[工学]计算机网络安全_第七章VPN.ppt

VPN VPN 建立在公用网上的，由某一组织或某一群用户专用的通信网络 实现VPN的关键技术有： 隧道技术：是一种通过使用互联网基础设备在网络之间传递数据的方式，隧道协议将其它协议的数据包重新封装在新的包头中发送。 加解密技术：利用已有的加解密技术实现必威体育官网网址通信 密钥管理技术：建立隧道和必威体育官网网址通信都需要密钥管理技术的支撑，密钥管理负责密钥的生成、分发、控制和跟踪、以及验证密钥的真实性等 身份认证技术：经常使用用户名、密码、智能卡等实现用户身份认证 VPN的分类 根据VPN要解决的业务问题进行分类 : Intranet VPN 是用于把企业的总部与分支机构间通过公网连接起来 Access VPN又称为拨号VPN（VPDN），是把企业员工或企业的小分支机构通过公网远程拨号的方式连接起来 Extranet VPN当企业间发生收购、兼并或企业间建立战略联盟后，使不同企业网通过公网来建立的VPN 第二层隧道协议 VPN通过第二层隧道协议实现，这些隧道协议(PPTP和L2TP)都是把数据封装在点对点协议(PPP)的帧中在互联网上传输的 常用的第二层隧道协议： PPTP L2TP PPTP 是由microsoft等公司组成的PPTP论坛定义的第二层隧道协议 PPTP定义了两种逻辑设备 PPTP接入集中器(PAC)：可以连接一条或多条PSTN或ISDN拨号线路，能够进行PPP操作，并且能够处理PPTP协议，PAC可以与一个或多个PNS实现TCP/IP通信，或者通过隧道传送其他协议的数据 PPTP网络服务器(PNS)：建立在通用服务器平台上的PPTP服务器，运行TCP/IP协议， 可以使用任何LAN和WAN接口硬件实现 PPTP PAC是负责接入的客户端设备 PNS是ISP提供的接入服务器 PPTP协议只是在PAC和PNS之间实现 在一对PAC和PNS之间必须建立两条并行的PPTP连接 一条是运行在TCP协议上的控制连接 一条是传输PPP协议数据单元的IP隧道 L2TP 第二层隧道协议（L2TP）用于把各种拨号服务集成到ISP的服务提供点 PPP定义了一种封装机制，可以在点对点链路上传输多种协议的分组 用户通常利用各种拨号方式（如ISDN或ADSL）接入NAS，然后通过第二层连接运行PPP协议。 第二层连接端点和PPP会话端点均在同一个NAS设备中。 PPTP与L2TP的比较 PPTP与L2TP都使用PPP协议对数据进行封装，然后添加附加包头用于数据在互联网络上的传输，但仍然有以下区别： PPTP要求互联网络为IP网络，L2TP只要求隧道媒介提供面向数据包的点对点连接 PPTP只能在两端点间建立单一隧道，L2TP支持在两端点间使用多个隧道 L2TP可以提供包头压缩 L2TP可以提供隧道验证 IPSEC VPN IPSEC VPN IPSEC 是指IETF以RFC形式公布的一组安全协议集，是在IP包级为IP业务提供保护的安全协议标准。 IPSEC 将几种安全技术结合形成一个比较完整的安全体系结构。 IPSEC提供了下面的安全服务： 数据完整性 认证 预共享认证 RSA签名认证 必威体育官网网址性 应用透明的安全性 IPSEC的功能 IPSEC的功能划分为下面3类： 认证头（AH），用于数据完整性认证和数据源认证 封装安全负荷（ESP）：提供数据必威体育官网网址性和数据完整性认证 Internet密钥交换协议（IKE）：用于生成和分发在ESP和AH中使用的密钥 认证头（AH） 认证头提供数据完整性和数据源认证，但不提供必威体育官网网址服务 AH包含了对称密钥的散列函数 IPSEC支持下面的认证算法： HMAC－SHA1 HMAC－MD5 IPSEC有两种模式： 传输模式 隧道模式 传输模式的认证头 隧道模式的认证头 封装安全负荷（ESP） ESP提供了数据加密功能，ESP利用对称密钥对IP数据进行加密 支持的加密算法有： DES-CBC（Data Encryption Standard Cipher Block Chaining Mode)，56位密钥 3DES-CBC（3重DES　CBC），56位密钥 AES128-CBC(Adanced Encryption Standard CBC)，128位密钥 传输模式的ESP 隧道模式的ESP 带认证的封装安全负荷（ESP） ESP加密算法本身没有提供认证功能，不能保证数据的完整性 带认证的ESP可以提供数据完整性服务 有两种方法可提供认证功能： 带认证的ESP：IPsec使用第一个对称密钥对负荷进行加密，然后使用第二个对称密钥对经过加密的数据计算认证值，并将其附在分组的后面 在AH中嵌套ESP：ESP分组可以嵌套在AH分组中 IKE（Internet密钥交换协议） IPsec在传送认证或加密的数据之前，必须就协议、加密算法和使用的