保密安全与密码技术-4VPN课件.pptx

《保密安全与密码技术-4VPN课件.pptx》由会员分享，可在线阅读，更多相关《保密安全与密码技术-4VPN课件.pptx（60页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、保密安全与密码技术第四讲 虚拟专用网VPN技术nVPN 的定义和发展概况的定义和发展概况nVPN的需求和设计原则的需求和设计原则nVPN 的相关技术的相关技术n几种常见的几种常见的VPN课程目标nVirtual Private Networkn虚拟“virtual”指没有物理的连接存在于2个网络间；事实上，连接是通过Internet的路由完成的；n专用“private”指传输的数据是保密的(通过加密和安全隧道)；n网络“network”指利用各种网络（私有、公用、有线无线等等）构成的通信手段。VPN定义VPN定义n虚拟专用网络可以实现不同网络的组件和资源之间的相互连接。虚拟专用网络能够利用In

2、ternet或其它公共互联网络的基础设施为用户创建隧道，并提供与专用网络一样的安全和功能保障。n在虚拟专网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。n是通过隧道技术在公共数据网络上虚拟出一条点到点的专线技术。Tunneling through the Internet为什么要VPNn资源访问限制于某些IP地址n通过防火墙不能访问资源n内部人员需要在外面访问内部网络n雇员可能在外地，需要访问内部网络n专有网太贵n外地的雇员也可能不是定点的VPN的发展n业务需求的变化导致了此业务的产生和发展n1970年PN L1-1990年FR（帧中继）的

3、出现是VPN的首次出现(L2)-IP VPN的提出n外包模式促进了CPE-based VPN-Network based VPN的转化nVPN 的定义和发展概况的定义和发展概况nVPN的需求和设计原则的需求和设计原则nVPN 的相关技术的相关技术n几种常见的几种常见的VPN课程目标对VPN的需求n安全保障VPN应保证通过公用网络平台传输数据的专用性和安全性，这是目前公共Internet所无法提供的功能 n服务质量（QoS）保证对不同的用户提供不同的服务质量，如带宽、延时等保证，这取决于广域网上是否提供QoS保证n可扩充性和灵活性便于增加新的节点，支持多种类型的传输媒体n可管理性易于维护和管理V

4、PN设计原则安全性原则n隧道与加密n数据验证n用户识别与设备验证n入侵检测，网络接入控制隧道与加密应用和业务服务器总部网络中心分支机构合作伙伴secpointAAA服务器出差员工IPSEC+L2TPIPSEC+GRElL2TP隧道协议最适合移动用户的VPN接入lGRE隧道协议最适合站点到站点的VPN接入，支持动态路由协议lIPSEC提供数据加密和数据完整性数据验证nIPSEC协议提供特定的通信双方之间在IP层通过加密与数据源验证，以保证数据包在Internet网上传输时的私有性、完整性和真实性。用在VPN上IPSEC协议族与其他隧道协议相配合完成VPN数据报文的加密和验证。IPSEC用户识别与

5、设备验证nVPN可使合法用户访问他们所需的企业资源，同时还要禁止未可使合法用户访问他们所需的企业资源，同时还要禁止未授权用户的非法访问。这一点对于授权用户的非法访问。这一点对于Access VPN和和Extranet VPN具有尤为重要的意义。建立具有尤为重要的意义。建立VPN连接的设备之间进行验证连接的设备之间进行验证可以确保可以确保VPN隧道的安全可靠。隧道的安全可靠。设备验证设备验证 SecurID 数字证书数字证书 SecKey认证服务器认证服务器用户识别用户识别入侵检测，网络接入控制n网络入侵检测系统需要同VPN设备进行配合，通过分析源自或送至VPN设备的信息流，避免通过VPN连接使

6、内部网络受到攻击。n一般来讲VPN接入的用户可以访问内部网络中大部分资源，可以考虑对VPN接入用户进行分级和控制，确保内部网络的运行安全。VPN设计原则QoS保障n构建VPN的另一重要需求是充分有效地利用有限的广域网资源，为重要数据提供可靠的带宽。VPN网络中的QoS需要考虑如下问题：QoS需要在数据通过的整个路径包含的各个设备上进行部署VPN隧道技术对原始数据进行了再次封装，QoS策略中的特征值需要进行额外映射QoS中的流分类动作必须在数据进行VPN封装前完成nVPN 的定义和发展概况的定义和发展概况nVPN的需求和设计原则的需求和设计原则nVPN 的相关技术的相关技术n几种常见的几种常见的

7、VPN课程目标建立VPN所需的安全技术nVPN主要采用四项技术来保证安全，这四项技术分别为隧道技术（Tunneling）加解密技术（Encryption&Decryption）密钥管理技术（Key Management）认证技术（Authentication）隧道技术n隧道技术就是利用隧道协议对隧道两端的数据进行封装的技术，隧道协议通常分别是第2层或第3层隧道协议n第3层隧道协议IPSEC：本身不是隧道协议，但由于其提供的认证、加密功能适用于建立VPN环境，它既能提供LAN间VPN，也能提供远程访问型VPN隧道技术n第2层隧道协议第二层隧道协议是先把各种网络协议封装到PPP中，再把整个数据包装

8、入隧道协议中。这种双层封装方法形成的数据包靠第二层协议进行传输。第二层隧道协议有L2F、PPTP、L2TP等。L2F（Layer 2 Forwarding）/PPTP（Point-to-Point Tunneling Protocol）/L2TP（Layer 2 Tunneling Protocol）都是远程访问VPN的协议，L2TP协议是目前IETF的标准，是在L2F和PPTP基础上进行综合，其格式是基于L2F，信令是基于PPTP。隧道技术不同隧道实现技术比较协议名称RFC编号封装化协议号码L2/L3加密与否LAN间连接型VPN远程访问型VPNL2F2341L2FUDP(17)第2层否PPT

9、P草案GREGRE(47)第2层否L2TP草案L2TPUDP(17)第2层否ATMP2107GREGRE(47)第3层否BayDVS无GREGRE(47)第3层否GRE1701GREGRE(47)第3层否IPsec ESP2406ESPESP(50)第3层是IPsec AH2402AHAH(51)第3层否第2层隧道协议nL2F（Layer 2 Forwarding）：1998年标准化的远程访问VPN的协议。它是基于ISP的由若干远程接入服务器（remote access server）提供VPN功能的协议。n PPTP（Point to Point Tunneling Protocol）也是为

10、实现基于ISP的远程访问VPN而制订的协议。在分组和封装化头标中采用了扩展GRE（Generic Routing Encapsulation：通用寻路封装）。在Windows微机中将GRE作为标准功能提供，是当前最易于使用的VPN协议。n L2TP（Layer 2 Tunneling Protocol）是远程访问型VPN今后的标准协议。它将PPTP和L2F综合，以便扩展功能。其格式基于L2F，信令（signaling）基于PPTP。L2FnCisco在1998年5月发表标题为“Cisco的2层发送(协议)L2F”的RFC2341。nL2F主要强调的是将物理层协议移到链路层，并允许通过Inter

11、net光缆的链路层和较高层协议的传输。物理层协议仍然保持在对该ISP的拨号连接中。nL2F还解决IP写地址和记帐的问题；n初始连接：使用标准PPP。n验证：使用标准CHAP或者做某些修改。n封装：在L2F数据报中封装整个PPP或SLIP包所需要的协议。点到点隧道协议(PPTP)nPPTP协议基础：点到点协议(PPP,Point-to-Point Protocol),RFC1171；口令验证协议(PAP,Password Authentication Protocol)，RFC1172；通用路由选择封装协议(GRE,Generic Routing Encapsulation)，RFC1701；P

12、PP挑战握手验证协议(CHAP,Challenge Handshake Authentication Protocol)，RFC1994；nPPTP体系结构使用三个过程：PPP连接和通信。PPTP控制连接，它建立到Internet的PPTP服务器上的连接，并建立一个虚拟隧道。PPTP数据隧道，在隧道中PPTP协议建立包含加密的PPP包的IP数据报，这些数据报通过PPTP隧道进行发送。L2TPn尽管技术上是相同的，但厂商和用户都会察觉PPTP和L2F有明显的不同。PPTP受到Microsoft的关爱，它拥有世界上绝大多数的桌面电脑，而L2F受到Cisco的关注，它主要用于Internet。n尽管

13、PPTP和L2F都使用封装和加密，但它们互相不兼容。nIETF建议将PPTP和L2F的最优秀的部分组成一个工业标准，并称为第2层隧道协议(L2TP)。L2TPnL2TP是连接型的隧道封装协议，适用于通过Internet接纳远程用户的远程访问型VPN。n特点：接纳移动用户（指拔号上网），每次连接都进行用户认证支持多协议（因为L2TP协议封装在PPP之外，PPP具有支持多种网络协议的功能）n组成：LAC：L2TP接入集中器（L2TP Access Concentrator），是接在公网上的用户拔号设备，通常配置在ISP接入点的接入服务器具有LAC功能LNS：L2TP网络服务器（L2TP Netwo

14、rk Server），管理隧道，通常安装在企业网内基于服务器的认证方式-RADIUSnRADIUS（Remote Authentication Dial In User Service）由朗讯开发，1997年1月公布在RFC2058，用于AAA（Authentication、Authorization and Accounting）认证，基于客户/服务器方式nVPN 的定义和发展概况的定义和发展概况nVPN的需求和设计原则的需求和设计原则nVPN 的相关技术的相关技术n几种常见的几种常见的VPN课程目标VPN类型n按技术分类基于第二层隧道技术的VPNIPSec VPNMPLS VPNSSL V

15、PNn按应用分类远程访问型LAN间互连层层2发送协议发送协议(L2F)层层2隧道协议隧道协议(L2TP)点到点隧道协议点到点隧道协议(PPTP)nL2TP VPN 的设计的设计nIPSec VPN 的设计的设计nMPLS VPN 的设计的设计n几种常见几种常见VPN的比较的比较几种常见的VPNL2TP 连接方式选择nL2TP VPN适用于移动办公用户的VPN接入，可以提供严格的用户验证功能，确保VPN接入用户的合法性。nL2TP VPN的连接方式分为两种：PC直接发起连接和LAC设备发起连接。两种方式适用于不同企业对于VPN接入控制和管理的不同要求。L2TP 安全性考虑nL2TP VPN本身虽

16、然提供较为严格的接入用户的认本身虽然提供较为严格的接入用户的认证功能，但不提供证功能，但不提供VPN数据的加密功能，如果需要数据的加密功能，如果需要对数据进行安全加密可以同对数据进行安全加密可以同IPSEC协议进行配合。协议进行配合。LACClientLNSHOSTHome LANInternetL2TP OVER IPSECL2TP客户端功能 n扩展了标准的L2TP功能，支持LAC客户端功能，不仅可以为PPP用户提供接入，而且也可以为其他连接方式的用户提供接入，例如以太网接入。并且可以适用动态路由协议进行路由选路，增强了可扩展性。ClientLNSHOSTHome LANInternetL2

17、TP TUNNELPUB:1.1.1.1PUB:1.1.1.2LACVT:192.168.0.1VT:192.168.0.2L2TP中的NAT问题LACClientLNSHOSTHome LANInternetNATPUB:202.38.1.1PUB:202.38.1.2Pri:1.1.1.1Pri:1.1.1.2L2TP OVER IPSECnLAC在同位于NAT之后的LNS建立连接时可能会出现问题L2TP多实例 nL2TP协议上加入多实例技术，让L2TP支持在一台设备将不同的用户划分在不同的VPN，各个VPN之内的数据可以互通，且在LNS两个不同VPN之间的数据不能互相访问，即使L2TP接

18、入是同一个设备。VPN 1 总部总部ClientLNSHOSTInternetL2TP TUNNELClientVPN 2总部总部VPN 1HOSTVPN 210.1.1.*10.1.1.*10.1.2.*10.1.2.*nL2TP VPN 的设计的设计nIPSec VPN 的设计的设计nMPLS VPN 的设计的设计n几种常见几种常见VPN的比较的比较几种常见的VPNIPSec VPNnIPSec 不是一个单独的协议，而是一套协议包，包括三个基本协议AH 协议提供信息源验证和完整性保证；ESP 协议提供信息源验证、机密性和完整性保证；密钥管理协议（ISAKMP）提供双方交流时的共享安全信息。

19、IPSec VPNn提供安全的网络传输服务n主要适用于LAN间VPN（隧道模式）nIKE支持动态密钥交换，采用预共享密钥或公钥机制认证身份，协商加密、认证密钥n具有数据传输的完整性认证、加密功能n实现方式VPN专用设备将IPSec嵌入到防火墙软件将IPSec嵌入到路由器软件动态IP地址的IPSec VPN（利用动态域名服务器）IPSec VPNHTH的IPSEC VPN的拓扑设计IPSEC VPN网络拓扑结构选择网络拓扑结构选择n全网状连接全网状连接n部分网状连接部分网状连接n星形连接星形连接n分层的星形连接分层的星形连接移动办公用户IPSEC VPN接入病毒蠕虫黑病毒蠕虫黑客入客入侵核心侵核

20、心机构机构IPSEC TUNNEL移动办公用户接入移动办公用户接入IPSEC VPN的考虑的考虑n笔记本电脑软件防火墙，防病毒软件的安装笔记本电脑软件防火墙，防病毒软件的安装n硬件防火墙同硬件防火墙同VPN网关相互配合网关相互配合n使用防火墙和使用防火墙和VPN网关功能相互融合的设备网关功能相互融合的设备IPSEC VPN中的INTERNET通讯n远程远程VPN站点可以通过两种方式访问站点可以通过两种方式访问INTERNET集中式：访问集中式：访问INTERNET的流量统一由总部的的流量统一由总部的VPN节点进行转发节点进行转发分布式：访问分布式：访问INTERNET的流量由本地的的流量由本地

21、的VPN节点进行转发节点进行转发VPN流量和上网流量都需要由总部统一进行转发流量和上网流量都需要由总部统一进行转发集中式集中式分布式分布式只有只有VPN流量由总部进行转发流量由总部进行转发IPSEC VPN中的IP地址设计n在进行VPN网络IP地址设计规划时建议尽量为个分支站点分配连续的IP地址段，同时总部的IP地址尽量分配为同远程站点同一主网的不同子网或不同主网但可汇总的不同子网。Site1Site2Site n10.1.2.0/2410.2.3.0/2410.1.0.0/24 IPSEC VPN中的NAT穿越n由于NAT自身设计的原因，同IPSEC协议无法很好的兼容，因此普通的IPSEC是

22、无法穿越NAT的，通过对IPSEC和IKE协议的改进，可以使用IPSEC NAT穿越功能完美的解决这个问题。NATIPSEC VPN网络的高可用性设计VRRP主用主用备用备用GRE OVER IPSEC 配合动态路由协议配合动态路由协议IKE KEEPALIVE 或或DPD同同VRRP配合配合IKE KEEPALIVE 或或DPD建立新的建立新的SA安全联盟安全联盟主用主用备用备用IPSEC VPN设计中的MTU问题n当VPN数据通过的网络路径中具有不同的路径MTU要求时，我们需要将设备的MTU设置为所有经过的路径MTU中较小的那个值，避免某些情况下数据分片造成的不良影响。PMTU 1500P

23、MTU 1400nL2TP VPN 的设计的设计nIPSec VPN 的设计的设计nMPLS VPN 的设计的设计n几种常见几种常见VPN的比较的比较几种常见的VPNMPLS VPNn什么是MPLS？nMPLS基本原理nMPLS VPN什么是MPLS？nMPLS（Multi Protocol Label Switching）：多协议标记（标签）交换n起源于Cisco的Tag Switching（1996），后由IETF标准化，并改为多协议标记交换。是一种支持多种网络层协议的快速转发技术，它就象一个垫片（shim)，处于OSI的第2、3层之间。nMPLS吸收了ATM网络的VPI/VCI交换思想，

24、集成了IP路由技术的灵活性和2层交换的简捷性，为IP网络提供了面向连接的交换。MPLS基本原理nROUTE AT EDGE,SWITCH IN COREIP ForwardingLABEL SWITCHINGIP ForwardingIPIP#L1IP#L2IP#L3IP与传统路由的区别MPLS头标格式及位置MPLS VPNn利用标记通道为用户提供有安全的、有服务质量保证的虚拟专网服务。n利用MPLS构建VPN时，只需对不同的企业集团分配不同的标记通道，企业网使用的内部地址也仍可以原封不动使用（即企业网网关可以不用NAT）。n利用标记堆叠来实现VPN，在一个IP分组上叠加两个MPLS标记头标进

25、行转发，外侧标记用于转发，内侧标记用于VPN。MPLS-VPN的工作步骤MPLS-VPN的工作步骤nL2TP VPN 的设计的设计nIPSec VPN 的设计的设计nMPLS VPN 的设计的设计n几种常见几种常见VPN的比较的比较几种常见的VPNMPLS VPN与IPSec VPNnMPLS VPN的安全性与帧中继、ATM类似，即租用了一条虚连接（局部）。nMPLS VPN不涉及认证、加密功能。nIPSec VPN提供认证、加密功能，能保证数据的机密性、完整性n对安全需求强的业务可以将IPSec和MPLS VPN结合使用nVPN 的定义和发展概况的定义和发展概况nVPN的需求和设计原则的需求

26、和设计原则nVPN 的相关技术的相关技术n几种常见的几种常见的VPN课程目标1、有时候读书是一种巧妙地避开思考的方法。4月-234月-23Tuesday,April 25,20232、阅读一切好书如同和过去最杰出的人谈话。17:30:0117:30:0117:304/25/2023 5:30:01 PM3、越是没有本领的就越加自命不凡。4月-2317:30:0117:30Apr-2325-Apr-234、越是无能的人，越喜欢挑剔别人的错儿。17:30:0117:30:0117:30Tuesday,April 25,20235、知人者智，自知者明。胜人者有力，自胜者强。4月-234月-2317:

27、30:0117:30:01April 25,20236、意志坚强的人能把世界放在手中像泥块一样任意揉捏。25四月20235:30:01下午17:30:014月-237、最具挑战性的挑战莫过于提升自我。四月235:30下午4月-2317:30April 25,20238、业余生活要有意义，不要越轨。2023/4/2517:30:0117:30:0125 April 20239、一个人即使已登上顶峰，也仍要自强不息。5:30:01下午5:30下午17:30:014月-2310、你要做多大的事情，就该承受多大的压力。4/25/2023 5:30:01 PM17:30:0125-4月-2311、自己要先看得起自己，别人才会看得起你。4/25/2023 5:30 PM4/25/2023 5:30 PM4月-234月-2312、这一秒不放弃，下一秒就会有希望。25-Apr-2325 April 20234月-2313、无论才能知识多么卓著，如果缺乏热情，则无异纸上画饼充饥，无补于事。Tuesday,April 25,202325-Apr-234月-2314、我只是自己不放过自己而已，现在我不会再逼自己眷恋了。4月-2317:30:0125 April 202317:30谢谢大家谢谢大家