VPN的實(shí)現(xiàn)技術(shù)

1、VPN 的實(shí)現(xiàn)技術(shù)為了在 Internet 等公共網(wǎng)絡(luò)基礎(chǔ)設(shè)施上高效、安全的實(shí)現(xiàn)數(shù)據(jù)傳輸，VPN綜合利用了隧道技術(shù)、加密技術(shù)、秘鑰管理技術(shù)和身份認(rèn)證技術(shù)。1、隧道技術(shù)是VPN的核心技術(shù)，VPN的所有實(shí)現(xiàn)都是依賴于隧道。隧道主要利用協(xié)議的封裝來實(shí)現(xiàn)的。即用一種網(wǎng)絡(luò)協(xié)議來封裝另一種網(wǎng)絡(luò)協(xié)議的報文。簡單說： 就是在隧道的一端把B 協(xié)議報文封裝在A 協(xié)議報文中，然后按照 A 協(xié)議報文在已建立的隧道中進(jìn)行傳輸，到達(dá)另一端的時候，在進(jìn)行解封裝的操作，從A 協(xié)議報文中解析出 B 協(xié)議報文，將得到的原始數(shù)據(jù)交給對端設(shè)備。在進(jìn)行數(shù)據(jù)封裝時， 根據(jù)封裝協(xié)議 （隧道協(xié)議） 在 OSI/RM中位置的不同，可以分為第二

2、層隧道技術(shù)和第三層隧道技術(shù)兩種類型，其中，第二層隧道技術(shù)是在數(shù)據(jù)鏈路層使用隧道協(xié)議對數(shù)據(jù)進(jìn)行封裝，再把封裝后的數(shù)據(jù)通過數(shù)據(jù)鏈路層的協(xié)議進(jìn)行傳輸。第三層隧道技術(shù)是在網(wǎng)絡(luò)層進(jìn)行數(shù)據(jù)封裝，即利用網(wǎng)絡(luò)層的隧道協(xié)議對數(shù)據(jù)進(jìn)行封裝，封裝后的數(shù)據(jù)再通過網(wǎng)絡(luò)層協(xié)議進(jìn)行傳輸協(xié)議名 稱RFC編號封裝 化協(xié)議號碼L2/L3加 密 與 否LAN 連接 舊 VPN遠(yuǎn)程訪問類型VPNL2F2341L2FUDP (17)第二層否XV1PPTP草案DREGRE (47)第二層否VVL2TP草案L2TPUDP (17)第二層否VVATMP2107GREGRE (47)第三層否XVBayDVS無GREGRE (47)第三層否XV

3、GRE1701GREGRE (47)第三層否VIPSecESP2406ESPESP (50)第三層是VVIPSec AH2406AHAH (51)第三層否VV二層隧道協(xié)議主要有：L2F、PPTP L2TP,這三種協(xié)議通常是基于PPP協(xié)議的并且主要面向撥號用戶，由此導(dǎo)致了這 3種協(xié)議應(yīng)用的局限性三層隧道協(xié)議主要有：IPSec、GRE在數(shù)據(jù)鏈路層上實(shí)現(xiàn) VPN具有一定的優(yōu)點(diǎn),加密時可使用硬件設(shè)備進(jìn)行加密，這樣做的好處在于速度快。缺點(diǎn)：不易擴(kuò)展，而且僅在專用鏈路上才能很好的工作，另外，進(jìn)行通信的兩個實(shí)體必須在物理上連接到一起。加密技術(shù)加密技術(shù)對VPN來說是非常重要的技術(shù)。信息加密體制包括對稱加密體制

4、和非對稱加密體制，實(shí)際應(yīng)用中通常是融合二者的混合加密技術(shù)，非對稱加密技術(shù)（公開秘鑰）多用于認(rèn)證、數(shù)字簽名以及安全傳輸會話秘鑰等場合，對稱加密技術(shù)則用于大量傳輸數(shù)據(jù)的加密和完整性保護(hù)。在VPN解決方案中最普遍使用的對稱加密算法主要有DES3DES AES RC4 RC5和 IDEA等算法普遍使用的非對稱加密算法主要有RSA、 Diffie-Hellman 和橢圓曲線加密等。當(dāng)VPNfef閉在特定的ISP內(nèi)并且該ISP能夠保證VPN路由及安全性時，攻擊者不大可能竊取數(shù)據(jù)，因此可以不采用加密技術(shù)。秘鑰管理技術(shù)現(xiàn)行秘鑰管理技術(shù)分為SKIP和ISAKMP/OAKLE兩種。SKIP 主要利用 Diffie

5、-Hellman 算法在開放網(wǎng)絡(luò)上安全傳輸秘鑰，而ISAKMP則采用公開秘鑰機(jī)制，通信實(shí)體雙方均有兩把秘鑰，分別為公鑰、私鑰，不同的VPN實(shí)現(xiàn)技術(shù)選用其一或者兼而有之。身份認(rèn)證技術(shù)因?yàn)檎J(rèn)證協(xié)議一般都要采用基于散列函數(shù)的消息摘要技術(shù)，因而還可以提供消息完整性驗(yàn)證。 從實(shí)現(xiàn)技術(shù)來看， 目前 VPN采用的身份認(rèn)證技術(shù)主要分為非PKI 體系和 PKI 體系兩類。非PKI體系一般采用用戶ID+密碼的模式，主要包括以下幾種：PAP (密碼認(rèn)證協(xié)議)，以明文形式傳送，PAP是一種不安全的協(xié)議2 ) SPAP( Shiva Password Authentication Protocol密碼認(rèn)證協(xié)議），針對P

6、AP不足而設(shè)計(jì)的，他會進(jìn)行加密，但是加密形式不變，很容易受到攻擊（ 3 ） CHAP （ Challenge-Handshake AuthenticationProtocol ，挑戰(zhàn)握手認(rèn)證協(xié)議）。采用挑戰(zhàn) - 響應(yīng)的方式進(jìn)行身份的認(rèn)證，認(rèn)證端發(fā)送一個隨機(jī)數(shù)給被認(rèn)證者，被認(rèn)證者發(fā)送給認(rèn)證端的不是明文口令，而是將口令和隨機(jī)數(shù)連接后經(jīng)MD5算法處理而得到的散列值，一旦CHAP俞入一次口令失敗，就中斷連接，不能再次輸入。MS-CHAP微軟挑戰(zhàn)握手認(rèn)證協(xié)議），采用MPPE力口密方法將用戶的密碼和數(shù)據(jù)同時進(jìn)行加密后再發(fā)送，應(yīng)答分組的格式和 Windows 網(wǎng)絡(luò)的應(yīng)答格式具有兼容性，散列算法采用MD4還具有口令交換功能、認(rèn)證失敗時重輸入等擴(kuò)展功能。EAP （擴(kuò)展身份認(rèn)證協(xié)議）是一個提供多個認(rèn)證方法的協(xié)議框架，允許用戶來根據(jù)自己的需要來自行定義認(rèn)證方式。EAP 的認(rèn)證使用非常廣泛，它不僅用于系統(tǒng)之間的身份認(rèn)證，而且還用于無線和有線網(wǎng)絡(luò)的認(rèn)證，除此之外，相關(guān)廠商可以自行開發(fā)所需要的EAP認(rèn)證方式，例如視網(wǎng)膜認(rèn)證、指紋認(rèn)證等都可以使用EAP。( 6 ) RADIUS( Remote Au