安全VPN技术及应用解决方案.ppt

安全VPN技术及应用 目录 广义VPN介绍 安全VPN概念 安全VPN关键技术 安全VPN实施 实施VPN的价值 亿阳网警安全VPN系统 广义VPN介绍 VPN定义 What is Internet VPN ? VPN 诠释 解释：Virtual Private Network，即为“虚拟专用网”。 V 即Virtual，表示VPN有别于传统的专用网络，它并不一种物理的网络，而是企业利用电信运营商所提供的公有网络资源和设备，而建立的自己的逻辑专用网络，这种网络的好处在于可以降低企业建立使用“专用网络”的费用。 P 即Private，表示特定企业或用户群体可以像使用传统专用网一样来使用这个网络资源，即这种网络具有很强的私有性，具体可以表现在下面两个方面： 网络资源的专用性，即VPN网络资源（如信道和带宽）在企业需要时可以被为企业所专门使用，当企业不需要时又可以被其它VPN用户所使用，企业用户可以获得像传统专用网一样的服务质量； 网络的安全性，指VPN用户的信息不会流出VPN的范围之外，用户信息受到VPN网络的保护，可以实现用户信息在公共网络传输中隐蔽性； N 即Network，表示这是一种专门组网技术和服务，企业为了建立和使用VPN必须购买和配备相应的网络设备。 VPN 分类 按隧道位置分类 按隧道位置分类 按隧道应用分类 Intranet VPN Intranet VPN即企业内部网或内联网。Intranet内所有的用户站点通过隧道适当互连，这些站点同属于一个单一的管理部门。目前Intranet VPN是VPN应用最主要的形式。 Extranet VPN Extranet VPN即外联网。在这个网络内，属于某一个管理者的用户站点，由于业务的需求要与多个属于其他管理者的用户站点进行有限制的连接。有限制的连接主要指可以进行互访问的有关协作数据是限制的，并不是所有数据都可以放开互访。 拨号VPN(VPDN) VPN用户通过PSTN或ISDN拨号线路接入VPN网络，它具有接入范围广，建设VPN投资少，建设周期短，运行费用低等优点。 安全VPN定义 安全VPN目标 安全VPN关键技术 密码技术 安全隧道技术 隧道是在公用IP网中建立逻辑点到点连接的一种方法，是一个叠加在IP网上的传送通道。 一个隧道的基本要素： 隧道开通器（TI） 隧道终止器（TT） 一个隧道协议通常包括以下几个方面： 乘客协议——被封装的协议，如PPP、SLIP； 封装协议——隧道的建立、维持和断开，如L2TP、IPSec等； 承载协议——承载经过封装后的数据包的协议，如IP和ATM等 安全隧道协议 VPN 隧道协议主要有五种： L2F （第二层转发） PPTP（点到点隧道协议 ） L2TP （第 2 层隧道协议 ） IPSec （IP 安全协议 ） MPLS（多协议标签交换） IPSec隧道协议 VPN——IP通信保护神 IPSec隧道协议 IPSec 不是一个单独的协议，而是一套协议包，包括三个基本协议： AH 协议提供信息源验证和完整性保证； ESP 协议提供信息源验证、机密性和完整性保证； 密钥管理协议（ ISAKMP ）提供双方交流时的共享安全信息。 IPSec框架结构 IPSec安全功能 数据起源地验证； 无连接数据的完整性验证； 数据内容的机密性； 抗重播保护； 有限的数据流机密性保证。 IPSec工作模式 传输模式 隧道模式 注：AH和ESP都支持这两种模式 IPSec工作模式 传输模式 传输模式为上层协议提供安全保护，保护的是IP包的有效载荷 (如TCP, UDP和ICMP)，如图2。通常情况下传输模式只用于两台 主机之间的安全通信。当一台主机运行AH或ESP时，IPv4的有效 载荷通常是指跟在IPv4报文头后面的数据，IPv6的有效载荷是 IPv6基本报头和扩展报头的部分。 IPSec工作模式 隧道模式 隧道模式为整个IP包提供保护。隧道模式首先为原始IP包增加AH或ESP字段，然后再在外部增加一个新的IP头。所有原始的或内部包通过这个隧道从IP网的一端传递到另一端，沿途的路由器只检查最外面的IP报头，不检查内部原来的IP报头。由于增加了一个新的IP报头，因此新IP报文的目的地址可能与原来的不一致。隧道模式通常用在有至少一端是安全网关的时候，如防火墙和路由器。使用隧道模式后，防火墙后面的主机可以使用内部地址进行通信，而且不需要实现IPSec。 IPSec实现方式 IPSec可以在主机、路由器/防火墙(创建一个安全网关)或两者中同时实施和部署。 IPSec的实现方式可分为三种 集成方式 ：把IPSec集成到IP协议的原始实现中。这需要处理IP源代码，适用于在主机和安全网关中实现。