信息安全技术第7章 虚拟专用网ppt课件.ppt

《信息安全技术第7章 虚拟专用网ppt课件.ppt》由会员分享，可在线阅读，更多相关《信息安全技术第7章 虚拟专用网ppt课件.ppt（49页珍藏版）》请在三一办公上搜索。

1、第7章 虚拟专用网,2,本章概要,本章针对虚拟专用网技术展开讲述，内容包括： 虚拟专用网的作用； 虚拟专用网的分类方法； 虚拟专用网的工作原理； 虚拟专用网常用协议。 课程目标通过本章的学习，读者应能够： 了解虚拟专用网的应用范围和分类； 了解虚拟专用网的工作原理。,3,7.1 虚拟专用网的基本概念,4,7.1.1 什么是虚拟专用网？,随着企业网应用的不断扩大，企业网的范围也不断扩大，从本地到跨地区、跨城市，甚至是跨国家的网络。但采用传统的广域网建立企业专网，往往需要租用昂贵的跨地区数字专线。同时公众信息网(Internet)已遍布各地，物理上各地的公众信息网都是连通的，但公众信息网是对社会开

2、放的，如果企业的信息要通过公众信息网进行传输，在安全性上存在着很多问题。那么，该如何利用现有的公众信息网建立安全的企业专有网络呢？为了解决上述问题，人们提出了虚拟专用网(VPN，Virtual Private Network)的概念。,5,虚拟专用网VPN（Virtual Private Network）技术是指在公共网络中建立专用网络，数据通过安全的“加密管道”在公共网络中传播。,VPN的基本概念,图7.1 虚拟专用网,6,VPN技术是指在公共网络中建立专用网络，数据通过安全的“加密管道”在公共网络中传播。企业只需要租用本地的数据专线，连接上本地的公众信息网，各地的机构就可以互相传递信息;同

3、时，企业还可以利用公众信息网的拨号接入设备，让自己的用户拨号到公众信息网上。就可以连接进入企业网中。一使用VPN有节省成本、提供远程访问、扩展性强、便于管理和实现全面控制等好处，是企业网络发展的趋势。,7,7.1.2VPN的功能.,虚拟专网的重点在于建立安全的数据通道，构造这条安全通道的协议必须具备以下条件：保证数据的真实性，通信主机必须是经过授权的，要有抵抗地址冒认(IPSpoofing)的能力；保证数据的完整性，接收到的数据必须与发送时的一致，要有抵抗不法分子篡改数据的能力；保证通道的机密性，提供强有力的加密手段，必须使偷听者不能破解拦截到的通道数据；提供动态密钥交换功能，提供密钥中心管理

4、服务器，必须具备防止数据重演(Replay)的功能，保证通道不能被重演；提供安全防护措施和访问控制，要有抵抗黑客通过VPN通道攻击企业网络的能力，并且可以对VPN通道进行访问控制(Access Control)。,一 虚拟专用网概述,VPN实际上是一种服务，其基本概念如下所述：,采用加密和认证技术，利用公共通信网络设施的一部分来发送专用信息，为相互通信的节点建立一个相对封闭的、逻辑的专用网络,一 虚拟专用网概述,VPN实际上是一种服务，其基本概念如下所述：,通常用于大型组织跨地域的各个机构之间的联网信息交换，或是流动工作人员与总部之间的通信；,一 虚拟专用网概述,VPN实际上是一种服务，其基本

5、概念如下所述：,只允许特定利益集团内建立对等连接，保证在网络中传输的数据的保密性和安全性。,一 虚拟专用网概述,其中虚拟(virtual)的概念是相对传统专用网络的构建方式而言的，对于广域网连接，传统的组网方式是通过远程拨号和专线连接来实现的，而VPN是利用服务提供商(ISP或NSP)所提供的公共网络来实现远程的广域连接，即网络不是物理上独立存在的网络，而是利用共享的通信基础设施仿真专用网络的设备。,一 虚拟专用网概述,专用(private)的含义是用户可以为自己制定一个最符合自己需求的网络，使网内业务独立于网外的业务流，且具有独立的寻址空间和路由空间，而且使得用户获得等同于专用网络的通信体验

6、。 。,二 VPN的工作流程,VPN需要在跨越公用网络的两个网络之间建立虚拟的专用隧道。在隧道被初始化后，传送过程中VPN数据的保密性和完整性通过加密技术加以保护。,二 VPN的工作流程,图9.4 基于IP的VPN网络的工作流程,目前VPN主要采用4项技术，分别是隧道技术(tunneling)、加解密技术(encryption & decryption)、密钥管理技术(key management)、身份鉴别技术(authentication)。,三 VPN的主要技术,网络隧道技术指的是利用一种网络协议来传输另一种网络协议，它主要利用网络隧道协议来实现这种功能。网络隧道技术涉及了3种网络协议，

7、即网络隧道协议、隧道协议下面的承载协议和隧道协议所承载的被承载协议。,1. 隧道技术,三 VPN的主要技术,有两种类型的隧道协议： 一种是二层隧道协议，用于传输二层网络协议，它主要应用于构建拨号VPN(access VPN)； 另一种是三层隧道协议，用于传输三层网络协议，它主要应用于构建内部网VPN(Intranet VPN)和外联网VPN(Extranet VPN)。,1. 隧道技术,三 VPN的主要技术,一个隧道的基本组成如图9.5所示，包括一个隧道启动器、一个公共网络(Internet)和一个隧道终结器。,1. 隧道技术,图9.5 隧道的基本组成,三 VPN的主要技术,数据通信中的加解密

8、技术是一项较成熟的技术，VPN可直接利用现有技术，如DES、3-DES、MD5、数字签名技术等。,2. 加解密技术,三 VPN的主要技术,密钥管理的主要任务是如何在公用数据网中安全地传递密钥，而不被窃取。加解密算法都离不开密钥，因此密钥管理技术也是很重要的。 现行常用的密钥管理技术又可分为SKIP(simple key management for IP)和IPsec中的ISAKMPOakley两种。,3. 密钥管理技术,三 VPN的主要技术,三 VPN的主要技术,为加强对使用者的鉴别管理，通常的解决方案是采用远程身份验证拨入用户服务RADIUS(RFC2138、2139)，它是一个维护用户配

9、置文件的数据库，能支持用户鉴别、鉴权和计费(AAA-authentication，authorization，accounting)，代理RADIUS功能允许在ISP的接入点设备上接入客户的RADIUS服务器，以获得必要的用户配置文件信息。,4. 身份鉴别技术,三 VPN的主要技术,RADIUS的一个缺点是其登录的数据无层次结构。另一种方案是采用轻量级目录接入协议LDAP(RFCl777)，其特点是登录的用户信息有层次结构，适合于组织机构的用户数据的登录。,4. 身份鉴别技术,四 VPN服务分类,VPN业务,拨号 VPN(access VPN),专线VPN,内部网VPN(intranet VP

10、N),外联网VPN(extranet VPN),四 VPN服务分类,1拨号VPN,拨号VPN是指企业员工或企业的小分支机构通过公网远程拨号的方式构筑的虚拟网。拨号VPN根据隧道发起的方式又可分为由用户发起、由ISP拨号服务器发起或由企业网远程路由器发起3种。通常用的最多的是通过ISP拨号服务器发起的VPN，这种方式是通过PPTPL2TP协议来实现第二层的隧道封装。,四 VPN服务分类,1拨号VPN,拨号VPN通过一个拥有与专用网络相同策略的共享基础设施，提供对企业内部网或外部网的远程访问。拨号VPN能使用户随时、随地以其所需的方式访问企业资源。拨号VPN包括模拟、拨号、ISDN、数字用户线路(

11、xDSL)、移动IP和电缆技术，能够安全地连接移动用户、远程工作者或分支机构。,四 VPN服务分类,2内部网VPN,内部网VPN即进行企业内部各分支机构的互联。利用VPN技术可以在Internet上组建世界范围内的内部网VPN，通过一个使用基于共享基础设施的虚拟专网，连接企业总部、远程办事处和分支机构，即利用Internet的线路保证网络的互联性，而利用隧道、加密等VPN特性可以保证信息在整个内部网VPN上安全传输，从而使企业拥有与专用网络的相同政策，包括安全、服务质量(QoS)、可管理性和可靠性。,四 VPN服务分类,2内部网VPN,内部网VPN通常使用IPSec协议来实现。,四 VPN服务

12、分类,3. 外联网VPN,外联网VPN是指企业同客户、合作伙伴的互联。利用VPN技术可以组建安全的外联网(extranet)，既可以向客户、合作伙伴提供有效的信息服务，又可以保证自身内部网络的安全。,四 VPN服务分类,3. 外联网VPN,外联网VPN通过一个使用专用连接的共享基础设施，将客户、供应商、合作伙伴或兴趣群体连接到企业内部网。企业拥有与专用网络的相同政策，包括安全、服务质量(QoS)、可管理性和可靠性。,30,7.1.3 VPN的分类,根据不同的需要，可以构造不同类型的VPN。不同商业环境对VPN的要求和VPN所起的作用不同。这里分三种情况说明VPN的用途。 a.内部VPN：指在公

13、司总部和其分支机构之间建立的VPN； b.远程访问VPN：指在公司总部和远地雇员之间建立的VPN； C.外联网VPN：指公司与商业伙伴、客户之间建立的VPN。,31,内 部 网VPN用VPN连接公司总部和其分支机构. 远程访问VPN用VPN连接公司总部和远程用户. 外 联 网VPN用VPN连接公司和其业务伙伴.,VPN的分类及用途,图7.2 VPN三种主要分类,32,内部网VPN,内部网是通过公共网络将某一个组织的各个分支机构的LAN联结而成的网络。这种类型的LAN到LAN的联结所带来的风险最小，因为公司通常认为他们的分支机构是可信的，这种方式联结而成的网络被称为Intranet，可看作是公司

14、网络的扩展。 当一个数据传输通道的两个端点被认为是可信的时候，可以选择内部网VPN解决方案。安全性主要在于加强两个VPN服务器之间加密和认证的手段。内部网VPN参见下页图7.3：,33,内部网VPN,图7.3 内部网VPN拓扑图,34,远程访问VPN,典型的远程访问VPN是用户通过本地的信息提供商(ISP)登陆到Internet上，并在现在的办公室和公司内部网之间建立一条加密通道。 有较高安全度的远程访问VPN应能截获特定主机的信息流，有加密、身份认证和过滤等功能。 远程访问VPN参见下页图7.4：,35,远程访问VPN,图7.4 远程访问VPN拓扑图,36,外联网VPN,外联网VPN为公司商

15、业伙伴、客户和在远地的雇员提供安全性。外联网VPN的主要目标是保证数据在传输过程中不被修改，保护网络资源不受外部威胁。 外联网VPN应是一个由加密、认证和访问控制功能组成的集成系统。通常将公司的VPN代理服务器放在一个不能穿透的防火墙之后，防火墙阻止来历不明的信息传输。所有经过过滤后的数据通过一个唯一的入口传到VPN服务器，VPN在根据安全策略进一步过滤。 外联网VPN参见下页图7.5：,37,外联网VPN,图7.5 外联网VPN拓扑图,38,7.2 VPN常用的协议,VPN常用的协议有SOCK v5、IPSec、PPTP以及L2TP等。这些协议对应的OSI层次结构如下：,39,7.2.1 S

16、OCK v5,SOCK v5是一个需要认证的防火墙协议，当SOCK同SSL协议配合使用，可作为建立高度安全的VPN的基础。 1.优点 a.SOCK v5在OSI模型的会话层控制数据流，定义了非常详细的访问控制。 b.SOCK v5在客户机和主机之间建立了一条虚电路，可根据对用户的认证进行监视和访问。 c.SOCK v5能提供非常复杂的方法保证信息安全传输。 d.用SOCK v5的代理服务器可以隐藏网络的IP地址。,40,e. SOCK v5同防火墙一起使用，防止防火墙的漏洞。 f. SOCK v5能为认证、加密和密钥管理提供“插件”模块。 g. SOCK v5可根据规则过滤数据包。 2.缺点

17、因SOCKv5通过代理服务器来增加一层安全性，因此性能比低层协议差，需要比低层协议制订更为安全的管理策略。总体来说，SOCKv5协议的优势在于更细致的访问控制，因此适合于安全性要求很高的VPN。,41,7.2.2 IPSec,IPSec是一个应用范围广泛的开放的第三层VPN协议标准。IPSec可有效保护IP数据报的安全，所采取的具体保护形式包括：数据源验证、完整性校验、数据内容的加密和防重演保护等。 1.优点 a. 定义了一套用于认证、保护私有性和完整性的标准协议。 b. 支持一系列加密算法。 c. 检查数据包的完整性，确保数据没有被修改。 d. 在多个防火墙和服务器之间提供安全性。,42,e

18、.可确保运行在TCP/IP协议上的VPN之间的互操作性。 2.缺点 a. 不太适合动态IP地址分配(DHCP) b. 除TCP/lP协议外，不支持其他协议。 c. 除包过滤外，没有指定其他访问控制方法。 IPSec主要用于：认证：用于对主机和端点进行身份鉴别；完整性检查：保证数据在经过网络传输时没有被修改；加密：加密IP地址和数据以保证私有性。,43,7.2.3 PPTP / L2TP,点对点隧道协议PPTP是微软公司提出的，是数据链路层的协议，被用于微软的路由和远程访问服务。PPTP用IP包来封装PPP协议。用简单的包过滤和微软域网络控制来实现访问控制。 L2TP(Layer2Tunneli

19、ngProtocol)协议是PPTP协议和Cisco公司的L2F(Layer2Forwarding)组合而成，可用于基于Internet的远程拨号方式访问。有能力为使用PPP协议的客户建立拨号方式的VPN连接。 PPTP和L2TP一起配合使用时，可提供较强的访问控制能力，其优缺点如下：,44,1.优点 a. 不但支持微软操作系统，还支持其他网络协议。 b. 通过减少丢弃包来改善网络性能，可减少重传。 2.缺点 a. 将不安全的IP包封装在安全的IP包内。 b. 不对两个节点间的信息传输进行监视和控制。 c. 并发连接最多255个用户。 d. 用户需要在连接前手工建立加密信道。 e. 认证和加密

20、受到限制，没有加密和认证支持。,45,7.3 基于IPSec协议的VPN体系结构,IPSec协议主要应用于网络层。基于TCP/IP的所有应用都要通过IP层，将数据封装成一个IP包后再进行传送。所以要实现对上层网络应用软件的全透明控制，即同时对上层多种网络应用提供安全网络服务，只需在网络层采用VPN技术提供网络安全服务。为解决Internet所面临的不安全因素的威胁，实现在不信任通道上的数据安全传输，在VPN的设计和实现中采用了加密认证技术。基于IPSec协议的VPN体系结构参见下页图7.6：,46,基于IPSec协议的VPN体系结构,图7.6基于IPSec协议的VPN体系结构,47,7.4VP

21、N产品,目前，有很多厂家都有VPN产品。如：Cisco、Netscreen、CheckPoint、天融信、东软等。下面以思科VPN3000系列集中器为例进行说明。 思科VPN3000系列集中器是一系列专门开发的远程接入虚拟专网(VPN)平台和客户机软件，将高可用性、高性能和高可扩展性和当今最先进的加密和认证技术结合在一起。利用CiscoVPN3000集中器系列，客户可以充分发挥最新VPN技术的优势，极大地降低了通信费用。特别是，该产品是业界唯一能够提供现场可更换和客户可升级部件的可扩展平台。这些称为可扩展加密处理(SEP)模块的部件使用户可以轻松地增加容量和吞吐量。,48,Cisco客户可以在众多的VPN3000集中器中选择最适合自己需求和应用的具体型号，这些型号支持各种企业客户，包括从只有不到100个远程访问用户的小公司到有多达10000名同时远程用户的大型机构。思科VPN3000集中器的任何一种版本，都可以在不增加更多费用的情况下提供CiscoVPN客户机，并给予不受限制的安装许可证。思科VPN3000集中器提供非冗余和冗余两种配置，允许客户构建最稳健、最可靠和经济高效的网络。另外，还提供高级路由功能，如OSPF、RIP和网络地址转换(NAT)。有关VPN产品的新特性。请参考相关VPN厂商的网站。,49,第7章结束！,