天融信加密机详解课件.pptVIP

天融信?加密卡?防火墙?安全电子邮件?数据审计系统Talent-IT?网页保护系统?加密机?CA认证?身份识别系统北京天融信网络安全技术有限公司网址：电话：1

天融信VPN专题Talent-ITBeginningVPN技术专题讲座2

天融信VPN专题Talent-ITVPN概述——VPN是什么？VPN的功能——VPN能做什么？VPN的工作原理——VPN是如何工作的？VPN的具体应用——在什么场合又怎样来使用VPN？3

天融信第一章VPN概述Talent-IT?VPN简介及其优点?VPN的安全性VPN工作原理VPN具体应用?市场上已有的VPN解决方案4

天融信§1.1VPN简介及其优点Talent-ITvVPN是企业网在因特网等公共网络上的延伸VPN工作原理VPN具体应用vVPN通过一个私有的通道来创建一个安全的私有连接，将远程用户、公司分支机构、公司的业务伙伴等跟企业网连接起来，形成一个扩展的公司企业网v提供高性能、低价位的因特网接入5

天融信VPN的典型应用Talent-IT合作伙伴远程访问内部网分支机构VPN是企业网在因特网上的延伸6

天融信§1.2VPN的安全性Talent-ITClue分支机构内部网ISP接入设备安全网关远程访问内部段公司的内部网络外部段拨入段（公共因特网）端到端数据通路的典型构成7

天融信§1.2.1端到端数据通路中存在的安全风险Talent-ITv拨入段数据泄漏风险v因特网上数据泄漏的风险v安全网关中数据泄漏的风险v内部网中数据泄漏的风险VPN工作原理VPN具体应用8

天融信§1.2.2拨入段数据泄漏风险Talent-ITv拨入段用户数据以明文方式直接传递到ISP：搭线监听PSTN明文传输攻击者ISP接入设备远程访问拨入段ISP窃听ISP到了ISP处已解密成明文1.攻击者可以很容易的在拨入链路上实施监听2.ISP很容易检查用户的数据3.可以通过链路加密来防止被动的监听，但无法防范恶意窃取数据的ISP。9

天融信§1.2.3因特网上数据泄漏的风险Talent-ITISPISP窃听搭线监听内部网攻击者ISP接入设备原始终点为：安全网关远程访问外部段恶意修改通道终点到：假冒网关（公共因特网）1.数据在到达终点之前要经过许多路由器，明文传输的报文很容易在路由器上被查看和修改2.3.监听者可以在其中任一段链路上监听数据逐段加密不能防范在路由器上查看报文，因为路由器需要解密报文选择路由信息，然后再重新加密发送4.恶意的ISP可以修改通道的终点到一台假冒的网关10

天融信§1.2.4安全网关中数据泄漏的风险Talent-IT内部网ISP接入设备安全网关远程访问1.数据在安全网关中是明文的，因而网关管理员可以直接查看机密数据2.网关本身可能会受到攻击，一旦被攻破，流经安全网关的数据将面临风险11

天融信§1.2.5内部网中数据泄漏的风险Talent-IT内部网ISP接入设备安全网关远程访问内部段公司的内部网络1.内部网中可能存在不信任的主机、路由器等2.内部员工可以监听、篡改、重定向企业内部网的数据报文3.来自企业网内部员工的其他攻击方式12

天融信§1.2.6结论Talent-IT在端到端的数据通路上随处都有可能发生数据的泄漏，包括：1.拨入段链路上2.ISP接入设备上3.在因特网上4.在安全网关上5.在企业内部网上。能否提供一个综合一致的解决方案，它不仅能提供端到端的数据保护，同时也能提供逐段的数据保护呢？13

天融信§1.3现有的VPN解决方案Talent-ITv基于IPSec的VPN解决方案v基于第二层的VPN解决方案v非IPSec的网络层VPN解决方案v非IPSec的应用层解决方案v结论VPN工作原理VPN具体应用14

天融信§1.3.1基于IPSec的VPN解决方案Talent-IT在通信协议分层中，网络层是可能实现端到端安全通信的最低层，它为所有应用层数据提供透明的安全保护，用户无需修改应用层协议。该方案能解决的问题：1.数据源身份认证：证实数据报文是所声称的发送者发出的。VPN工作原理VPN具体应用2.数据完整性：证实数据报文的内容在传输过程中没被修改过，无论是被故意改动或是由于发生了随机的传输错误。3.数据保密：隐藏明文的消息，通常靠加密来实现。4.重放攻击保护：保证攻击者不能截获数据报文，且稍后某个时间再发放数据报文，而不会被检测到。5.自动的密钥管理和安全关联管理：保证只需少量或根本不需要手工配置，就可以在扩展的网络上方便精确地实现公司的虚拟使用网络方针15

天融信IPSec框架的构成Talent-IT基于IPSec的VPN解决方案需要用到如下的协议：v