信息安全导论 印润远 第9章 虚拟专用网VPN新.pptVIP

第9章 虚拟专用网VPN 9.1 虚拟专用网的产生与分类 9.2 VPN原理 9.3 PPTP协议分析 9.4 VPN产品与解决方案 思考题 9.1 虚拟专用网的产生与分类 9.1.1 虚拟专用网的产生 9.1.2虚拟专用网的分类 9.1.1 虚拟专用网的产生 1. VPN需求 （1）分支机构、办公点或需要联网的远程客户多且分散。 （2）互连多在广域l辅苞围内进行。 （3）对线路的安全保密性有需求。 （4）带宽和实时性要求不高。 2. VPN特点 （1）降低成本。租用电信的帧中继或ATM实现跨地区的专网当然也能满足以上需求，但费用非常昂贵，VPN应具有较低的成本。 （2）实现网络安全服务。通过加密、访问控制、认证等安全机制可实现网络安全服务。 （3）自主控制。对用户认证、访问控制等安全性的控制权应该属于企业，这样更容易被企业接受。 9.1.2 虚拟专用网的分类 1. 根据建立VPN的目的，可以将VPN分为三类： （1）内联网VPN 企业内部虚拟专网（Intranet VPN）与企业内部的Intranet相对应。 （2）外联网（Extranet VPN） 外联网VPN与企业网和相关合作伙伴的企业网所构成的Extranet相对应。 （3）远程接入（Access VPN） Access VPN（远程访问虚拟专网）与传统的远程访问网络相对应。 2. 根据VPN在IP网络中的层次可将VPN分为两类： （1）二层VPN 二层VPN主要包括PPTP和L2TP。 （2）三层VPN 三层VPN主要包括IPSec。 9.2 VPN原理 9.2.1 VPN的关键安全技术 9.2.2 隧道技术 9.2.3 自愿隧道和强制隧道 9.2.1 VPN的关键安全技术 1. L2TP L2TP定义了利用分组交换方式的公共网络基础设施（如IP网络、ATM和帧中继网络）封装链路层PPP（Point-to-Point Protocol，点到点协议）帧的方法。 2．IPSec IPSec是一组开放的网络安全协议的总称，在IP层提供访问控制、无连接的完整性、数据来源验证、防回放攻击、加密以及数据流分类加密等服务。IPSec包括报文认证头AH（Authentication Header）和报文安全封装协议ESP（Encapsulating security Payload）两个安全协议。 3．MPLS MPLS源于突破IP路由瓶颈的需要，融合IP Switching和Tag Switching等技术，跨越多种链路层技术，为无连接的IP层提供面向连接的服务。 9.2.2 隧道技术 隧道技术是一种通过使用互联网的基础设施在网络之间传递数据的方式。 使用隧道传递的数据（或负载）可以是不同协议的数据包。隧道协议将这些其他协议的数据包重新封装在新的包头中发送。新的包头提供了路由信息，从而使封装的负载数据能够通过互联网络传递。 VPN中的隧道是由隧道协议形成的，VPN使用的隧道协议主要有三种： （1）点到点隧道协议（PPTP）; （2）第二层隧道协议（L2TP）; （3）IPSec。 PPTP和L2TP集成在Windows中，所以最常用。 9.2.3 自愿隧道和强制隧道 （1）自愿隧道 自愿隧道（Voluntary Tunnel）是使用最普遍的隧道类型。 客户端可以通过发送VPN请求配置和创建一条自愿隧道。为建立自愿隧道，客户端计算机必须安装适当的隧道协议，并需要一条IP连接（(可通过局域阿或拨号线路)。 （2）强制隧道 强制隧道（Compulsory Tunnel）由支持VPN的拨号接人服务器配置和创建。这种情况下，用户计算机不作为隧道端点，而是由位于用户计算机和隧道服务器之间的远程接入服务器作为隧道客户端，成为隧道的一个端点。 9.3 PPTP协议分析 9.3.1 PPP协议 9.3.2 PPTP协议 9.3.3 L2TP协议分析 9.3.4 IPSsec协议分析 9.3.1 PPP协议 PPP协议提供了解决链路建立、维护、拆除、上层协议协商、认证等问题的完整方案，并支持全双工方式，可按照顺序传递数据包 。 1. PPP组成部分 : (1) 链路控制协议 ； (2) 网络控制协议 ； (3) 认证协议 。 2. 链路建立