网络安全_VPN.pptVIP

第十一章 虚拟专用网及其安全性 网络安全——技术与实践 2003.3 山东科技大学 * * 广义VPN介绍 安全VPN概念 安全VPN关键技术 安全VPN实施 目录 * * 定义：虚拟专用网（VPN）是针对传统的“企业专用网络”而言的，它是指在公共网络上通过遂道和/或加密技术，为企业所建立的逻辑上的专用网络 。 VPN定义 * * 解释：Virtual Private Network，即为“虚拟专用网”。 V 即Virtual，表示VPN有别于传统的专用网络，它并不一种物理的网络，而是企业利用电信运营商所提供的公有网络资源和设备，而建立的自己的逻辑专用网络，这种网络的好处在于可以降低企业建立使用“专用网络”的费用。 P 即Private，表示特定企业或用户群体可以像使用传统专用网一样来使用这个网络资源，即这种网络具有很强的私有性，具体可以表现在下面两个方面： 网络资源的专用性，即VPN网络资源（如信道和带宽）在企业需要时可以被为企业所专门使用，当企业不需要时又可以被其它VPN用户所使用，企业用户可以获得像传统专用网一样的服务质量； 网络的安全性，指VPN用户的信息不会流出VPN的范围之外，用户信息受到VPN网络的保护，可以实现用户信息在公共网络传输中隐蔽性； N 即Network，表示这是一种专门组网技术和服务，企业为了建立和使用VPN必须购买和配备相应的网络设备。 VPN 解释 * * 按隧道位置分类 按隧道应用分类 VPN 分类 * * 基于网络的VPN(NB-VPN:Network based VPN) 当隧道的两端为服务提供商边缘设备(在Internet环境下，也称ISP边缘路由器)时，IP隧道采用节点之间以全连接或部分连接形式构成IP VPN的主干网。 一般指由电信提供商提供VPN和VPDN服务。 基于用户边缘设备的VPN(CE-VPN:Customer Equipment VPN) 当隧道的两端为CE设备(在Internet环境下，称为用户前端设备路由器)时，隧道对CE采用全连接或部分连接就构成基于CE的VPN。其中，CE可通过ATM VCC、帧中继电路、DDN专线等接入服务提供商网络。 一般指由企业用户自由地选择相关VPN设备来实现。 按隧道位置分类 * * 按隧道位置分类 ??????????????????????????????????????????????????????????????????????????????????????????????????????????????????????? * * 按隧道应用分类 Intranet VPN Intranet VPN即企业内部网或内联网。Intranet内所有的用户站点通过隧道适当互连，这些站点同属于一个单一的管理部门。目前Intranet VPN是VPN应用最主要的形式。 Extranet VPN Extranet VPN即外联网。在这个网络内，属于某一个管理者的用户站点，由于业务的需求要与多个属于其他管理者的用户站点进行有限制的连接。有限制的连接主要指可以进行互访问的有关协作数据是限制的，并不是所有数据都可以放开互访。 拨号VPN(VPDN) VPN用户通过PSTN或ISDN拨号线路接入VPN网络，它具有接入范围广，建设VPN投资少，建设周期短，运行费用低等优点。 * * 安全VPN定义 广义VPN：尽管有虚拟“专用”的特性，根据其构成技术具有了某种安全功能，但从信息系统整体安全需求看，并不一定能够满足信息系统安全对网络平台的要求。特别是对没有采用密码技术的VPN,其安全性更弱。 安全VPN（SVPN）：使用隧道技术和密码技术，支持多种安全的虚拟连接、确保网络边界安全、具有主动审计能力且能实现基于策略的集中式安全服务和分布式控制的VPN系统。 * * 安全VPN目标 可靠的确定通信参与实体（包括用户、网络设备）的身份； 保护传输数据的机密性，免遭未授权的暴露或泄露； 保护传输数据的完整性，免遭未授权的篡改； 提供一定的边界访问控制和用户访问授权。 * * 安全VPN关键技术 密码技术 安全隧道技术 身份认证技术 访问控制技术 * * 密码技术 对称密码算法：DES、3DES、国家专用算法 非对称密码算法：RSA、DSA、椭圆曲线 摘要算法：MD5、SHA 摘要签名算法：HMAC-MD5、HMAC-SHA、国家专用算法 * * 隧道是在公用IP网中建立逻辑点到点连接的一种方法，是一个叠加在IP网上的传送通道。 一个隧道的基本要素： 隧道开通器（TI） 隧道终止器（TT） 一个隧道协议通常包括以下几个方面： 乘客协议——被封装的协议，如PPP； 封装