第四章網絡安全技術-VPN技術計算機系統(tǒng)與網絡安全技術網絡接入與安全用戶需要通過服務器提供商（ISP：InternetServiceProvider）所提供的公用網絡來建立連接對于公用的網絡信道來說，它無法抵御竊聽、欺騙等攻擊是不安全的信道VPN技術虛擬專用網絡虛擬專用網絡，也叫虛擬專網（VPN：irtualPrivateNetwork），是在不安全的公共網絡上建立一條虛擬的安全專用信道，從而允許用戶在不安全網絡上進行安全通信的一種網絡接入技術。任意兩個節(jié)點之間的連接并不像傳統(tǒng)專網那樣獨享端到端的物理鏈路，而是通過對公共通信基礎設施的通信介質進行某種安全保護割是虛擬的網VPN技術專用網絡虛擬專用網絡的特點（1）安全性好由于VPN能建立安全的虛擬專用數(shù)據(jù)通道，保證了通信的安全性，因此借助于VPN能夠實現(xiàn)用戶之間的安全通信。VPN技術（2）成本低VPN不需要在節(jié)點之間建立專用的物理連路，而是利用公共網絡基礎設施來組建網絡，因此大大降低了網絡維護和設備費用，節(jié)約了成本。（3）使用方便覆蓋地域廣泛，其接入點也是無處不在。虛擬專用網絡的特點（4）可擴展性強VPN可以非常方便地增加或減少用戶。VPN技術（5）便于管理VPN不需要關心公共網絡的各種安全威脅，只需要解決利用VPN所建立的企業(yè)內部網絡的安全問題即可，因此減少了管理復雜性。虛擬專用網絡中的隧道技術隧道技術（Tunneling）是一種通過使用互聯(lián)網絡的基礎設施在網絡之間傳遞數(shù)據(jù)的方式。隧道將將其它協(xié)議的數(shù)據(jù)重新封裝然后通過隧道發(fā)送。VPN技術隧道協(xié)議（TunnelingProtocol）也叫封裝協(xié)議，是指將一種協(xié)議的數(shù)據(jù)單元封裝在另一種協(xié)議數(shù)據(jù)單元中傳輸?shù)膮f(xié)議。隧道協(xié)議不是單只某個協(xié)議，而是指用于實現(xiàn)隧道的一組協(xié)議新的數(shù)據(jù)包中，新的包頭提供路由信息。除非特別說明，隧道協(xié)議就是封裝協(xié)議虛擬專用網絡中的隧道技術隧道技術是實現(xiàn)VPN的基本技術，其實質上是一種封裝將一種協(xié)議（如協(xié)議X）封裝在另一種協(xié)議（如協(xié)議Y）中傳輸VPN技術隧道協(xié)議（TunnelingProtocol）的構成乘客協(xié)議：被封裝的協(xié)議，如PPP、SLIP、IP、TC、HTTP協(xié)議實現(xiàn)協(xié)議X對公共網絡的透明傳輸封裝協(xié)議：也叫隧道協(xié)議，隧道的建立、維持和斷開所采用的協(xié)議，如L2TP、IPSec、SSL等承載協(xié)議：承載經過封裝后的數(shù)據(jù)包的協(xié)議，如IP協(xié)議、PPP協(xié)議等。隧道協(xié)議舉例將TCP數(shù)據(jù)包封裝到HTTP協(xié)議中，并利用UDP協(xié)議進行傳輸TCP協(xié)議就是乘客協(xié)議VPN技術HTTP協(xié)議就是封裝協(xié)議UDP協(xié)議就是承載協(xié)議按應用平臺軟件平臺專用硬件平臺輔助硬件平臺按協(xié)議PPTPL2TPIPSec按部署模式端到端模式供應商到用戶模式內部供應商模式按服務類型AccessVPNIntranetVPNExtranetVPN按所用設備的類型路由器式VPN交換機式VPN防火墻式VPNVPN分類第二層VPN協(xié)議：第二層轉發(fā)協(xié)議（L2F）、第二層隧道協(xié)議（L2TP）、點到點隧道協(xié)議（PPTP）

第三層協(xié)議：GRE協(xié)議、IPSec協(xié)議第四層隧道協(xié)議：SSL/TLS協(xié)議

VPN技術主要VPN協(xié)議常見VPN協(xié)議比較VPN技術協(xié)議所屬網絡層加密認證安全性復雜性備注L2F數(shù)據(jù)鏈路層支持支持一般一般僅支持PPP協(xié)議L2TP數(shù)據(jù)鏈路層不支持支持無一般與IPSec結合使用PPTP數(shù)據(jù)鏈路層支持支持一般一般僅支持Windows系統(tǒng)GRE網絡層不支持