第8章虚拟专用网技术与应用实验祥解.ppt

计算机网络工程 王晓燕 第八章 虚拟专用网技术与应用实验 1、 概述 2 、VPN的应用和特点 3 、隧道技术 4 、VPN的具体应用 8.1 概述 VPN的基本思路：充分利用已有的公用网络（通常是Internet）来建立一个私有的、安全的连接，即建立一条穿过混乱的公用网络的安全、稳定的隧道，同时免除了昂贵的专线租用费用。 定义：VPN （Virtual Private Network，VPN）是企业网在因特网等公共网络上的延伸。 VPN特点： VPN（Virtual Private Network）是一种在公共网络或者共享网络上通过一系列技术建立的逻辑网络，用户可以通过它获得专用的远程访问链路。 VPN从专用网发展而来，是用以替代专用网的一种广域网技术。 VPN业务对网络类型没有要求。 VPN与传统接入网的比较 1、传统企业网远程接入的缺点 （1）成本高昂 （2）使用专线和长途电话线路 （3）系统缺乏灵活性 （4）系统封闭，与外部网络隔绝 2 、VPN接入的优点 （1）成本低 （2）安全保障 （3）服务质量保证 （4）可扩充性和灵活性 （5）管理方便 8.2.5 VPN的基本要求 　　 一般来说，企业在选用一种远程网络互联方案时都希望能够对访问企业资源和信息的要求加以控制，所选用的方案应当既能够实现授权用户与企业局域网资源的自由连接，不同分支机构之间的资源共享；又能够确保企业数据在公共互联网络或企业内部网络上传输时安全性不受破坏。因此，一个成功的VPN方案应当能够满足以下所有方面的要求： （1）用户验证 　　 VPN方案必须能够验证用户身份并严格控制只有授权用户才能访问VPN。另外，方案还必须能够提供审计和记费功能，显示何人在何时访问了何种信息。 　 （2）地址管理 　　 VPN方案必须能够为用户分配专用网络上的地址并确保地址的安全性。 （3）数据加密 　　 对通过公共互联网络传递的数据必须经过加密，确保网络其他未授权的用户无法读取该信息。 （4）密钥管理 　　 VPN方案必须能够生成并更新客户端和服务器的加密密钥。 （5）多协议支持 　　 VPN方案必须支持公共互联网络上普遍使用的基本协议，包括IP，IPX等。 8.2.6 VPN网关 VPN网关是实现局域网（LAN）到局域网连接的设备。它可以实现两大功能：VPN和网关。广义上讲，支持VPN（虚拟专用网）的路由器和防火墙等设备都可以算作VPN网关。目前常见的VPN网关产品可以包括单纯的VPN网关、VPN路由器、VPN防火墙、VPN服务器等产品。 （1）它应集成包过滤防火墙和应用代理防火墙的功能。 　　企业级VPN产品是从防火墙产品发展而来，防火墙的功能特性己经成为它的基本功能集中的一部分。如果是一个独立的产品，VPN与防火墙的协同工作会遇到很多难以解决的问题，有可能不同厂家的防火墙和VPN不能协同工作，防火墙的安全策略无法制定（这是由于VPN把IP数据包加密封装的缘故）或者带来性能的损失，如防火墙无法使用NAT功能等等。而如果采用功能整合的产品，则上述问题不存在或很容易解决。 　 （2）VPN应有一个开放的架构。 　　VPN部署在企业接入因特网的路由器之后，或者它本身就具有路由器的功能，因此，它己经成为保护企业内部资产安全最重要的门户。阻止黑客入侵、检查病毒、身份认证与权限检查等很多安全功能需要VPN完成或在同VPN与相关产品协同完成。因此，VPN必须按照一个开放的标准，提供与第三方安全产品协同工作的能力。 （3）有完善的认证管理。 　　一个VPN系统应支持标准的认证方式，如RADIUS(Remote 　　Authentication Dial In User Service，远程认证拨号用户服务)认证、基于PKI（Public Key Infrastructure，公钥基础设施）的证书认证以及逐渐兴起的生物识别技术等等。对于一个大规模的VPN系统，PKI/KMI的密钥管理中心，提供实体（人员、设备、应用）信息的LDAP目录服务及采用标准的强认证技术（令牌、IC卡）是一个VPN系统成功实施和正常运行必不可少的条件。 8.4 隧道技术 VPN区别于一般网络互联的关键在于隧道的建立，数据包经过加密，按隧道协议进行封装、传送以保证安全性。 被封装的数据包在公共互联网络上传递时所经过的逻辑路径称为隧道。 隧道技术是指包括数据封装，传输和解包在内的全过程。 隧道技术是一种通过使用互联网络的基础设施在网络之间传递数据的方式。使用隧道传递的数据（或负载）可