信息安全技术 第7章 虚拟专用网

Internet 隧道交换机
移动用户
VPN通道
图7.1 虚拟专用网
5
VPN技术是指在公共网络中建立专用网络，数据通过安
全的“加密管道”在公共网络中传播。企业只需要租用本地 的数据专线，连接上本地的公众信息网，各地的机构就可以
互相传递信息;同时，企业还可以利用公众信息网的拨号接入
设备，让自己的用户拨号到公众信息网上。就可以连接进入 企业网中。一使用VPN有节省成本、提供远程访问、扩展性
33
远程访问VPN
典型的远程访问VPN是用户通过本地的信息提供商(ISP) 登陆到 Internet 上，并在现在的办公室和公司内部网之间建 立一条加密通道。 有较高安全度的远程访问 VPN应能截获特定主机的信息 流，有加密、身份认证和过滤等功能。
远程访问VPN参见下页图7.4：
34
远程访问VPN
合作伙伴LAN
Internet 远程用户
子公司LAN
图7.2 VPN三种主要分类
31
内部网VPN
内部网是通过公共网络将某一个组织的各个分支机构的 LAN联结而成的网络。这种类型的LAN到LAN的联结所带来 的风险最小，因为公司通常认为他们的分支机构是可信的， 这种方式联结而成的网络被称为 Intranet ，可看作是公司网 络的扩展。 当一个数据传输通道的两个端点被认为是可信的时候， 可以选择内部网 VPN 解决方案。安全性主要在于加强两个
37
7.2 VPN常用的协议
VPN常用的协议有SOCK v5、IPSec、PPTP以及 L2TP等。这些协议对应的OSI层次结构如下：
(encryption & decryption)、密钥管
理技术(key management)、身份鉴别
技术(authentication)。
1. 隧道技术
三 VPN
网络隧道技术指的是利用一种网络
的 主 要 技 术
协议来传输另一种网络协议，它主要利
用网络隧道协议来实现这种功能。网络
隧道技术涉及了3种网络协议，即网络
拨号 VPN (access VPN)
服 务 分 类
VPN业务
内部网VPN (intranet VPN)
专线VPN
外联网VPN (extranet VPN)
1．拨号VPN
四 VPN 拨号VPN是指企业员工或企业的小分支机 构通过公网远程拨号的方式构筑的虚拟网。拨 号VPN根据隧道发起的方式又可分为由用户发 起、由ISP拨号服务器发起或由企业网远程路
VPN服务器之间加密和认证的手段。
内部网VPN参见下页图7.3：
32
内部网VPN
VPN服务器 一个安全的VPN服务，应该为子 公司的不同用户指定不同的访问 权限。 VPN Internet 路由器 加密 认证 总 部 L A N 子 公 司 L A N 路由器
加密信道 VPN服务器
图7.3 内部网VPN拓扑图
模拟、拨号、ISDN、数字用户线路(xDSL)、
移动IP和电缆技术，能够安全地连接移动用户、
远程工作者或分支机构。
2．内部网VPN
四
内部网VPN即进行企业内部各分支机构的互联。利 用VPN技术可以在Internet上组建世界范围内的内部 网VPN，通过一个使用基于共享基础设施的虚拟专网，
服 务 分 类
的 主 要 技 术
VPN
3. 密钥管理技术
三 VPN 密钥管理的主要任务是如何在公用数据网 中安全地传递密钥，而不被窃取。加解密算法
的 主 要 技 术
都离不开密钥，因此密钥管理技术也是很重要
的。
现行常用的密钥管理技术又可分为
SKIP(simple key management for IP)和 IPsec中的ISAKMP／Oakley两种。
VPN)。
1. 隧道技术
三
一个隧道的基本组成如图9.5所示，包括一个隧道启 动器、一个公共网络(Internet)和一个隧道终结器。
的 主 要 技 术
图9.5 隧道的基本组成
VPN
2. 加解密技术
三
数据通信中的加解密技术是一项 较成熟的技术， VPN 可直接利用现有 技术，如 DES 、 3-DES 、 MD5 、数字 签名技术等。
VPN需要在跨越公用网络的两
个网络之间建立虚拟的专用隧道。 在隧道被初始化后，传送过程中 VPN数据的保密性和完整性通过加 密技术加以保护。
的 工 作 流 程
二 VPN
的 工 作 流 程
图9.4 基于IP的VPN网络的工作流程
三 VPN
目前VPN主要采用4项技术，分别
的 主 要 技 术
是隧道技术(tunneling)、加解密技术
7
VPN实际上是一种服务，其基本概念如下所述：
一 虚 拟 专 用 网 概 述
●采用加密和认证技术，利用公共通信
网络设施的一部分来发送专用信息，为
相互通信的节点建立一个相对封闭的、
逻辑的专用网络
VPN实际上是一种服务，其基本概念如下所述：
一 虚 拟 专 用 网 概 述
●通常用于大型组织跨地域的各个机构 之间的联网信息交换，或是流动工作人 员与总部之间的通信；
VPN实际上是一种服务，其基本概念如下所述：
一 虚 拟 专 用 网 概 述
●只允许特定利益集团内建立对等连接，
保证在网络中传输的数据的保密性和安全
性。
一 虚 拟 专 用 网 概 述
其中虚拟(virtual)的概念是相对传统专用网 络的构建方式而言的，对于广域网连接，传统 的组网方式是通过远程拨号和专线连接来实现 的，而VPN是利用服务提供商(ISP或NSP)所提 供的公共网络来实现远程的广域连接，即网络
3
7.1.1 什么是虚拟专用网？
随着企业网应用的不断扩大，企业网的范围也不断扩大， 从本地到跨地区、跨城市，甚至是跨国家的网络。但采用传 统的广域网建立企业专网，往往需要租用昂贵的跨地区数字
专线。同时公众信息网(Internet)已遍布各地，物理上各地的
公众信息网都是连通的，但公众信息网是对社会开放的，如 果企业的信息要通过公众信息网进行传输，在安全性上存在
保证通道的机密性，提供强有力的加密手段，必须使偷听者不 能破解拦截到的通道数据；
提供动态密钥交换功能，提供密钥中心管理服务器，必须具备 防止数据重演(Replay)的功能，保证通道不能被重演； 提供安全防护措施和访问控制，要有抵抗黑客通过VPN通道攻 击企业网络的能力，并且可以对VPN通道进行访问控制(Access Control)。
b.远程访问 VPN：指在公司总部和远地雇员之间建立的
VPN； C. 外联网 VPN ：指公司与商业伙伴、客户之间建立的 VPN。
30
VPN的分类及用途
内 部 网VPN——用VPN连接公司总部和其分支机构. 远程访问VPN——用VPN连接公司总部和远程用户. 外 联 网VPN——用VPN连接公司和其业务伙伴.
第7章 虚拟专用网
本章概要
本章针对虚拟专用网技术展开讲述，内容包括： 虚拟专用网的作用； 虚拟专用网的分类方法； 虚拟专用网的工作原理；

虚拟专用网常用协议。
课程目标 通过本章的学习，读者应能够： 了解虚拟专用网的应用范围和分类； 了解虚拟专用网的工作原理。
2
7.1 虚拟专用网的基本概念
上接入客户的RADIUS服务器，以获得必要的用户配置文 件信息。
三 VPN
4. 身份鉴别技术
RADIUS的一个缺点是其登录的数 据无层次结构。另一种方案是采用轻量
的 主 要 技 术
级目录接入协议LDAP(RFCl777)，其特
点是登录的用户信息有层次结构，适合
于组织机构的用户数据的登录。
四 VPN
VPN
连接企业总部、远程办事处和分支机构，即利用
Internet的线路保证网络的互联性，而利用隧道、加 密等VPN特性可以保证信息在整个内部网VPN上安全传
输，从而使企业拥有与专用网络的相同政策，包括安
全、服务质量(QoS)、可管理性和可靠性。
2．内部网VPN
四 VPN
服 务 分 类
内部网VPN通常使用IPSec
强、便于管理和实现全面控制等好处，是企业网络发展的趋
势。
6பைடு நூலகம்
7.1.2VPN的功能.
虚拟专网的重点在于建立安全的数据通道，构造这条安全 通道的协议必须具备以下条件：保证数据的真实性，通信主机 必须是经过授权的，要有抵抗地址冒认(IPSpoofing)的能力； 保证数据的完整性，接收到的数据必须与发送时的一致，要有 抵抗不法分子篡改数据的能力；
4. 身份鉴别技术
三
为加强对使用者的鉴别管理，通常的解决方案是采用 远程身份验证拨入用户服务RADIUS(RFC2138、2139)，它 是一个维护用户配置文件的数据库，能支持用户鉴别、 鉴权和计费(AAA-authentication，authorization，
的 主 要 技 术
VPN
accounting)，代理RADIUS功能允许在ISP的接入点设备
共享基础设施，将客户、供应商、合作伙
伴或兴趣群体连接到企业内部网。企业拥
有与专用网络的相同政策，包括安全、服
务质量(QoS)、可管理性和可靠性。
7.1.3 VPN的分类
根据不同的需要，可以构造不同类型的 VPN。不同商业 环境对VPN的要求和VPN所起的作用不同。这里分三种情况 说明VPN的用途。 a. 内部 VPN ：指在公司总部和其分支机构之间建立的 VPN；
着很多问题。那么，该如何利用现有的公众信息网建立安全
的企业专有网络呢？为了解决上述问题，人们提出了虚拟专 用网(VPN，Virtual Private Network)的概念。