第九章

虛擬專用網(wǎng)絡(luò)(VPN)第九章

虛擬專用網(wǎng)絡(luò)(VPN)9.1VPN的概念9.2VPN的特點(diǎn)9.3VPN的主要技術(shù)9.4VPN的建立方式9.1VPN的概念虛擬專用網(wǎng)絡(luò)(VirtualPrivateNetwork，VPN)被定義為通過一個(gè)公用網(wǎng)絡(luò)（通常是因特網(wǎng)）建立一個(gè)臨時(shí)的、安全的連接，是一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道9.1VPN的概念VPN的主要用途：通過Internet實(shí)現(xiàn)遠(yuǎn)程用戶訪問通過Internet實(shí)現(xiàn)網(wǎng)絡(luò)互連使用專線連接分支機(jī)構(gòu)和企業(yè)局域網(wǎng)使用撥號(hào)線路連接分支機(jī)構(gòu)和企業(yè)局域網(wǎng)連接企業(yè)內(nèi)部網(wǎng)絡(luò)計(jì)算機(jī)9.2VPN的特點(diǎn)安全保障服務(wù)質(zhì)量保證可擴(kuò)充性和靈活性可管理性9.3VPN的主要技術(shù)9.3.1隧道技術(shù)9.3.2安全技術(shù)9.3.1隧道技術(shù)隧道技術(shù)是一種通過使用互聯(lián)網(wǎng)絡(luò)的基礎(chǔ)設(shè)施在網(wǎng)絡(luò)之間傳遞數(shù)據(jù)的方式。使用隧道傳遞的數(shù)據(jù)（或負(fù)載）可以是不同協(xié)議的數(shù)據(jù)幀或包。隧道協(xié)議將這些其它協(xié)議的數(shù)據(jù)幀或包重新封裝在新的包頭中發(fā)送。新的包頭提供了路由信息，從而使封裝的負(fù)載數(shù)據(jù)能夠通過互聯(lián)網(wǎng)絡(luò)傳遞。9.3.1隧道技術(shù)VPN按照在OSI網(wǎng)絡(luò)模型中實(shí)現(xiàn)的層次可以分為第二層隧道、第三層隧道和會(huì)話層隧道。所謂第二層VPN就是在OSI的第二層，使用幀作為數(shù)據(jù)交換單位所謂第三層VPN就是在網(wǎng)絡(luò)參考模型的第三層，使用包作為數(shù)據(jù)交換單位會(huì)話層隧道，有非常詳細(xì)的訪問控制，所以適用于安全性較高的VPN9.3.2安全技術(shù)除隧道技術(shù)外，VPN中的安全技術(shù)通常還有：加解密技木密鑰管理技術(shù)使用者與設(shè)備身份認(rèn)證技術(shù)9.4VPN的建立方式9.4.1Host對(duì)Host模式9.4.2Host對(duì)VPN網(wǎng)關(guān)模式9.4.3VPN對(duì)VPN網(wǎng)關(guān)9.4.4RemoteUser對(duì)VPN網(wǎng)關(guān)模式9.4.1Host對(duì)Host模式要求通過VPN交換數(shù)據(jù)的兩個(gè)網(wǎng)絡(luò)內(nèi)部的主機(jī)支持類似IPsec的協(xié)議，而兩端網(wǎng)絡(luò)與Internet的接入VPN網(wǎng)管則可以不支持IPsec協(xié)議9.4.2Host對(duì)VPN網(wǎng)關(guān)模式要求處于一端的主機(jī)都支持IPSec，而另一端的VPN網(wǎng)關(guān)必須支持IPSec協(xié)議9.4.3VPN對(duì)VPN網(wǎng)關(guān)不要求主機(jī)支持IPSec，而要求VPN網(wǎng)關(guān)必須支持IPsec9.4.4RemoteUser對(duì)VPN網(wǎng)關(guān)模式針對(duì)遠(yuǎn)程用戶通過