P 即Private，表示特定企业或用户群体可以像使用传统专用网一样来使用这个网络资源，即这种网络具有很强的私有性，具体可以表现在下面两个方面： 网络资源的专用性，即VPN网络资源（如信道和带宽）在企业需要时可以被为企业所专门使用，当企业不需要时又可以被其它VPN用户所使用，企业用户可以获得像传统专用网一样的服务质量； 网络的安全性，指VPN用户的信息不会流出VPN的范围之外，用户信息受到VPN网络的保护，可以实现用户信息在公共网络传输中隐蔽性； N 即Network，表示这是一种专门组网技术和服务，企业为了建立和使用VPN必须购买和配备相应的网络设备。 VPN 分类 按隧道位置分类 按隧道位置分类 按隧道应用分类 Intranet VPN Intranet VPN即企业内部网或内联网。Intranet内所有的用户站点通过隧道适当互连，这些站点同属于一个单一的管理部门。目前Intranet VPN是VPN应用最主要的形式。 Extranet VPN Extranet VPN即外联网。在这个网络内，属于某一个管理者的用户站点，由于业务的需求要与多个属于其他管理者的用户站点进行有限制的连接。有限制的连接主要指可以进行互访问的有关协作数据是限制的，并不是所有数据都可以放开互访。 拨号VPN(VPDN) VPN用户通过PSTN或ISDN拨号线路接入VPN网络，它具有接入范围广，建设VPN投资少，建设周期短，运行费用低等优点。 安全VPN定义 安全VPN目标 安全VPN关键技术 密码技术 安全隧道技术 隧道是在公用IP网中建立逻辑点到点连接的一种方法，是一个叠加在IP网上的传送通道。 一个隧道的基本要素： 隧道开通器（TI） 隧道终止器（TT） 一个隧道协议通常包括以下几个方面： 乘客协议——被封装的协议，如PPP； 封装协议——隧道的建立、维持和断开，如L2TP、IPSec等； 承载协议——承载经过封装后的数据包的协议，如IP和ATM等 安全隧道协议 VPN 隧道协议主要有四种： L2F （第二层转发） PPTP（点到点隧道协议 ） L2TP （第 2 层隧道协议 ） IPSec （IP 安全协议 ） P P T P体系结构使用三个过程： 1) PPP连接和通信。 2) PPTP控制连接，它建立到I n t e r n e t的P P T P服务器上的连接，并建立一个虚拟隧道。 3) PPTP数据隧道，在隧道中P P T P协议建立包含加密的P P P包的I P数据报，这些数据报通过P P T P隧道进行发送。 第二和三个过程都取决于它们前一个过程的成功。如果有一个失败了，则整个过程必须重来。 M i c r o s o f t的白皮书做了以下几点： 初始的拨号验证可以通过ISP进行请求，如果这样的话，它与基于WindowsNT的验证无关。 在适当的地方有一个安全口令模型是成功使用P P T P的关键。 对于数据加密， P P T P使用R A S共享秘密的加密过程，该过程从存储在客户机和服务器中的散列口令中得到一个加密密钥。RSA RC4标准建立基于客户机口令的4 0个二进制位的会话。 P PT P受到M i c r o s o f t的关爱，它拥有世界上绝大多数的桌面电脑，而L 2 F受到C i s c o的关注，它主要用于 I n t e r n e t。尽管P P T P和L 2 F都使用封装和加密，但它们互相不兼容。自然，有人会想到吸取二者的优点建立第三个协议。 层2隧道协议 IETF建议将P P T P和L 2 F的最优秀的部分组成一个工业标准，并称为层2隧道协议( L 2 T P )。 自1 9 9 9年5月以来，L 2 T P一直在开发中，但某些部分正在由C i s c o和M i c r o s o f t进行实现。 安全VPN实施建设 VPN的建立有三种方式： 一种是企业自身建设，对ISP透明； 第二种是ISP建设，对企业透明； 第三种是ISP和企业共同建设。 安全VPN建设：建议由企业自身建设，采用隧道技术和密码技术相结合的VPN网络设备，同时应该建立完善的管理系统。