第六章 VPN的设计与实现.ppt

第六章 VPN的设计与实现 VPN概述 VPN关键技术 隧道协议与VPN实现 VPN安全性分析 参考书：1 《网络安全－技术与实践》 刘建伟 编著 清华大学出版社 2 《VPN与网络安全》 戴宗坤 唐三平 编著 电子工业出版社 3《IPSec：VPN的安全实施》Carlton R. Davis著，周永彬等译 6.1 VPN概述 VPN概念 VPN特点 VPN分类 VPN数据和路由的管理模式 6.1.1 VPN概念 所谓虚拟专用网络VPN （virtual private network）是指将物理上分布在不同地点的网络通过公用网络连接成逻辑上的虚拟子网，并采用认证、访问控制、加密技术等在公用网络上构建专用网络的技术，使得数据通过安全的“加密管道”在公用网络中传播。 6.1.2 VPN的特点 VPN应具备的特点 费用低 安全保障 服务质量保证 可扩充性和灵活性 可管理性 6.1.3 VPN的分类 VPN主要有两种类型 远程访问/移动用户的VPN连接 远程访问VPN连接由远程客户机提出连接请求，VPN服务器提供对VPN服务器或整个网络资源的访问服务。 网关－网关的VPN连接 由呼叫网关提出连接请求，另一端VPN网关作出响应。 6.1.4 VPN数据和路由的管理模式 叠加模式（overlay model） IPsec,GRE,帧中继，ATM电路等。 对等模式（peer model） BGP，MPLS 叠加模式 由点到点的连接以及相关的路由器组成的网络称为虚拟骨干网。 缺点： 需要VPN用户设计并运作虚拟骨干网 VPN的网络规模不能太大，可扩展性差 对等模式 网络层的转发路径是基于一个跳点一个跳点进行计算的，在数据传输的中途路径中的每一跳点节点与下一跳点节点处于同一网络层。 优点：可扩展性好 缺点：节点承担一定的负担 6.2 VPN关键技术 隧道技术 加解密技术 密钥管理技术 身份认证技术 访问控制 6.2.1 隧道封装技术 隧道技术是常见的为叠加模式的VPN提供站点间连接的方式 隧道技术用添加IP包头的方式对数据进行封装 隧道主要是对数据包进行封装、传输和拆封 6.2.1 隧道封装技术 隧道是由隧道协议形成的，常用的有第2、3层的隧道协议。 第2层协议：L2F,PPTP,L2TP 第3层协议：GRE,VTP,IPSec. 6.2.2 身份鉴别和认证技术 口令验证协议（PAP） 询问－应答验证协议（CHAP） 微软询问-应答验证协议（MS-CHAP） SecurID RADIUS CRACK 口令验证协议（PAP） PAP（password authentication protocol）是一种简单的明文验证方式。NAS（network access server）要求用户提供用户名和口令，PAP以明文的方式返回用户信息。 询问－应答验证协议（CHAP） CHAP(challenge-handshake authentication protocol)是一种加密验证方式，能够避免建立连接时传送用户的真是密码。 微软询问-应答验证协议（MS-CHAP） 微软公司的一种加密验证机制，使用基于MPPE（microsoft point-to-point encryption）的数据加密。 SecurID RSA SecurID动态口令是美国RSA公司提出的安全身份认证技术标准。 它采用双因素密码的强用户身份认证方式，一个因素是用户知道的静态PIN码，一个是用户所拥有的令牌动态码。 RADIUS remote authentication dial in user service：远程拨入用户认证服务，它定义了在NAS和集中存放认证消息的RADIUS服务器之间传输认证、授权和配置信息的协议。 CRACK challenge/response authentication of cryptographic keys:密钥问答认证，它允许在IKE协议中直接进行非对称形式的认证。 6.2.3 QoS技术 隧道技术和加密技术已经能够建立一个具有安全性、互操作性的VPN，但是VPN性能不稳定，所以要加入QoS技术。 带宽：网络提供给用户的传输率 反应时间：用户所能容忍的数据包传递延时 抖动：延时的变化 丢包率：数据包丢失的比率 6.3 隧道协议与VPN实现 PPTP L2F L2TP MPLS IPSec SSL SOCKS 6.3.1 PPTP协议 PPTP（Point-to-Point Tunneling Protocol）点到点隧道协议：该协议由美国微软公司设计，用于将PPP分组通过IP网络封装传输。 6.3.1 PPTP协议 控制连接是一条TCP连接，在传送任何PPT