1安全網(wǎng)管技術(shù)/sundae_meng2第7章VPN技術(shù)及應(yīng)用本章主要內(nèi)容VPN介紹AccessVPNLAN-LANVPNMPLSVPNL2VPN/sundae_meng3參考資料：參考資料：安全體系結(jié)構(gòu)的設(shè)計(jì)、部署與操作，常曉波等譯，清華大學(xué)出版社CiscoNetworkers2003SEC-2011:DeployingSite-to-SiteIPSecVPNs/sundae_meng4VPN介紹VirtualPrivateNetwork虛擬專用網(wǎng)虛擬專用網(wǎng)不是真的專用網(wǎng)絡(luò)，但卻能夠?qū)崿F(xiàn)專用網(wǎng)絡(luò)的功能。虛擬專用網(wǎng)指的是依靠ISP（Internet服務(wù)提供商）和其它NSP（網(wǎng)絡(luò)服務(wù)提供商），在公用網(wǎng)絡(luò)中建立專用的數(shù)據(jù)通信網(wǎng)絡(luò)的技術(shù)。利用像Internet這樣的公共的或不安全的媒體，通過(guò)應(yīng)用多種技術(shù)提供用戶認(rèn)證、數(shù)據(jù)完整性和訪問(wèn)控制，從而提供網(wǎng)絡(luò)應(yīng)用程序之間的安全通信。在虛擬專用網(wǎng)中，任意兩個(gè)節(jié)點(diǎn)之間的連接并沒(méi)有傳統(tǒng)專網(wǎng)所需的端到端的物理鏈路，而是利用某種公眾網(wǎng)的資源動(dòng)態(tài)組成的。VPN不是一種單一的技術(shù)，而是具有若干特性的系統(tǒng)/sundae_meng5VPN介紹IETF草案理解基于IP的VPN為：“使用IP機(jī)制仿真出一個(gè)私有的廣域網(wǎng)”。通過(guò)私有的隧道技術(shù)在公共數(shù)據(jù)網(wǎng)絡(luò)上仿真一條點(diǎn)到點(diǎn)的專線技術(shù)。所謂虛擬，是指用戶不再需要擁有實(shí)際的長(zhǎng)途數(shù)據(jù)線路，而是使用Internet公眾數(shù)據(jù)網(wǎng)絡(luò)的長(zhǎng)途數(shù)據(jù)線路。所謂專用網(wǎng)絡(luò)，是指用戶可以為自己制定一個(gè)最符合自己需求的網(wǎng)絡(luò)。本章討論的虛擬專用網(wǎng)一般指的是建筑在Internet上能夠自我管理的專用網(wǎng)絡(luò)，而不是FrameRelay或ATM等提供虛擬固定線路（PVC）服務(wù)的網(wǎng)絡(luò)。以IP為主要通訊協(xié)議的VPN，也可稱之為IP-VPN。/sundae_meng6VPN的安全性VPN的主要目的是保護(hù)傳輸數(shù)據(jù)必須具備4個(gè)關(guān)鍵功能認(rèn)證：數(shù)據(jù)傳輸?shù)膩?lái)源確如其聲明所言，目的地確實(shí)是數(shù)據(jù)期望到達(dá)的位置訪問(wèn)控制：限制對(duì)網(wǎng)絡(luò)未經(jīng)授權(quán)的訪問(wèn)機(jī)密性：防止數(shù)據(jù)在通過(guò)網(wǎng)絡(luò)時(shí)被察看數(shù)據(jù)完整性：防止傳輸中對(duì)數(shù)據(jù)的任何篡改VPN的目的是保護(hù)從信道的一個(gè)端點(diǎn)到另一端點(diǎn)傳輸?shù)男畔⒘餍诺赖亩它c(diǎn)之前和之后，VPN不提供任何的數(shù)據(jù)包保護(hù)/sundae_meng7為什么選擇VPN成本低是最大的優(yōu)勢(shì)傳統(tǒng)方式是租用專線建設(shè)自己的網(wǎng)絡(luò)系統(tǒng)Internet能以很低的代價(jià)提供高帶寬的鏈路，缺點(diǎn)是安全性不高由于VPN是在Internet上臨時(shí)建立的安全專用虛擬網(wǎng)絡(luò)，用戶就節(jié)省了租用專線的費(fèi)用，在運(yùn)行的資金支出上，除了購(gòu)買(mǎi)VPN設(shè)備，企業(yè)所付出的僅僅是向企業(yè)所在地的ISP支付一定的上網(wǎng)費(fèi)用，也節(jié)省了長(zhǎng)途電話費(fèi)。這就是VPN價(jià)格低廉的原因。如2M的專線，國(guó)內(nèi)長(zhǎng)途6000/月，對(duì)應(yīng)的10MInternet鏈路一般2000/月/sundae_meng8為什么選擇VPN靈活性高只要有Internet鏈路，隨時(shí)可以建立VPN鏈路對(duì)于單個(gè)用戶，使用VPN可以在任何地方安全訪問(wèn)內(nèi)部網(wǎng)/sundae_meng9VPN的類型每種VPN都具有特定的要求和優(yōu)先權(quán)，實(shí)現(xiàn)的目的、解決的問(wèn)題也不同用于移動(dòng)工作者的遠(yuǎn)程訪問(wèn)Client-LANVPN，也叫AccessVPN替代早期的撥號(hào)遠(yuǎn)程訪問(wèn)網(wǎng)絡(luò)用于局域網(wǎng)間連接的PNLAN-LAN型IntranetVPN和ExtranetVPN/sundae_meng10VPN的特性考慮安全性隧道、加密、密鑰管理、數(shù)據(jù)包認(rèn)證、用戶認(rèn)證、訪問(wèn)控制可靠性硬件、軟件、基礎(chǔ)網(wǎng)絡(luò)的可靠性可管理性記帳、審核、日志的管理是否支持集中的安全控制策略可擴(kuò)展性成本的可擴(kuò)展性，如使用令牌卡成本高性能，是否考慮采用硬件加速加解密速度/sundae_meng11VPN的特性考慮可用性系統(tǒng)對(duì)應(yīng)用盡量透明對(duì)終端用戶來(lái)說(shuō)使用方便互操作性盡量采用標(biāo)準(zhǔn)協(xié)議，與其他供應(yīng)商的設(shè)備能互通服務(wù)質(zhì)量QoS通過(guò)Internet連接的VPN服務(wù)質(zhì)量很大程度取決于Internet的狀況多協(xié)議支持IPX?/sundae_meng12VPN涉及的技術(shù)隧道技術(shù)Tunnel/sundae_meng13IPTunnelNSRC、NDST是隧道端點(diǎn)設(shè)備的IP地址公網(wǎng)上路由時(shí)僅僅考慮NSRC、NDST原始數(shù)據(jù)包的DST、SRC對(duì)公網(wǎng)透明DSTSRCDATANDSTNSRCDSTSRCDATA/sundae_meng14隧道技術(shù)第二層隧道把網(wǎng)絡(luò)數(shù)據(jù)包封裝在PPP協(xié)議中，PPP協(xié)議的數(shù)據(jù)包放到隧道中傳輸L2TP、PPTP（集成在windows中，所以最常用）第三層隧道把網(wǎng)絡(luò)數(shù)據(jù)包指直接在隧道中傳輸IPsec利用隧道技術(shù)，理論上任何協(xié)議的數(shù)據(jù)都可以透過(guò)IP網(wǎng)絡(luò)傳輸/sundae_meng15加密/解密技術(shù)對(duì)稱加密技術(shù)速度快，常用的DES、3DES、IDEA等缺點(diǎn)是密鑰傳遞不方便經(jīng)常被用來(lái)對(duì)數(shù)據(jù)進(jìn)行加/解密處理，提高保密性公鑰加密技術(shù)速度慢，常用的RSA、Diffie-Hellman用于簽名和會(huì)話的密鑰交換哈希函數(shù)速度快產(chǎn)生的消息摘要用于信息的完整性檢查/sundae_meng16認(rèn)證系統(tǒng)VPN設(shè)備間的認(rèn)證通過(guò)密碼、密鑰、證書(shū)等認(rèn)證如果使用證書(shū)，可以考慮使用自己的CA或第三方的CA對(duì)于AccessVPN，對(duì)個(gè)人進(jìn)行認(rèn)證簡(jiǎn)單密碼、一次性密碼S/KEY、基于硬件的令牌（令牌卡、智能卡、PC卡、USB卡）生理ID(指紋、聲音、視網(wǎng)膜掃描)/sundae_meng17安全協(xié)議IPSec3層協(xié)議，直接傳輸網(wǎng)絡(luò)協(xié)議數(shù)據(jù)包基于TCP/IP的標(biāo)準(zhǔn)協(xié)議，集成到IPv6中，僅僅傳輸IP協(xié)議數(shù)據(jù)包提供了強(qiáng)大的安全、加密、認(rèn)證和密鑰管理功能適合大規(guī)模VPN使用/sundae_meng18安全協(xié)議PPTPPoint-to-PointTunnelProtocol,2層協(xié)議，需要把網(wǎng)絡(luò)協(xié)議包封裝到PPP包，PPP數(shù)據(jù)依靠PPTP協(xié)議傳輸PPTP通信時(shí)，客戶機(jī)和服務(wù)器間有2個(gè)通道，一個(gè)通道是tcp1723端口的控制連接，另一個(gè)通道是傳輸GREPPP數(shù)據(jù)包的IP隧道PPTP沒(méi)有加密、認(rèn)證等安全措施，安全的加強(qiáng)通過(guò)PPP協(xié)議的MPPE(MicrosoftPoint-to-PointEncryption)實(shí)現(xiàn)windows中集成了PPTPServer和Client，適合中小企業(yè)支持少量移動(dòng)工作者如果有防火墻的存在或使用了地址轉(zhuǎn)換，PPTP可能無(wú)法工作/sundae_meng19安全協(xié)議L2TPRFC2661定義在Cisco公司的L2F和PPTP的基礎(chǔ)上開(kāi)發(fā)使用并不普遍統(tǒng)計(jì)數(shù)字80%用PPTP，13%用Ipsec/sundae_meng20VPN解決方案一個(gè)VPN解決方案不僅僅是一個(gè)經(jīng)過(guò)加密的隧道，它包含訪問(wèn)控制、認(rèn)證、加密、隧道傳輸、路由選擇、過(guò)濾、高可用性、服務(wù)質(zhì)量以及管理VPN系統(tǒng)大體分為4類專用的VPN硬件支持VPN的硬件或軟件防火墻VPN軟件VPN服務(wù)提供商前面提到的VPN是獨(dú)立于網(wǎng)絡(luò)服務(wù)提供商的，但是服務(wù)器提供商也會(huì)提供某種“VPN”接入/sundae_meng21AccessVPN這種類型的VPN與傳統(tǒng)的遠(yuǎn)程訪問(wèn)網(wǎng)絡(luò)相對(duì)應(yīng)。如果企業(yè)的內(nèi)部人員移動(dòng)或有遠(yuǎn)程辦公需要，可以考慮使用AccessVPN。AccessVPN通過(guò)一個(gè)擁有與專用網(wǎng)絡(luò)相同策略的共享基礎(chǔ)設(shè)施，提供對(duì)企業(yè)內(nèi)部網(wǎng)或外部網(wǎng)的遠(yuǎn)程訪問(wèn)。AccessVPN能使用戶隨時(shí)、隨地以其所需的方式訪問(wèn)企業(yè)資源。AccessVPN包括模擬、撥號(hào)、ISDN、數(shù)字用戶線路(xDSL)、移動(dòng)IP和電纜技術(shù)，能夠安全地連接移動(dòng)用戶、遠(yuǎn)程工作者或分支機(jī)構(gòu)。/sundae_meng22AccessVPN/sundae_meng23AccessVPNAccessVPN工作時(shí)，遠(yuǎn)程客戶通過(guò)撥號(hào)線路連接到ISP的NAS服務(wù)器上，經(jīng)過(guò)身份認(rèn)證后，通過(guò)公網(wǎng)跟公司內(nèi)部的VPN網(wǎng)關(guān)之間建立一個(gè)隧道，利用這個(gè)隧道對(duì)數(shù)據(jù)進(jìn)行加密傳輸。AccessVPN最適用于公司內(nèi)部經(jīng)常有流動(dòng)人員遠(yuǎn)程辦公的情況。出差員工利用當(dāng)?shù)豂SP提供的VPN服務(wù)，就可以和公司的VPN網(wǎng)關(guān)建立私有的隧道連接。RADIUS服務(wù)器可對(duì)員工進(jìn)行驗(yàn)證和授權(quán)，保證連接的安全，同時(shí)負(fù)擔(dān)的電話費(fèi)用大大降低。一般使用PPTP或L2TP技術(shù)/sundae_meng24AccessVPNAccessVPN對(duì)用戶的吸引力在于：減少用于相關(guān)的調(diào)制解調(diào)器和終端服務(wù)設(shè)備的資金及費(fèi)用，簡(jiǎn)化網(wǎng)絡(luò)；實(shí)現(xiàn)本地?fù)芴?hào)接入的功能來(lái)取代遠(yuǎn)距離接入，顯著降低遠(yuǎn)距離通信的費(fèi)用；極大的可擴(kuò)展性，簡(jiǎn)便地對(duì)加入網(wǎng)絡(luò)的新用戶進(jìn)行調(diào)度；遠(yuǎn)端驗(yàn)證撥入用戶服務(wù)（RADIUS）基于標(biāo)準(zhǔn)，基于策略功能的安全服務(wù)；寬帶網(wǎng)環(huán)境下提供高速的遠(yuǎn)程接入。/sundae_meng25AccessVPN的實(shí)現(xiàn)方式客戶驅(qū)動(dòng)方式客戶端首先建立與本地ISP的PPP連接，這時(shí)客戶端可訪問(wèn)Internet，也可訪問(wèn)企業(yè)網(wǎng)設(shè)置的VPN網(wǎng)關(guān)。下一步就是建立到VPN網(wǎng)關(guān)的PPTP連接，連接建立后，遠(yuǎn)程用戶就好像在企業(yè)網(wǎng)內(nèi)部一樣。隧道起始于遠(yuǎn)程用戶的計(jì)算機(jī)，終結(jié)于企業(yè)網(wǎng)內(nèi)的VPN網(wǎng)關(guān)。遠(yuǎn)程用戶經(jīng)由Internet訪問(wèn)企業(yè)的網(wǎng)絡(luò)和應(yīng)用，而不再需要直接撥號(hào)至企業(yè)的網(wǎng)絡(luò)。利用這種體系結(jié)構(gòu)，用戶并不需要

ISP提供與VPN相關(guān)的附加服務(wù)。ISP也感知不到用戶在使用VPN服務(wù)。這種方式一般使用PPTP協(xié)議。/sundae_meng26AccessVPN的實(shí)現(xiàn)方式網(wǎng)絡(luò)接入服務(wù)器（NAS）驅(qū)動(dòng)的連接遠(yuǎn)端用戶首先撥號(hào)到ISP的撥號(hào)服務(wù)器NAS。NAS在對(duì)用戶進(jìn)行身份驗(yàn)證時(shí)得知用戶是一個(gè)VPN用戶，然后NAS建立一條安全的、加密的隧道連接到企業(yè)網(wǎng)絡(luò)的VPN網(wǎng)關(guān)。這條隧道起始于NAS，終結(jié)于企業(yè)網(wǎng)內(nèi)的VPN網(wǎng)關(guān)。利用由NAS驅(qū)動(dòng)的體系結(jié)構(gòu)，服務(wù)供應(yīng)商對(duì)用戶的身份進(jìn)行驗(yàn)證；企業(yè)仍保留有控制他們自己的安全策略、對(duì)用戶進(jìn)行身份驗(yàn)證、授與用戶訪問(wèn)權(quán)限并在網(wǎng)絡(luò)上跟蹤用戶活動(dòng)的權(quán)力。使用這種體系結(jié)構(gòu)需要服務(wù)供應(yīng)商支持，而且存在一個(gè)問(wèn)題——遠(yuǎn)端用戶接入服務(wù)供應(yīng)商的營(yíng)業(yè)點(diǎn)之前的數(shù)據(jù)是未經(jīng)加密的。這種方式一般使用L2TP協(xié)議。/sundae_meng27AccessVPN的實(shí)現(xiàn)方式網(wǎng)絡(luò)接入服務(wù)器（NAS）驅(qū)動(dòng)的連接L2TP協(xié)議通過(guò)“虛擬撥號(hào)”業(yè)務(wù)將初始撥號(hào)服務(wù)器的地點(diǎn)和撥號(hào)協(xié)議所連接的終點(diǎn)分離開(kāi)來(lái)。當(dāng)“虛擬撥號(hào)”客戶開(kāi)始接入時(shí)，遠(yuǎn)程用戶和它們的ISP的NAS之間就建立了一個(gè)PPP鏈路。ISP接著對(duì)端系統(tǒng)或用戶進(jìn)行部分鑒別以判斷此用戶是否需要“虛擬撥號(hào)”業(yè)務(wù)，一旦確定需要，那么此用戶名就會(huì)和VPN網(wǎng)絡(luò)中心服務(wù)器聯(lián)系起來(lái)。并在NAS和VPN中心服務(wù)器之間就建立了一條L2TP隧道。目前中國(guó)電信推出的VPDN服務(wù)就是采用這種方式。需要NAS、認(rèn)證系統(tǒng)、計(jì)費(fèi)系統(tǒng)、企業(yè)網(wǎng)VPN接入設(shè)備的支持就可以工作了。/sundae_meng28AccessVPN/sundae_meng29AccessVPN在無(wú)線網(wǎng)下的應(yīng)用由于無(wú)線網(wǎng)提供的加密/解密手段不多，很容易被竊聽(tīng)無(wú)線網(wǎng)用戶通過(guò)在無(wú)線網(wǎng)上使用PPTPVPN來(lái)增強(qiáng)安全性無(wú)線網(wǎng)用戶通過(guò)普通的網(wǎng)絡(luò)連接到VPNServer，然后在無(wú)線網(wǎng)節(jié)點(diǎn)和VPNserver間建立VPNVPN可以保證從無(wú)線網(wǎng)節(jié)點(diǎn)到VPNServer之間的通信都是安全的/sundae_meng30案例需求：中國(guó)科學(xué)技術(shù)大學(xué)為外部移動(dòng)用戶提供VPN接入服務(wù)，接入VPN后的用戶擁有校內(nèi)用戶完全相同的訪問(wèn)權(quán)限，以便訪問(wèn)各種校內(nèi)外電子資源設(shè)計(jì)：建設(shè)一個(gè)AccessVPN系統(tǒng)校內(nèi)設(shè)置一臺(tái)VPN服務(wù)器，運(yùn)行Windows2000Server作為PPTP接入服務(wù)器使用PPTP接入服務(wù)器使用radius協(xié)議對(duì)用戶的接入請(qǐng)求進(jìn)行身份驗(yàn)證/sundae_meng31科大的VPN解決方案PPTPServerRadiusServerRemoteUser其中還要考慮策略路由Internet出口Internet/sundae_meng32LAN-LAN型VPN企業(yè)內(nèi)部各分支機(jī)構(gòu)的互連或者企業(yè)的合作者互連，使用LAN-LANVPN是很好的方式。越來(lái)越多的企業(yè)需要在全國(guó)乃至世界范圍內(nèi)建立各種辦事機(jī)構(gòu)、分公司、研究所等，各個(gè)分公司之間傳統(tǒng)的網(wǎng)絡(luò)連接方式一般是租用專線。顯然，在分公司增多、業(yè)務(wù)開(kāi)展越來(lái)越廣泛時(shí)，網(wǎng)絡(luò)結(jié)構(gòu)趨于復(fù)雜，費(fèi)用昂貴。利用VPN特性可以在Internet上組建世界范圍內(nèi)的LAN-LANVPN。利用Internet的線路保證網(wǎng)絡(luò)的互聯(lián)性，而利用隧道、加密等VPN特性可以保證信息在整個(gè)LAN-LANVPN上安全傳輸。/sundae_meng33LAN-LAN型VPNLAN-LANVPN通過(guò)一個(gè)使用專用連接的共享基礎(chǔ)設(shè)施，連接企業(yè)總部、遠(yuǎn)程辦事處和分支機(jī)構(gòu)。企業(yè)擁有與專用網(wǎng)絡(luò)的相同政策，包括安全、服務(wù)質(zhì)量(QoS)、可管理性和可靠性。/sundae_meng34LAN-LAN型VPN/sundae_meng35LAN-LAN型VPN的優(yōu)勢(shì)減少WAN帶寬的費(fèi)用，Internet線路的租用費(fèi)用遠(yuǎn)低于專線費(fèi)用能使用更靈活的拓?fù)浣Y(jié)構(gòu)，包括全網(wǎng)絡(luò)連接新的站點(diǎn)能更快、更容易地被連接通過(guò)設(shè)備供應(yīng)商WAN的連接冗余，可以延長(zhǎng)網(wǎng)絡(luò)的可用時(shí)間。/sundae_meng36

LAN-LAN型VPN主要使用IPsec技術(shù)在ISP提供的不安全I(xiàn)P傳輸通道上，用戶通過(guò)設(shè)置VPN網(wǎng)關(guān)，將多個(gè)地方的LAN連接起