1、修訂記錄課程編碼適用產(chǎn)品產(chǎn)品版本課程版本ISSUEHC110310010華為防火墻V300R001V2.0開發(fā)/優(yōu)化者時(shí)間審核人開發(fā)類型（新開發(fā)/優(yōu)化）陳靈光2011.7余雷第一版王銳2015.4余雷第二版本頁(yè)不打印SSL VPN技術(shù)概述目標(biāo)學(xué)完本課程后，您將能夠:了解SSL VPN的技術(shù)原理目錄SSL VPN概述SSL VPN技術(shù)SSL VPN應(yīng)用場(chǎng)景分析SSL概述 SSL在TCP/IP協(xié)議棧中的位置I PTCPHTTPSSLI PTCPHTTPNot SecureSecureSSL與IPSec安全防護(hù)對(duì)比I PTCPAPP+DataIPSecI PTCPHTTPSSLSSL VPNIPSe

2、c VPNI PSSL VPN安全技術(shù)SSL協(xié)議從以下方面確保了數(shù)據(jù)通信的安全身份認(rèn)證完整性機(jī)密性傳統(tǒng)VPN存在的問題L2TP及撥號(hào)不安全撥號(hào)上網(wǎng)的額外費(fèi)用撥號(hào)接入服務(wù)器端口限制缺少信息鑒別無基于應(yīng)用的訪問控制策略泄漏內(nèi)網(wǎng)IPMPLS不安全無用戶認(rèn)證無應(yīng)用授權(quán)無審計(jì)無加密無訪問控制造價(jià)高跨運(yùn)營(yíng)商互通互聯(lián)問題適用于大型企業(yè)內(nèi)網(wǎng)互聯(lián)IPSec客戶端管理費(fèi)用高NAT問題安全風(fēng)險(xiǎn)無基于應(yīng)用的用戶認(rèn)證授權(quán)審計(jì)SSL VPN技術(shù)優(yōu)勢(shì)無客戶端的便捷部署應(yīng)用層接入的安全保護(hù)企業(yè)延展的效率提升SSL VPN目錄SSL VPN概述SSL VPN技術(shù)SSL VPN應(yīng)用場(chǎng)景分析SSL協(xié)議結(jié)構(gòu)應(yīng)用層協(xié)議SSL握手協(xié)議S

3、SL密碼變化協(xié)議SSL警告協(xié)議SSL記錄協(xié)議TCPIPSSL主要協(xié)議介紹SSL協(xié)議過程通過3個(gè)元素來完成握手協(xié)議記錄協(xié)議警告協(xié)議SSL協(xié)議結(jié)構(gòu)HTTPRecord LayerTCPChange CipherAlertHand-shakeApplicationSecure Sockets LayerSSL原理握手協(xié)議在用SSL進(jìn)行通信之前，首先要使用SSL的HandShake協(xié)議在通信兩端握手，協(xié)商數(shù)據(jù)傳輸中要用到的相關(guān)安全參數(shù)（如加密算法、共享密鑰、產(chǎn)生密鑰所要的材料等），并對(duì)對(duì)端的身份進(jìn)行驗(yàn)證。ClientServerClientHelloServerHelloCertificate*Cer

4、tificate Request*ServerHelloDoneCertificate*Client Key ExchangeCertificate Verify*ChangeCipherSpecFinishedChange Cipher SpecFinishedServer Key Exchange*SSL 握手協(xié)議第一階段客戶端首先發(fā) Client Hello消息到服務(wù)器端，服務(wù)器端收到hello消息后再發(fā)Server hello消息回應(yīng)客戶端?？蛻舳朔?wù)器ClientHelloServerHelloSSL 握手協(xié)議第二階段服務(wù)器向客戶端發(fā)送消息。Certificate*Certifica

5、te Request*ServerHelloDoneServer Key Exchange*客戶端服務(wù)器SSL 握手協(xié)議第三階段客戶端收到服務(wù)器發(fā)送的一系列消息并消化后，發(fā)送客戶端相應(yīng)的消息給服務(wù)器。Certificate*Client Key ExchangeCertificate Verify*客戶端服務(wù)器SSL 握手協(xié)議第四階段完成握手協(xié)議，建立SSL 連接。ChangeCipherSpecFinishedChange Cipher SpecFinished客戶端服務(wù)器SSL原理會(huì)話恢復(fù)會(huì)話恢復(fù)是指只要客戶端和服務(wù)器已經(jīng)通信過一次，它們就可以通過會(huì)話恢復(fù)的方式來跳過整個(gè)握手階段而直接進(jìn)行數(shù)據(jù)傳輸。SSL采用會(huì)話恢復(fù)的方式來減少SSL握手過程中造成的巨大開銷。ClientServerClientHelloServerHelloChangeCipherSpecFinishedChangeCipherSpecFinished認(rèn)證授權(quán)認(rèn)證授權(quán)：本地認(rèn)證第三方服務(wù)器認(rèn)證授權(quán)（LDAP、AD、WebService）Internet遠(yuǎn)程訪問Web服務(wù)器OA服務(wù)器文件服務(wù)器認(rèn)證服務(wù)器目錄SSL VPN概述SSL VPN技術(shù)AnyOffice解決方案下的SSL VPNSSL VPN應(yīng)用