高级网络互联技术 第6章（虚拟专网VPN）.pptx

虚拟专网VPN

VPN概述隧道和加密技术12IPsec技术VPN相关配置34

1VPN概述什么是VPNVPN（VirtualPrivateNetwork）在公用网络中,按照相同的策略和安全规则,建立的私有网络连接Internet北京总部广州分公司虚拟专用网络

1VPN概述VPN的优点Internet专线中心站点分支机构Internet专线中心站点分支机构专线方式VPN方式费用高灵活性差广域网的管理复杂的拓扑结构费用低灵活性好简单的网络管理隧道的拓扑结构

1VPN概述VPN的结构和分类总部分支机构远程办公室家庭办公PSTN安装了VPN客户端软件的移动用户Internet远程访问的VPN站点到站点的VPN

1VPN概述远程访问的VPN总部家庭办公PSTN安装了VPN客户端软件的移动用户Internet移动用户或远程小办公室通过Internet访问网络中心连接单一的网络设备客户通常需要安装VPN客户端软件

1VPN概述站点到站点的VPN公司总部和其分支机构、办公室之间建立的VPN替代了传统的专线或分组交换WAN连接它们形成了一个企业的内部互联网络总部分支机构远程办公室Internet

1VPN概述VPN的工作原理VPN=加密＋隧道明文明文访问控制报文加密报文认证IP封装IP解封报文认证报文解密访问控制IP隧道公共IP网络

1VPN概述VPN的关键技术安全隧道技术信息加密技术用户认证技术访问控制技术

2隧道和加密技术安全隧道技术为了在公网上传输私有数据而发展出来的“信息封装”（Encapsulation）方式在Internet上传输的加密数据包中，只有VPN端口或网关的IP地址暴露在外面Internet安全隧道

2隧道和加密技术隧道协议二层隧道VPNL2TP:Layer2TunnelProtocolPPTP:PointToPointTunnelProtocolL2F:Layer2Forwarding三层隧道VPNGRE:GeneralRoutingEncapsulationIPSEC:IPSecurityProtocol

2隧道和加密技术第二层隧道协议建立在点对点协议PPP的基础上先把各种网络协议（IP、IPX等）封装到PPP帧中，再把整个数据帧装入隧道协议适用于通过公共电话交换网或者ISDN线路连接VPNInternet内部网络移动用户访问集中器网络服务器PPP链接隧道

2隧道和加密技术第三层隧道协议Internet隧道IP连接把各种网络协议直接装入隧道协议在可扩充性、安全性、可靠性方面优于第二层隧道协议

2隧道和加密技术信息加密技术机密性对用户数据提供安全保护数据完整性确保消息在传送过程中没有被修改身份验证确保宣称已经发送了消息的实体是真正发送消息的实体明文加密密文解密明文

2隧道和加密技术加密算法对称加密DES算法、3DES算法AES算法IDEA算法、Blowfish算法、Skipjack算法非对称加密RSA算法PGP

2隧道和加密技术对称密钥明文密文明文加密共享密钥解密共享密钥发送方接收方发送方和接收方使用同一密钥通常加密比较快（可以达到线速）基于简单的数学操作（可借助硬件）需要数据的必威体育官网网址性时，用于大批量加密密钥的管理是最大的问题双方使用相同的密钥

2隧道和加密技术非对称密钥每一方有两个密钥公钥，可以公开私钥，必须安全保存已知公钥，不可能推算出私钥一个密钥用于加密，一个用于解密比对称加密算法慢很多倍

2隧道和加密技术公钥加密和私钥签名用于数据必威体育官网网址；利用公钥加密数据，私钥解密数据用于数字签名；发送者使用私钥加密数据，接收者用公钥解密数据

3IPsec技术Page19/44IPSec（IPSecurity）是IETF为保证在Internet上传送数据的安全必威体育官网网址性，而制定的框架协议应用在网络层，保护和认证用IP数据包是开放的框架式协议，各算法之间相互独立提供了信息的机密性、数据的完整性、用户的验证和防重放保护支持隧道模式和传输模式

3IPsec技术隧道模式和传输模式隧道模式IPsec对整个IP数据包进行封装和加密，隐蔽了源和目的IP地址从外部看不到数据包的路由过程传输模式IPsec只对IP有效数据载荷进行封装和加密，IP源和目的IP地址不加密传送安全程度相对较低

3IPsec技术IPsec的组成IPSec提供两个安全协议AH(AuthenticationHeader)认证头协议ESP(EncapsulationSecurityPayload)封装安全载荷协议密钥管理协议IKE（InternetKeyExchange）因特网密钥交换协议IPsec不是单独的一个协议，而是一整套体系结构

3IPsec技术AH协议隧道中报文的数据源鉴别数据的完整性保护