sslvpn的技术原理与应用.pdfVIP

SSL VPN 的技术原理与应用 1 概述 1.1 产生背景 随着互联网的普及和电子商务的飞速发展，越来越多的员工、客户和合作伙伴希望能够随时 随地接入公司的内部网络，访问公司的内部资源。接入用户的身份可能不合法、远端接入主 机可能不够安全，这些都为公司内部网络带来了安全隐患。 通过加密实现安全接入的 VPN——SVPN （Security VPN）技术提供了一种安全机制，保护公 司的内部网络不被攻击，内部资源不被窃取。SVPN 技术主要包括 IPsec VPN 和 SSL VPN。 由于 IPsec VPN 实现方式上的局限性，导致其存在着一些不足：  部署 IPsec VPN 网络时，需要在用户主机上安装复杂的客户端软件。而远程用户的 移动性要求 VPN 可以快速部署客户端，并动态建立连接；远程终端的多样性还要求 VPN 的客户端具有跨平台、易于升级和维护等特点。这些问题是 IPsec VPN 技术难以解决的。  无法检查用户主机的安全性。如果用户通过不安全的主机访问公司内部网络，可能引 起公司内部网络感染病毒。  访问控制不够细致。由于 IPsec 是在网络层实现的，对 IP 报文的内容无法识别，因 而不能控制高层应用的访问请求。随着企业经营模式的改变，企业需要建立 Extranet，与 合作伙伴共享某些信息资源，以便提高企业的运作效率。对合作伙伴的访问必须进行严格有 效地控制，才能保证企业信息系统的安全，而 IPsec VPN 无法实现访问权限的控制。  在复杂的组网环境中，IPsec VPN 部署比较困难。在使用 NAT 的场合，IPsec VPN 需要支持 NAT 穿越技术；在部署防火墙的网络环境中，由于 IPsec 协议在原 TCP/UDP 头 的前面增加了 IPsec 报文头，因此，需要在防火墙上进行特殊的配置，允许 IPsec 报文通过。 IPsec VPN 比较适合连接固定，对访问控制要求不高的场合，无法满足用户随时随地以多种 方式接入网络、对用户访问权限进行严格限制的需求。 SSL VPN 技术克服了 IPsec VPN 技术的缺点，以其跨平台、免安装、免维护的客户端，丰富 有效的权限管理而成为远程接入市场上的新贵。 1.2 技术优点 SSL VPN 是以 HTTPS 为基础的 VPN 技术，它利用 SSL 协议提供的基于证书的身份认证、数据 加密和消息完整性验证机制，为用户远程访问公司内部网络提供了安全保证。SSL VPN 具有 如下优点：  支持各种应用协议。SSL 位于传输层和应用层之间，任何一个应用程序都可以直接享 受 SSL VPN 提供的安全性而不必理会具体细节。  支持多种软件平台。 目前SSL 已经成为网络中用来鉴别网站和网页浏览者身份，在 浏览器使用者及 Web 服务器之间进行加密通信的全球化标准。SSL 协议已被集成到大部分 的浏览器中，如 IE、Netscape、Firefox 等。这就意味着几乎任意一台装有浏览器的计算 机都支持 SSL 连接。SSL VPN 的客户端基于 SSL 协议，绝大多数的软件运行环境都可以作 为 SSL VPN 客户端。  支持自动安装和卸载客户端软件。在某些需要安装额外客户端软件的应用中，SSL VPN 提供了自动下载并安装客户端软件的功能，退出 SSL VPN 时，还可以自动卸载并删除 客户端软件，极大地方便了用户的使用。  支持对客户端主机进行安全检查。SSL VPN 可以对远程主机的安全状态进行评估， 可以判断远程主机是否安全，以及安全程度的高低。  支持动态授权。传统的权限控制主要是根据用户的身份进行授权，同一身份的用户在 不同的地点登录，具有相同的权限，称之为静态授权。而动态授权是指在静态授权的基础上， 结合用户登录时远程主机的安全状态，对所授权利进行动态地调整。当发现远程主机不够安 全时，开放较小的访问权限；在远程主机安全性较高时，则开放较大的访问权限。  SSL VPN 网关支持多种用户认证方式和细粒度的资源访问控制，实现了外网用户对 内网资源的受控访问。  SSL VPN 的部署不会影响现有的网络。SSL 协议工作在传输层之上，不会改变 IP 报 文头和 TCP 报文头，因此，SSL 报文对 NAT 来说是透明的；SSL 固定采用443 号端口，只 需在防火墙上打开该端口，不需要根据应用层协议的不同来修改防火墙上的设置，不仅减少 了网络管理员的工作量，还可以提高网络的安全性。 