1、信息安全理论与技术9第九章第九章 虚拟专用网络虚拟专用网络VPN信息安全理论与技术9VPN概述VPN的功能VPN的工作原理VPN的具体应用VPN技术技术信息安全理论与技术9什么是VPNVPN的优点现有的VPN协议 1、VPN概述信息安全理论与技术9VPNVPN是企业网在因特网等公共网络上的延伸是企业网在因特网等公共网络上的延伸 1、什么是VPNVPNVPN是是Virtual Private NetworkVirtual Private Network即即虚拟专用网虚拟专用网通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过通过一个公用网络（通常是因特网）建立一个临时的、安全
2、的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。混乱的公用网络的安全、稳定的隧道。远程访问Internet内部网合作伙伴分支机构虚拟私有网虚拟私有网虚拟私有网信息安全理论与技术9VPN的优点 利用VPN，可节省专用和拨号连接的成本 基于VPN技术，能够迅速建立和重构网络 简化了企业联网和广域网操作 提高了网络可靠性 VPN网络有很好的兼容性和可扩展性 企业可以利用 VPN 迅速开展新的服务和连接全球的设施信息安全理论与技术9现有现有VPNVPN协议协议 PPTP：1996年Microsoft 和Ascend等在PPP协议上开发的。L2F：1996年Cisco开发的。L2TP：1997年底，
3、Microsoft 和Cisco共同开发。IPSec：IETF正在完善，通过对数据加密、认证、完整性检查来保证数据传输的可靠性、私有性和保密性。IPSec由IP认证头（AH）、IP安全载荷封装（ESP）和密钥管理协议（ISAKMP）信息安全理论与技术9公司内部网拨号连接因特网L2 T P 通道用于该层的协议主要有：用于该层的协议主要有：v L2TP：Lay 2 Tunneling Protocolv PPTP：Point-to-Point Tunneling Protocolv L2F：Lay 2 ForwardingL2 T P 通道基于第二层的基于第二层的VPN信息安全理论与技术9PPTP
4、/L2TPPPTP/L2TP 优点：（1）对用Microsoft操作系统的用户很方便（2）支持多种协议。（3）支持流量控制，通过减少丢弃包来改善网络性能。缺点：（1）安全性相对差。（2）不对两个节点间的信息传输进行监视或控制。（3）最多只能连接255个用户。（4）端点用户需要在连接前手工建立加密信道。信息安全理论与技术9VPN概述VPN的功能VPN的工作原理VPN的具体应用VPN技术技术信息安全理论与技术9远程访问Internet内部网分支机构分支机构安全网关安全网关ISP接入设备端到端数据通路的典型构成拨入段外部段（公共因特网）内部段公司的内部网络网络面临的风险信息安全理论与技术9 拨入段数
5、据泄漏风险拨入段数据泄漏风险 因特网上数据泄漏的风险因特网上数据泄漏的风险 安全网关中数据泄漏的风险安全网关中数据泄漏的风险 内部网中数据泄漏的风险内部网中数据泄漏的风险VPN网络面临的风险信息安全理论与技术9VPN的功能的功能 数据机密性保护 数据完整性保护 数据源身份认证 重放攻击保护信息安全理论与技术9Router管理子网一般子网内部WWW重点子网DMZ区域区域WWW Mail DNS密文密文传输明文传输明文传输 数据机密性保护数据机密性保护信息安全理论与技术9数据完整性保护数据完整性保护管理子网一般子网内部WWW重点子网原始数据包对原始数据包进行Hash加密后的数据包加密后的数据包摘要
6、摘要Hash摘要摘要对原始数据包进行加密加密后的数据包加密后的数据包加密加密后的数据包加密后的数据包摘要摘要加密后的数据包加密后的数据包摘要摘要摘要摘要解密原始数据包Hash原始数据包与原摘要进行比较，验证数据的完整性信息安全理论与技术9数据源身份认证数据源身份认证管理子网一般子网内部WWW重点子网原始数据包对原始数据包进行HashHash摘要摘要加密摘要摘要摘要摘要取出DSS原始数据包Hash原始数据包两摘要相比较私钥原始数据包DSSDSS将数字签名附在原始包后面供对方验证签名得到数字签名原始数据包DSS原始数据包DSSDSS解密相等吗？验证通过信息安全理论与技术9 保留负载长度认证数据（完
7、整性校验值ICV）变长序列号安全参数索引（SPI）下一头部填充（0255字节）下一头部填充长度认证数据（变长的）负载数据（变长的）序列号安全参数索引（SPI）AH协议头ESP协议头SA建立之初，序列号初始化为0，使用该SA传递的第一个数据包序列号为1，序列号不允许重复，因此每个SA所能传递的最大IP报文数为2321，当序列号达到最大时，就需要建立一个新的SA，使用新的密钥。重放攻击保护重放攻击保护信息安全理论与技术9VPN概述VPN的功能VPN的工作原理VPN的具体应用VPN技术技术信息安全理论与技术9VPN的工作原理的工作原理隧道基本概念 IPSec协议栈组成IPSec的工作模式信息安全理论
8、与技术9隧道隧道基本概念基本概念 隧道可在网络的任一层实现 最常用的是两层：数据链路层和网络层 数据链路层隧道：一个链路帧被放到了其它链路层的协议数据单元（PDU）中,该链路层还包括另外的链路帧，如：PPTP,L2F,L2TP 构成的VPN 网络层隧道：第三层的包被放到其它层或另外的第三层包中，如IPsec 的AH和ESP隧道模式；封装：当某层的PDU被放到另外一个PDU中的有效载荷时，把这种处理方式叫做封装信息安全理论与技术9隧道基本概念隧道基本概念 隧道在VPN中的三大作用是什么？将一种协议封装到不同的协议是为了在IP基础设施中传输；通过公共寻址设施路由私有地址包；提供数据完整性和机密性服
9、务。信息安全理论与技术9 v 身份认证报头身份认证报头AHAH协议协议 提供数据源身份认证、数据完整性保护、重放攻击保护功能提供数据源身份认证、数据完整性保护、重放攻击保护功能v 负载安全封装负载安全封装ESPESP协议协议提供数据保密、数据源身份认证、数据完整性、重放攻击保护功提供数据保密、数据源身份认证、数据完整性、重放攻击保护功能能v 因特网安全关联和密钥管理协议因特网安全关联和密钥管理协议IKE(IKE(以前被叫以前被叫ISAKMP/Oakley)ISAKMP/Oakley)提供自动建立安全关联和管理密钥的功能提供自动建立安全关联和管理密钥的功能IPSec 框架的组成框架的组成信息安全
10、理论与技术9IPsec协议栈组成协议栈组成 IPsec由一系列协议组成：RFC2401(规定了IPsec的基本结构)RFC2402（验证头）RFC2406（封装安全载荷）RFC2407（用于Internet安全联盟和密钥管理协议ISAKMP的Internet IP安全解释域）RFC2408（ISAKMP）RFC2409（Internet密钥交换，IKE）RFC2411（IP安全文档指南）RFC2412（OAKLEY密钥确定协议）等。IPsec组件包括安全协议验证头（AH）和封装安全载荷（ESP）、安全关联（SA）、密钥交换（IKE）及加密和验证算法等。信息安全理论与技术9IPsecIPsec的
11、工作模式的工作模式 IPsecIPsec使用传输模式和隧道模式保护通使用传输模式和隧道模式保护通信数据。信数据。IPsecIPsec协议和模式有协议和模式有4 4种可能的种可能的组合：组合：AHAH传输模式；传输模式；AHAH隧道模式；隧道模式；ESPESP传输模式；传输模式；ESPESP隧道模式。隧道模式。信息安全理论与技术91.Host 对对 Host2.Host 对对 VPN 网关网关3.VPN 对对 VPN 网关网关4.Remote User 对对 VPN 网关网关 VPN隧道的建立方式隧道的建立方式信息安全理论与技术9Internet公司BVPN网关AVPN网关B公司BHost to
12、 Host 模式：v 该模式要求两边主机都支持IPSec v VPN网关可支持也可不支持IPSec安全通道安全通道安全通道主机必须支持IPSec主机必须支持IPSecGateway 可支持也可不支持IPSecGateway 可支持也可不支持IPSec Host to Host信息安全理论与技术9Internet公司BVPN网关AVPN网关B公司BHost to VPN 模式：v 该模式要求一边的主机都支持IPSec v 另一边的VPN网关必须支持IPSec安全通道安全通道主机必须支持IPSec主机可以不支持IPSecGateway 可支持也可不支持IPSecGateway 必须支持IPSec非
13、安全通道Host to VPNHost to VPN Gateway信息安全理论与技术9Internet公司BVPN网关AVPN网关B公司BVPN to VPN 模式：v 该模式不要求主机支持IPSec v两边的VPN网关必须都支持IPSec非安全通道安全通道主机可以不支持IPSec主机可以不支持IPSecGateway 必须支持IPSecGateway 必须支持IPSec非安全通道VPN Gateway to VPN Gateway信息安全理论与技术9Internet公司BISP接入服务器VPN网关B安全通道安全通道主机必须支持IPSecGateway 必须支持IPSec非安全通道PSTNR
14、emote User to VPN Gateway信息安全理论与技术9InternetVPN网关B公司AAH192.168.2.34258ESP192.168.2.34259ESP192.168.1.25257AH192.168.1.25256Security ProtocolDestination AddressSPI192.168.1.25公司BSPD中的数据项类似于防火墙的配置规则192.158.1.34192.168.1.25Source AddressOthers 绕过、丢弃安全Secure Service192.168.1.25192.158.1.34Destination Add
15、ress 双方使用ISAKMP/Oakley密钥交换协议建立安全关联，产生或者刷新密钥内IP头ESP尾负 载ESP头AH头外IP头负 载IP 头192.168.2.34SAD中包含每一个SA的参数信息，如算法、密钥等ESPAHESPAHSecurity ProtocolOthers 110001101010Key 加密SHA-12583DES CBC259DES CBC 4257加密MD5256Algorithm SPI负 载IP 头VPN网关A查找SPD数据库决定为流入的IP数据提供那些安全服务查找对应SA的参数要求建立安全相应的关联对原有数据包进行相应的安全处理建立SAD建立相应的SA 一
16、个完整的一个完整的VPN工作原理图工作原理图信息安全理论与技术9VPN概述VPN的功能VPN的工作原理VPN的具体应用VPN技术技术信息安全理论与技术9VPN应用应用 用VPN连接分支机构 用VPN连接业务伙伴 用VPN连接远程用户信息安全理论与技术9 Internet分支机构VPN网关AVPN网关B总部通道只需定义在两边的网关上Gateway 必须支持IPSecGateway 必须支持IPSec数据在这一段是认证的数据在这一段是加密的ISPISP用用VPNVPN连接分支机构连接分支机构信息安全理论与技术9Internet业务伙伴VPN网关AVPN网关B公司A主机必须支持IPSec主机必须支持
17、IPSec通道建立在两边的主机之间，因为业务伙伴内的主机不是都可以信任的数据在这一段是加密的数据在这一段是认证的数据在这一段是认证的数据在这一段是加密的数据在这一段是认证的数据在这一段是加密的ISPISP用用VPN连接合作伙伴连接合作伙伴信息安全理论与技术9Internet公司BISP接入服务器VPN网关B主机必须支持IPSecGateway 必须支持IPSecPSTN数据在这一段是加密的数据在这一段是认证的数据在这一段是加密的数据在这一段是认证的通道建立在移动用户与公司内部网的网关处用用VPN连接远程用户连接远程用户信息安全理论与技术9 本章介绍了VPN(即虚拟专用网络)技术，通过一个公用网络建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。VPN依靠隧道技术和安全技术让用户通过Internet实现远程用户访问，实现网络互连和连接企业内部网络的计算机。本章介绍了四种VPN连接模式和VPN实现的两种主要技术。总结总结
