VPN总结概要1.docVIP

VPN总结 VPN分类 VPN技术分为二层和三层，二层VPN包括PPTP和L2TP，以及CISCO的L2F，三层VPN包括IPSEC,GRE VPN技术 二层VPN技术 PPTP PPTP特色 ◆PPTP支持MPPC，对PPP的载荷部分进行压缩。◆PPTP支持MPPE，使用RSA的RC4算法对PPP的载荷部分进行加密。◆通过PPP来支持用户验证，支持PAP、CHAP、MS-CHAP◆PPTP使用PPP封装用户数据，使用PPTP头部封装PPP帧，因此支持多种网络层协议。◆PPTP使用PPP的NCP阶段来支持网络层地址的分配和协商。 PPTP阶段 ◆阶段一：LCP协商，如协商采用何种认证协议，测试魔术字，是否启用MPPC/MPPE，是否支持PPP多链路等； ◆阶段二：验证，根据第一阶段协商的结果，采用相应的认证协议进行用户验证，如果成功，则进入第三阶段，否则进入链路终止阶段；◆阶段三：回拨，CBCP回拨控制协议可以在一定程度上防止号码被冒用，并且可以降低拨号用户的费用，但此阶段一般都是可选的；如果没有在第一阶段协商回拨，则跳到阶段四；◆阶段四：NCP协商，如协商IP地址，TCP/IP头部压缩等，PPTP针对每一种网络层协议都有相应的NCP协议，如IPCP、IPXCP等。 PPTP网络构成 ◆PPTP采用C/S结构，PAC负责建立到PNS的PPTP隧道，PNS是PPTP隧道的端接点，负责从PPTP中解封装得到PPP帧，并转发PPP帧中的载荷部分；◆PPTP中，PAC和PNS之间有两种连接，一种是控制连接，用于拨号的呼叫控制，并建立、维持、终结PPTP隧道，控制连接的建立必须依托TCP协议，端口1723；另一种连接是数据连接，PPTP通过使用一种修改版的GRE协议来封装PPP帧，从而建立一条专门用来传输用户实际数据的数据连接，并依靠修改版的GRE协议来实现流量和拥塞控制 PPTP控制报文类型 PPTP整个隧道建立使用了如下类型的报文：◆开始_控制_连接_请求 报文◆开始_控制_连接_回应 报文◆保活_应答_请求 报文◆保活_应答_回应 报文◆停止_控制_连接_请求 报文◆停止_控制_连接_回应 报文◆出站_呼叫_请求 报文◆出站_呼叫_回应 报文◆入站_呼叫_请求 报文◆入站_呼叫_回应 报文◆入站_呼叫_已连接 报文◆设置_链路_消息 报文◆呼叫_消除_请求 报文◆呼叫_断开_通知 报文 PPTP隧道建立详细过程 PPTP先在PAC和PNS之间建立控制连接，再在PAC和PNS之间建立数据连接；其中控制连接通过TCP1723端口通信，负责传输上面描述的控制报文，这些报文的目的是用来建立、维持、拆除整个PPTP隧道；数据连接使用GRE封装PPP，使得PPTP支持多种协议，且借助GRE实现流量和拥塞控制： 控制连接的建立 控制连接的建立，发起者发送“开始_控制_连接_ 请求”报文，接收者使用“开始_控制_连接_回应”报文给予回应；但值得提醒的是，PAC和PNS都可以主动发起控制连接的建立请求，在这种情况下，IP地址最高的一端初始化连接，对端发起的连接将被拆除。 维持控制连接 Keepalive类报文是一种维持PAC和PNS之间连接的保活消息，它包含“保活_应答_请求”报文和“保活_应答_回应”报文；PAC和PNS都可以发送keepalive类报文，如果某端超过60秒依然没有收到对端的任何控制类型的报文，则向对端发送“保活_应答_请求”报文，对端收到后必须给予“保活_应答_回应”报文，如果接收不到对端的回应，则进入控制连接的终止阶段。 终止控制连接 控制连接可以终止任何数据连接，以及它自身，整个终止过程包括“停止_控制_连接_请求”报文和“停止_控制_连接_回应”报文，PAC和PNS都可以主动发起终止连接，同时也将终止任何数据连接。 数据连接的建立 在控制连接建立完成后，就进入数据连接的建立过程，整个数据连接的建立可能会用到这些报文： ◆出站_呼叫_请求 报文 ◆出站_呼叫_回应 报文 ◆入站_呼叫_请求 报文 ◆入站_呼叫_回应 报文 ◆入站_呼叫_已连接 报文 在PNS主动建立数据连接时，PNS生成“出站_呼叫_请求”报文给PAC，PAC收到后发送“出站_呼叫_回应”报文给PNS，表示PAC同意建立数据连接。 在PAC主动建立数据连接时，PAC生成“出站_呼叫_请求”报文给PNS，PNS收到后发送“出站_呼叫_回应”报文给PAC，表示PNS同意建立数据连接，PAC收到PNS的“入站_呼叫_回应”报文后，发送“入站_呼叫_已连接”报文给PNS，表示数据连接成功建立。 维持数据连接 PAC和PNS使用“设置_链路_消息”报文来共享链路当前的