信息安全课件--10-VPN的设计与实现.pptVIP

第六章 VPN的设计与实现 VPN概述 VPN关键技术 隧道协议与VPN实现 VPN安全性分析 参考书：1 《网络安全－技术与实践》 刘建伟 编著 清华大学出版社 2 《VPN与网络安全》 戴宗坤 唐三平 编著 电子工业出版社 6.1 VPN概述 VPN概念 VPN特点 VPN分类 6.1.1 VPN概念 虚拟专用网(Virtual Private Network ，简称VPN)指的是在公用网络上建立专用网络的技术 . 为什么称为虚拟专用网？ 6.1.1 VPN概念 所谓虚拟专用网络VPN （Virtual Private Network ）是指将物理上分布在不同地点的网络通过公用网络连接成逻辑上的虚拟子网，并采用认证、访问控制、机密性、数据完整性等在公用网络上构建专用网络的技术，使得数据通过安全的“加密管道”在公用网络中传播。 6.1.2 VPN的特点 VPN应具备的特点 费用低 安全保障 服务质量保证 可扩充性和灵活性 可管理性 6.1.3 VPN的分类 VPN主要有两种类型 远程访问/移动用户的VPN连接 远程访问VPN连接由远程客户机提出连接请求，VPN服务器对整个网络资源提供访问服务。 网关－网关的VPN连接 由呼叫网关提出连接请求，另一端VPN网关作出响应。 6.2 VPN关键技术 隧道技术 加解密技术 密钥管理技术 身份认证技术 访问控制 6.2.1 隧道封装技术 VPN数据和路由的管理模式 叠加模式（overlay model） IPsec,GRE,帧中继，ATM电路等。 对等模式（peer model） BGP，MPLS 叠加模式 由点到点的连接以及相关的路由器组成的网络称为虚拟骨干网。 缺点： 需要VPN用户设计并运作虚拟骨干网 VPN的网络规模不能太大，可扩展性差 对等模式 网络层的转发路径是基于一个跳点一个跳点进行计算的，在数据传输的中途路径中的每一跳点节点与下一跳点节点处于同一网络层。 优点：可扩展性好 缺点：节点承担一定的负担 6.2.2 身份鉴别和认证技术 口令验证协议（PAP） 询问－应答验证协议（CHAP） 微软询问-应答验证协议（MS-CHAP） SecurID RADIUS CRACK 口令验证协议（PAP） PAP（password authentication protocol）是一种简单的明文验证方式。NAS（network access server）要求用户提供用户名和口令，PAP以明文的方式返回用户信息。 询问－应答验证协议（CHAP） CHAP(challenge-handshake authentication protocol)是一种加密验证方式，能够避免建立连接时传送用户的真实密码。 微软询问-应答验证协议（MS-CHAP） 微软公司的一种加密验证机制，使用基于MPPE（microsoft point-to-point encryption）的数据加密。 SecurID RSA SecurID动态口令时美国RSA公司提出的安全身份认证技术标准。 它采用双因素密码的强用户身份认证方式，一个因素是用户知道的静态PIN码，一个是用户所拥有的令牌动态码。 RADIUS remote authentication dial in user service：远程拨入用户认证服务，它定义了在NAS和集中存放认证消息的RADIUS服务器之间传输认证、授权和配置信息的协议。 CRACK challenge/response authentication of cryptographic keys:密钥问答认证，它允许在IKE协议中直接进行非对称形式的认证。 6.2.3 QoS技术 带宽：网络提供给用户的传输率 反应时间：用户所能容忍的数据包传递延时 抖动：延时的变化 丢包率：数据包丢失的比率 6.3 隧道协议与VPN实现 PPTP L2F L2TP MPLS IPSec SSL SOCKS 6.3.1 PPTP协议 PPTP（Point-to-Point Tunneling Protocol）点到点隧道协议：该协议由美国微软公司设计，用于将PPP分组通过IP网络封装传输。 6.3.1 PPTP协议 控制连接是一条TCP连接，在传送任何PPTP分组之前，必须在PAC和PNS之间建立一条控制连接。 在一个PAC,PNS对之间可以形成一条或多条PPTP隧道，PPTP协议使用隧道ID来区分它们。在PPTP隧道中，PPP分组通过GRE封装形成PPTP分组并发送至对方。 6.3.1 PPTP协议 PPTP在协议栈中的位置 6.3.2 L2F 是Cisco公司提出的隧道技术。它对链路层帧进行封装传递，使得传统的PPP多协议拨号和SLIP的IP