Internet安全技术应用.pptVIP

* 私用地址：10.0.0.0-10.255.255.255，172.16.0.0-172.32.255.255，192.168.0.0-192.168.255.255。 M-1:不允许生成任何入站会话，无法对内部主机进行映射。 静态地址翻译，可以让外部访问内部主机，不用修改端口号。 动态地址翻译，通过端口转换，可以实现负载均衡。 * 虚拟（Virtual） ：不是物理上独立存在的网络，利用共享的通信基础设施，仿真专用网络的设备。任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。IETF草案理解基于IP的VPN为：“使用IP机制仿真出一个专用的广域网”是通过专用的隧道技术在公共数据网络上仿真一条点到点的专用线路的技术。用户不再需要拥有实际的长途数据线路，而是使用Internet公众数据网络的长途数据线路。 专用（Private） ：用户可以为自己制定一个最符合自己需求的网络。网内业务独立于网外的业务流，且具有独立的寻址空间和路由空间。 网络（Network）：许多通信设备的集合（多个用户或站点） 2。VPN在不安全的公共网络上建立一个安全的专用通信网络 VPN并不是什么新事物，在数据专用网出现以前，许多公司就开始使用话音虚拟专用网了，数据VPN提供了与话音VPN相似的功能，只不过它传送的是数据业务 能够用于构建 VPN 的公共网络包括 Internet 和服务提供商所提供的帧中继、ATM 等，构建在这些公共网络上的 VPN 将象当前企业专用的网络一样提供安全性、可靠性和可管理性等. 虚拟的概念是相对传统专用网络的构建方式而言的，对于广域网连接，传统的组网方式是通过远程拨号和专线连接来实现的，而 VPN 是利用服务提供商所提供的公共网络来实现远程的广域连接。 * * * 虚拟专用网是一种连接，从表面上看，它是一种专用连接，但实际上是在公共网络上实现的。它常采用一种称作“隧道”的技术，数据包在公共网络上的专用隧道内传输，专用隧道用于建立点对点的连接。来自不同数据源的网络业务经由相同的隧道在不同的体系结构上传输，并允许网络协议穿越不兼容的体系结构，还可区分来自不同数据源的业务，因而可将该业务发往指定的目的地，并接受指定等级的服务。 对于构建 VPN 来说，网络隧道(Tunnelling)技术是个关键技术。网络隧道技术指的是利用一种网络协议来传输另一种网络协议，它主要利用网络隧道协议来实现这种功能。网络隧道技术涉及了三种网络协议，网络隧道协议、隧道协议下面的承载协议和隧道协议所承载的被承载协议。现有两种类型的隧道协议，一种是二层隧道协议，用于传输二层网络协议，它主要应用于构建 Access VPN；另一种是三层隧道协议，用于传输三层网络协议，它主要应用于构建 Intranet VPN 和 Extranet VPN 隧道的启动和终止可由许多网络设备和软件来实现。例如：一个隧道可以由一台位于ISP服务点的适用于虚拟专用网的接入复用器建立，也可以由一台企业分之机构或办公室局域网的防火墙建立，该防火墙也要适用于虚拟专用网。或者还可以由一台带有模拟的PC调制解调器和装有适用于虚拟专用网的拨号软件的便携机建立。一个通道可由IPS的网络接入路由器的虚拟专用网网关终止，也可以由隧道终结器或企业网的交换机终止。 此外，还需要有一台或多台安全服务器，虚拟专用网除了具有常规的防火墙和地址转换功能外，还应具有数据加密、身份鉴别和授权的功能，安全服务器通常也提供带宽和和隧道终端节点信息，某些情况下还可以提供网络规则信息和服务等级信息。 隧道的工作原理： 在远程访问虚拟专用网的情况下，远程访问客户需要向远程访问服务器发送点对点协议的数据包。通常，在采用局域网对局域网的虚拟租用线路情况下，一个局域网上的路由器需向另一个局域网上的路由器发送PPP数据包。 不同的是，客户机对服务器的情况下，PPP的数据包不是提供专用线路传送，而是通过公共网络的虚拟隧道传送。PPP协议经过协商，在远程用户和虚拟隧道设备之间建立一条直接连接。创建符合标准的虚拟专用网隧道经常采用下列方法：将网络协议（IPX、IP、Apple Talk等）封装到PPP协议中，典型的隧道协议是IP协议，但也可以是ATM协议或帧中继协议。 隧道启动器在隧道内封装的是在TCP/IP包中封装原生包——例如，IPX包。包括控制信息的IPX包都成为TCP/IP包的负载，然后它通过因特网传送。另一端的隧道终结器打开包，并将其发给原来的协议进行处理。 * * * 通过从计算机网络和系统的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为或遭到入侵的迹象，并依据既定的策略采取一定的措施。 保证收集到的信息的正确性，防止被篡改而