VPN技术专题讲座-精选.pptVIP

* 天融信 Talent-IT VPN专题 VPN 概 述 ——VPN是什么？ VPN 的 功 能 VPN 的 工 作 原 理 ——VPN是如何工作的？ ——VPN能做什么？ VPN 的 具体应 用 ——在什么场合又怎样来使用VPN？ 第一章 VPN概述 VPN简介及其优点 VPN的安全性 市场上已有的VPN解决方案 VPN概述 VPN功能 VPN工作原理 VPN具体应用 §1.1 VPN简介及其优点 VPN是企业网在因特网等公共网络上的延伸 VPN通过一个私有的通道来创建一个安全的私有连接，将远程用户、公司分支机构、公司的业务伙伴等跟企业网连接起来，形成一个扩展的公司企业网 提供高性能、低价位的因特网接入 VPN概述 VPN功能 VPN工作原理 VPN具体应用 远程访问 Internet 内部网 合作伙伴 分支机构 虚拟私有网 虚拟私有网 虚拟私有网 VPN是企业网在因特网上的延伸 VPN的典型应用 Clue 远程访问 Internet 内部网 分支机构 安全网关 安全网关 ISP接入设备 端到端数据通路的典型构成 拨入段 外部段 （公共因特网） 内部段 公司的内部网络 §1.2 VPN的安全性 §1.2.1 端到端数据通路中存在的安全风险 拨入段数据泄漏风险 因特网上数据泄漏的风险 安全网关中数据泄漏的风险 内部网中数据泄漏的风险 VPN概述 VPN功能 VPN工作原理 VPN具体应用 §1.2.2 拨入段数据泄漏风险 远程访问 ISP接入设备 拨入段 Internet 拨入段用户数据以明文方式直接传递到ISP： 攻击者可以很容易的在拨入链路上实施监听 ISP很容易检查用户的数据 可以通过链路加密来防止被动的监听，但无法防范恶意窃取数据的ISP。 PSTN 搭线监听 攻击者 ISP ISP窃听 密文传输 到了ISP处已解密成明文 明文传输 §1.2.3 因特网上数据泄漏的风险 Internet 内部网 恶意修改通道终点到：假冒网关 外部段 （公共因特网） ISP接入设备 原始终点为：安全网关 数据在到达终点之前要经过许多路由器，明文传输的报文很容易在路由器上被查看和修改 监听者可以在其中任一段链路上监听数据 逐段加密不能防范在路由器上查看报文，因为路由器需要解密报文选择路由信息，然后再重新加密发送 恶意的ISP可以修改通道的终点到一台假冒的网关 远程访问 搭线监听 攻击者 ISP ISP窃听 正确通道 §1.2.4 安全网关中数据泄漏的风险 Internet 内部网 ISP接入设备 远程访问 安全网关 数据在安全网关中是明文的，因而网关管理员可以直接查看机密数据 网关本身可能会受到攻击，一旦被攻破，流经安全网关的数据将面临风险 Internet §1.2.5 内部网中数据泄漏的风险 远程访问 内部网 安全网关 ISP接入设备 内部段 公司的内部网络 内部网中可能存在不信任的主机、路由器等 内部员工可以监听、篡改、重定向企业内部网的数据报文 来自企业网内部员工的其他攻击方式 在端到端的数据通路上随处都有可能发生数据的泄漏，包括： 拨入段链路上 ISP接入设备上 在因特网上 在安全网关上 在企业内部网上。 能否提供一个综合一致的解决方案，它不仅能提供端到端的数据保护，同时也能提供逐段的数据保护呢？ §1.2.6 结论 第二章 VPN功能 数据机密性保护 数据完整性保护 数据源身份认证 重放攻击保护 VPN概述 VPN功能 VPN工作原理 VPN具体应用 §2.1 数据机密性保护 拨号服务器 PSTN Internet 区域 Internet 边界路由器 内部工作子网 管理子网 一般子网 内部WWW 重点子网 下属机构 DDN/FR X.25专线 SSN区域 WWW Mail DNS 密文传输 明文传输 明文传输 §2.2 数据完整性保护 内部工作子网 管理子网 一般子网 内部WWW 重点子网 下属机构 DDN/FR X.25专线 原始数据包 对原始数据包进行Hash 加密后的数据包 摘要 Hash 摘要 对原始数据包进行加密 加密后的数据包 加密 加密后的数据包 摘要 加密后的数据包 摘要 摘要 解密 原始数据包 Hash 原始数据包 与原摘要进行比较，验证数据的完整性 §2.3 数据源身份认证 内部工作子网 管理子网 一般子网 内部WWW 重点子网 下属机构 DDN/FR X.25专线 原始数据包 对原始数据包进行Hash Hash 摘要 加密 摘要 摘要 取出DSS 原始数据包 Ha