第7章VPN技术

2013-7-24
5
7.1 VPN概述
1. VPN分类 根据服务类型，VPN业务大致分为三类：远程访 问VPN（Access VPN）、企业内部VPN(Intranet VPN)和企业扩展VPN（ Extranet VPN）。分别对应 于传统的远程访问网络、企业内部的Intranet以及 企业和合作伙伴之间的网络所构成的Extranet。通 常情况下内联网VPN是专线VPN。 （1）远程访问VPN：这是企业员工或企业的小分 支机构通过公网远程访问企业内部网络的VPN方式。 远程用户一般是一台计算机，而不是网络，因此组 成的VPN是一种主机到网络的拓扑模型。
2013-7-24 12
7.2 VPN主要技术
7.2.1 密码技术 7.2.2 身份认证技术 7.2.3 隧道技术 7.2.4 密钥管理技术
2013-7-24
13
7.2.1 密码技术
VPN利用Internet的基础设施传输企业私有的信 息，因此传递的数据必须经过加密，从而保证网络 上未授权的用户无法读取该信息，因此可以说密码 技术是实现VPN的关键核心技术之一。 大体上，密码技术可以分为两类：对称密钥加密 和非对称密钥加密。
2013-7-24
16
7.2.1 密码技术
这种算法就越困难。另一指标是看算法是否经得住 算法分析的考验。如差分密码分析、线性密码分析 等。有的算法的密钥长度虽然很长，但是算法有缺 陷，可绕过密钥进行破解。 对称密钥加密的优点是运算量最小，速度快， 适合于加密大量数据的情况；缺点是密钥的管理比 较复杂。 2.非对称密钥加密 非对称密钥加密使用两个密钥：一个公钥和一 个私钥。这两个密钥在数学上是相关的。这种算法 也叫做公钥加密。公钥可以不受保护，可在通信
2013-7-24 20
7.2.2 身分认证技术
的基础设施。这种方式既保证了信息的机密性，又 能保证信息具有不可抵赖性。目前，公钥体制广泛 地用于CA认证(Certificate Authority，数字证书 签发中心)、数字签名和密钥交换等领域。
2013-7-24
21
7.2.3 隧道技术
隧道技术通过对数据进行封装，在公共网络上 建立一条数据通道（隧道），让数据包通过这条隧 道传输。生成隧道的协议有两种：第二层隧道协议 和第三层隧道协议。 1.第二层隧道协议 第二层隧道协议（如PPTP、L2TP）是先把各种 网络协议封装到PPP帧中，再把整个数据包装入隧 道协议中。这种双层封装方法形成的数据包靠第二 层协议进行传输。 第二层隧道协议包括点到点隧道协议（PPTP）、 第二层转发协议（L2F），第二层隧道
2013-7-24 18
7.2.1 密码技术
，而是经常用于关键数据的加密，比如对称密钥在 密钥分发时采用菲对称算法。另外非对称加密算法 和散列算法结合使用，可以生成数字签名。 非对称密钥加密的优点是解决了对称加密中的 密钥交换的困难，密约管理简单，安全性高；缺点 是计算速度相对较慢。因此非对称密钥算法更多用 于密钥交换、数字签名、身份认证等，一般不用于 对具体信息加密。
2013-7-24 17
7.2.1 密码技术
双方之间公开传递，或在公共网络上发布，但是相 关的私钥是保密的。利用公钥加密的数据只有使用 私钥才能解密；利用私钥加密的数据只有使用公钥 才能解密。 比较著名的非对称算法有RSA、背包密码、 McEliece密码、DiffieHellman、Rabin、椭圆曲线、 ElGamal算法等。其中最有影响的RSA算法，它能抵 抗到目前为止已知的所有密码攻击。 非对称算法采用复杂的数学处理，密钥大小比 对称算法的大，它们要求更多的处理器资源，因此 速度较慢。非对称算法不适合加密大量数据的情况
2013-7-24
19
7.2.2 身分认证技术
VPN需要解决的首要问题就是网络上用户与设 备的身份认证，如果没有一个万无一失的什么认证 方案，不管其他安全设施有多严密，整个VPN的功 能都将失效。 从技术上来说，身分认证基本上可以分为两类： 非PKI体系和PKI体系的身份认证。非PKI体系的身 份认证基本上采用的是UID＋PASSWORD模式，举例 见P119页。 PKI是“Public Key Infrastructure”的缩 写，意为“公钥基础设施”。简单地说，PKI技术 就是利用公钥理论和技术建立的提供信息安全服务
2013-7-24 23
7.2.3 隧道技术
用于实现拨号VPN业务（但也可以用于实现专线VPN 业务），当然这些协议之间本身不是冲突的，而是 可以结合使用的。
2013-7-24
24
7.2.4 密钥管理技术
在VNP应用中密钥的分发与管理非常重要。密 钥的分发有两种：一种是通过手工配置的方式，另 一种是采用密钥交换协议动态分发。手工配置的方 法要求密钥更新不要太频繁，否则管理工作量太大， 因此只适用于简单网络的情况。密钥交换的协议采 用软件方式动态生成密钥，保证密钥在公共网络上 安全地传输而不被窃取，适用于复杂网络的情况， 而且密钥可快速更新，可以显著提高VPN应用的安 全性。
2013-7-24 22
7.2.3 隧道技术
协议（L2TP）、多协议标记交换（MPLS）等。 2.第三层隧道协议 第三层隧道协议（如IPSec、GRE等）是先把各 种网络协议直接装入隧道协议中，形成的数据包依 靠第三层协议进行传输。 第三层隧道协议包括通用路由封装协议 （GRE）、IP安全（IPSec），这是目前最流行的两 种三层协议。 第二层和第三层隧道协议的区别主要在于用户 数据在网络协议栈的第几层被封装，其中GRE、 IPSec和MPLS主要用于实现专线VPN业务，L2TP主要
2013-7-2于前面的拨号VPN，这是 一个容易发生混淆的地方，因为远程接入可以是专 线方式接入的，也可以是拨号方式接入的。 （2）企业内部VPN：这是企业的总部与分支机构 之间通过公网构筑的虚拟网，这是一种网络到网络 以对等的方式连接起来所组成的VPN。 （3）企业扩展VPN：这是企业在发生收购、兼并 或企业间建立战略联盟后，使不同企业间通过公网 来构筑的虚拟网。这是一种网络到网络以不对等的 方式连接起来所组成的VPN（主要在安全策略上有 所不同）。
2013-7-24 10
7.1 VPN概述
完全控制主动 企业可以利用公网或在网络内部自己组建管理VPN， 由自己负责用户的查验、访问权、网络地址配置、 安全性和网络变化管理等重要工作。 性价比高 VPN 致力于为网络提供整体的安全性，是性能价格 比比较高的安全方式。使用管理方便，VPN 产品可 以在网络连接中透明地配置，而不需要修改网络或 客户端的配置，非常方便使用。VPN 产品可以实现 集中管理，即在一点实现对多点VPN 的配置、监控 和维护等
2013-7-24
14
7.2.1 密码技术
1.对称密钥加密 对称密钥加密，也叫共享密钥加密，是指加密 和解密用的密钥是相同的，数据的发送者和接收者 拥有共同的单个密钥。当一段数据要传输时，发送 者利用密钥将其加密为密文，并在公共信道上传输， 接收者收到密文后也要用相同的密钥将其解密成明 文。 比较著名的对称密钥加密算法有DES及其各种 变形，比如3DES、CDES、New DES、 DES的前身 Lucifer、IDEA、Skipjack、RC4、RC5等。最常用 的DES(Data Encryption Standard)、
2013-7-24 8
7.1 VPN概述
企业所在地的ISP支付一定的上网费用，也节省了长 途电话费，故VPN价格更低廉。 2) 易于扩展 如果用户想扩大VPN 的容量和覆盖范围，只需改变 一些配置，或增加几台设备、扩大服务范围；在远 程办公室增加VPN 更简单，只需通过作适当的设备 配置即可；欲增加单机客户端用户，只需在客户端 机器上进行简单配置。 3)保证安全 VPN 不仅能在网络与网络之间建立专用通道，保护 网关与网关之间信息传输的安全，而且能在企业
2013-7-24 9
7.1 VPN概述
内部的用户与网关之间、移动办公用户和网关之间、 用户与用户之间建立安全通道，建立全方位的安全 保护，保证网络的安全。 还具有以下优点： 伸缩性强 用户如果想与合作伙伴联网，如果没有VPN，双方 的信息技术部门就必须协商如何在双方之间建立租 用线路或帧中继线路，有了VPN 之后，只需双方配 置安全连接信息即可；当不再需要联网时，也很方 便拆除连接。
2013-7-24 11
7.1 VPN概述
vpn专业网站: vpn案例: vpn经典案例:
vpn经典案例 中国石油天然气勘探开发（集团）公司、北京 超群食品有限公司、北京泰大药业、中海房地产、 深圳奥康德集团、法国榭曼国际贸易公司、南海奔 达模具制造公司 、湖北汇通钢贸等。
2013-7-24 7
7.1 VPN概述
2.VPN的优点 1)降低成本。 通过公用网来建立VPN 与建立DDN 、PSTN 等 专线方式相比，可以节省大量的费用开支。VPN的 最大吸引力是价格。据估算，如果企业放弃租用专 线而采用VPN，其整个网络的成本可节约21%-45%， 至于那些以电话拨号方式连网存取数据的公司，采 用VPN则可以节约通讯成本50%-80%。这是由于VPN 是在Internet上临时建立的安全专用虚拟网络，用 户就节省了租用专线的费用，在运行的资金支出上， 除了购买VPN设备，企业所付出的仅仅是向
2013-7-24 15
7.2.1 密码技术
AES(Advanced Encryption Standard)和 IDEA(Internation Data Encryption Algorithm)。 由于加密和解密的密钥相同，因此这种加密算 法的安全性取决于是否有未经授权的人获得了密钥。 为了保证密钥的机密性，希望使用对称密钥通信的 双方在交换加密数据之前必须先安全地交换密钥。 衡量对称算法优劣的一个重要尺度是其密钥的 长度。密钥位数越长，密钥的可能性越多，在找到 正确密钥之前必须测试的数量就越多，从而破解