Windows2000IPSecVPN协议配置实训3-e会学.ppt

10.2.1 安全保障 虽然实现VPN的技术和模式很多，但所有的VPN均应保证通过公用网络平台传输数据的专用性和安全性。在非面向连接的公用IP网络上建立一个逻辑的、点对点的连接，称为建立一个隧道，可以利用加密技术对经过隧道传输的数据进行加密，以保证数据仅被指定的发送者和接收者了解，从而保证了数据的私有性和安全性。在安全性方面，由于VPN直接构建在公用网上，尽管实现简单、方便、灵活，但同时其安全问题也更为突出。企业必须确保其VPN上传送的数据不被攻击者窥视和篡改，并且要防止非法用户对网络资源或私有信息的访问。ExtranetVPN将企业网扩展到合作伙伴和客户，对安全性提出了更高的要求。 10.2.2 服务质量保证 VPN网应当为企业数据提供不同等级的服务质量保证(QoS)。不同的用户和业务对服务质量保证的要求差别较大。对于移动办公用户，提供广泛的连接和覆盖性是保证VPN服务的一个主要因素；而对于拥有众多分支机构的专线VPN网络，交互式的内部企业网应用则要求网络能提供良好的稳定性；对于其他应用(如视频等)则对网络提出了更明确的要求，如网络时延及误码率等。所有以上网络应用均要求网络根据需要提供不同等级的服务质量。在网络优化方面，构建VPN的另一重要需求是充分有效地利用有限的广域网资源，为重要数据提供可靠的带宽。广域网流量的不确定性使其带宽的利用率很低，在流量高峰时引起网络阻塞，产生网络瓶颈，使实时性要求高的数据得不到及时发送；而在流量低谷时又造成大量的网络带宽空闲。QoS通过流量预测与流量控制策略，可以按照优先级分配带宽资源，实现带宽管理，使得各类数据能够被合理地先后发送，并预防阻塞的发生。 10.2.3 可扩充性和灵活性 VPN必须能够支持通过Intranet和Extranet的任何类型的数据流，方便增加新的节点，支持多种类型的传输媒介，可以满足同时传输语音、图像和数据等新应用对高质量传输以及带宽增加的需求。 10.2.4 可管理性 从用户角度和运营高角度方面应可方便地进行管理、维护。在VPN管理方面，VPN要求企业将其网络管理功能从局域网无缝隙地延伸到公用网，甚至是客户和合作伙伴。虽然可以将一些次要的网络管理任务交给服务提供商去完成，企业自己仍需要完成许多网络管理任务。所以，一个完善的VPN管理系统是必不可少的。VPN管理的目标为：减小网络风险、使其具有高扩展性、经济性、高可靠性等优点。事实上，VPN管理主要包括安全管理、设备管理、配置管理、访问控制列表管理、QoS管理等内容。 10.2.5 降低成本 VPN利用现有的Internet或其他公共网络的基础设施为用户创建安全隧道，不需要专门的租用线路，如DDN和PSTN，这样就节省了专门线路的租金。如果是采用远程拨号进入内部网络，访问内部资源，需要长途话费；而采用VPN技术，只需拨入当地的ISP就可以安全地接入内部网络，这样也节省了线路话费。 10.3.1 实现VPN的隧道技术 为了能够有在公网中形成的企业专用的链路网络，VPN采用了所谓的隧道(Tunneling)技术，模拟点到点连接技术，依靠ISP和其他的网络服务提供商在公网中建立自己专用的“隧道”，让数据包通过隧道传输。 网络隧道技术指的是利用一种网络协议传输另一种网络协议，也就是将原始网络信息进行再次封装，并在两个端点之间通过公共互联网络进行路由，从而保证网络信息传输的安全性。它主要利用网络隧道协议来实现这种功能，具体包括第二层隧道协议(用于传输二层网络协议)和第三层隧道协议(用于传输三层网络协议)。 第二层隧道协议是在数据链路层进行的，先把各种网络协议封装到PPP包中，再把整个数据包装入隧道协议中，这种经过两层封装的数据包由第二层协议进行传输。第二层隧道协议有以下几种。 (1) PPTP(RFC 2637，Point-to-Point Tunneling Protocol)。 (2) L2F(RFC 2341，Layer 2 Forwarding)。 (3) L2TP(RFC 2661，Layer Two Tunneling Protocol)。 第三层隧道协议是在网络层进行的，把各种网络协议直接装入隧道协议中，形成的数据包依靠第三层协议进行传输。第三层隧道协议有以下几种： (1) IPSec(IP Security)是目前最常用地VPN解决方案。 (2) GRE(RFC 2784，General Routing Encapsulation)。 隧道技术包括了数据封装、传输和解包在内的全过程。 封装是构建隧道的基本手段，它使得IP隧道实现了信息隐蔽和抽象。封装器建立封装报头，并将其追加到纯数据包的前面。当封装的数据包到达解包器时，封装报头被转换回纯报头，数据包被传送到目的地。 隧道