信息安全技术-第7章-虚拟专用网

第7章虚拟专用网2本章概要本章针对虚拟专用网技术展开讲述，内容包括：虚拟专用网的作用；虚拟专用网的分类方法；虚拟专用网的工作原理；虚拟专用网常用协议。课程目标通过本章的学习，读者应能够：了解虚拟专用网的应用范围和分类；了解虚拟专用网的工作原理。37.1虚拟专用网的基本概念47.1.1什么是虚拟专用网？随着企业网应用的不断扩大，企业网的范围也不断扩大，从本地到跨地区、跨城市，甚至是跨国家的网络。但采用传统的广域网建立企业专网，往往需要租用昂贵的跨地区数字专线。同时公众信息网(Internet)已遍布各地，物理上各地的公众信息网都是连通的，但公众信息网是对社会开放的，如果企业的信息要通过公众信息网进行传输，在安全性上存在着很多问题。那么，该如何利用现有的公众信息网建立安全的企业专有网络呢？为了解决上述问题，人们提出了虚拟专用网(VPN，VirtualPrivateNetwork)的概念。5虚拟专用网VPN（VirtualPrivateNetwork）技术是指在公共网络中建立专用网络，数据通过安全的“加密管道”在公共网络中传播。InternetVPN通道隧道交换机移动用户VPN的基本概念图7.1虚拟专用网6VPN技术是指在公共网络中建立专用网络，数据通过安全的“加密管道”在公共网络中传播。企业只需要租用本地的数据专线，连接上本地的公众信息网，各地的机构就可以互相传递信息;同时，企业还可以利用公众信息网的拨号接入设备，让自己的用户拨号到公众信息网上。就可以连接进入企业网中。一使用VPN有节省成本、提供远程访问、扩展性强、便于管理和实现全面控制等好处，是企业网络发展的趋势。77.1.2VPN的功能.虚拟专网的重点在于建立安全的数据通道，构造这条安全通道的协议必须具备以下条件：保证数据的真实性，通信主机必须是经过授权的，要有抵抗地址冒认(IPSpoofing)的能力；保证数据的完整性，接收到的数据必须与发送时的一致，要有抵抗不法分子篡改数据的能力；保证通道的机密性，提供强有力的加密手段，必须使偷听者不能破解拦截到的通道数据；提供动态密钥交换功能，提供密钥中心管理服务器，必须具备防止数据重演(Replay)的功能，保证通道不能被重演；提供安全防护措施和访问控制，要有抵抗黑客通过VPN通道攻击企业网络的能力，并且可以对VPN通道进行访问控制(AccessControl)。一虚拟专用网概述VPN实际上是一种服务，其基本概念如下所述：●采用加密和认证技术，利用公共通信网络设施的一部分来发送专用信息，为相互通信的节点建立一个相对封闭的、逻辑的专用网络一虚拟专用网概述VPN实际上是一种服务，其基本概念如下所述：●通常用于大型组织跨地域的各个机构之间的联网信息交换，或是流动工作人员与总部之间的通信；一虚拟专用网概述VPN实际上是一种服务，其基本概念如下所述：●只允许特定利益集团内建立对等连接，保证在网络中传输的数据的保密性和安全性。一虚拟专用网概述其中虚拟(virtual)的概念是相对传统专用网络的构建方式而言的，对于广域网连接，传统的组网方式是通过远程拨号和专线连接来实现的，而VPN是利用服务提供商(ISP或NSP)所提供的公共网络来实现远程的广域连接，即网络不是物理上独立存在的网络，而是利用共享的通信基础设施仿真专用网络的设备。一虚拟专用网概述专用(private)的含义是用户可以为自己制定一个最符合自己需求的网络，使网内业务独立于网外的业务流，且具有独立的寻址空间和路由空间，而且使得用户获得等同于专用网络的通信体验。。二VPN的工作流程VPN需要在跨越公用网络的两个网络之间建立虚拟的专用隧道。在隧道被初始化后，传送过程中VPN数据的保密性和完整性通过加密技术加以保护。二VPN的工作流程图9.4基于IP的VPN网络的工作流程目前VPN主要采用4项技术，分别是隧道技术(tunneling)、加解密技术(encryption&decryption)、密钥管理技术(keymanagement)、身份鉴别技术(authentication)。三VPN的主要技术网络隧道技术指的是利用一种网络协议来传输另一种网络协议，它主要利用网络隧道协议来实现这种功能。网络隧道技术涉及了3种网络协议，即网络隧道协议、隧道协议下面的承载协议和隧道协议所承载的被承载协议。1.隧道技术三VPN的主要技术有两种类型的隧道协议：一种是二层隧道协议，用于传输二层网络协议，它主要应用于构建拨号VPN(accessVPN)；另一种是三层隧道协议，用于传输三层网络协议，它主要应用于构建内部网VPN(IntranetVPN)和外联网VPN(ExtranetVPN)。1.隧道技术三VPN的主要技术一个隧道的基本组成如图9.5所示，包括一个隧道启动器、一个公共网络(Internet)和一个隧道终结器。1.隧道技术图9.5隧道的基本组成三VPN的主要技术数据通信中的加解密技术是一项较成熟的技术，VPN可直接利用现有技术，如DES、3-DES、MD5、数字签名技术等。2.加解密技术三VPN的主要技术密钥管理的主要任务是如何在公用数据网中安全地传递密钥，而不被窃取。加解密算法都离不开密钥，因此密钥管理技术也是很重要的。现行常用的密钥管理技术又可分为SKIP(simplekeymanagementforIP)和IPsec中的ISAKMP／Oakley两种。3.密钥管理技术三VPN的主要技术三VPN的主要技术为加强对使用者的鉴别管理，通常的解决方案是采用远程身份验证拨入用户服务RADIUS(RFC2138、2139)，它是一个维护用户配置文件的数据库，能支持用户鉴别、鉴权和计费(AAA-authentication，authorization，accounting)，代理RADIUS功能允许在ISP的接入点设备上接入客户的RADIUS服务器，以获得必要的用户配置文件信息。4.身份鉴别技术三VPN的主要技术RADIUS的一个缺点是其登录的数据无层次结构。另一种方案是采用轻量级目录接入协议LDAP(RFCl777)，其特点是登录的用户信息有层次结构，适合于组织机构的用户数据的登录。4.身份鉴别技术四VPN服务分类VPN业务拨号VPN(accessVPN)专线VPN内部网VPN(intranetVPN)外联网VPN(extranetVPN)四VPN服务分类1．拨号VPN拨号VPN是指企业员工或企业的小分支机构通过公网远程拨号的方式构筑的虚拟网。拨号VPN根据隧道发起的方式又可分为由用户发起、由ISP拨号服务器发起或由企业网远程路由器发起3种。通常用的最多的是通过ISP拨号服务器发起的VPN，这种方式是通过PPTP／L2TP协议来实现第二层的隧道封装。四VPN服务分类1．拨号VPN拨号VPN通过一个拥有与专用网络相同策略的共享基础设施，提供对企业内部网或外部网的远程访问。拨号VPN能使用户随时、随地以其所需的方式访问企业资源。拨号VPN包括模拟、拨号、ISDN、数字用户线路(xDSL)、移动IP和电缆技术，能够安全地连接移动用户、远程工作者或分支机构。四VPN服务分类2．内部网VPN内部网VPN即进行企业内部各分支机构的互联。利用VPN技术可以在Internet上组建世界范围内的内部网VPN，通过一个使用基于共享基础设施的虚拟专网，连接企业总部、远程办事处和分支机构，即利用Internet的线路保证网络的互联性，而利用隧道、加密等VPN特性可以保证信息在整个内部网VPN上安全传输，从而使企业拥有与专用网络的相同政策，包括安全、服务质量(QoS)、可管理性和可靠性。四VPN服务分类2．内部网VPN内部网VPN通常使用IPSec协议来实现。四VPN服务分类3.外联网VPN外联网VPN是指企业同客户、合作伙伴的互联。利用VPN技术可以组建安全的外联网(extranet)，既可以向客户、合作伙伴提供有效的信息服务，又可以保证自身内部网络的安全。四VPN服务分类3.外联网VPN外联网VPN通过一个使用专用连接的共享基础设施，将客户、供应商、合作伙伴或兴趣群体连接到企业内部网。企业拥有与专用网络的相同政策，包括安全、服务质量(QoS)、可管理性和可靠性。307.1.3VPN的分类根据不同的需要，可以构造不同类型的VPN。不同商业环境对VPN的要求和VPN所起的作用不同。这里分三种情况说明VPN的用途。a.内部VPN：指在公司总部和其分支机构之间建立的VPN；b.远程访问VPN：指在公司总部和远地雇员之间建立的VPN；C.外联网VPN：指公司与商业伙伴、客户之间建立的VPN。31内部网VPN——用VPN连接公司总部和其分支机构.远程访问VPN——用VPN连接公司总部和远程用户.外联网VPN——用VPN连接公司和其业务伙伴.VPN的分类及用途子公司LAN合作伙伴LAN远程用户Internet图7.2VPN三种主要分类32内部网VPN内部网是通过公共网络将某一个组织的各个分支机构的LAN联结而成的网络。这种类型的LAN到LAN的联结所带来的风险最小，因为公司通常认为他们的分支机构是可信的，这种方式联结而成的网络被称为Intranet，可看作是公司网络的扩展。当一个数据传输通道的两个端点被认为是可信的时候，可以选择内部网VPN解决方案。安全性主要在于加强两个VPN服务器之间加密和认证的手段。内部网VPN参见下页图7.3：33InternetVPN服务器VPN服务器路由器路由器加密信道加密认证VPN总部LAN子公司LAN一个安全的VPN服务，应该为子公司的不同用户指定不同的访问权限。内部网VPN图7.3内部网VPN拓扑图34远程访问VPN典型的远程访问VPN是用户通过本地的信息提供商(ISP)登陆到Internet上，并在现在的办公室和公司内部网之间建立一条加密通道。有较高安全度的远程访问VPN应能截获特定主机的信息流，有加密、身份认证和过滤等功能。远程访问VPN参见下页图7.4：35InternetVPN服务器加密信道总部LANVPN的功能：1、访问控制管理。2、用户身份认证。3、数据加密。4、智能监视和审计记录。5、密钥和数字签名管理。PC机移动用户公共服务器远程访问VPN图7.4远程访问VPN拓扑图36外联网VPN外联网VPN为公司商业伙伴、客户和在远地的雇员提供安全性。外联网VPN的主要目标是保证数据在传输过程中不被修改，保护网络资源不受外部威胁。外联网VPN应是一个由加密、认证和访问控制功能组成的集成系统。通常将公司的VPN代理服务器放在一个不能穿透的防火墙之后，防火墙阻止来历不明的信息传输。所有经过过滤后的数据通过一个唯一的入口传到VPN服务器，VPN在根据安全策略进一步过滤。外联网VPN参见下页图7.5：37InternetVPN服务器VPN服务器加密信道加密认证VPN公司内联网合作公司内联网1、VPN服务应有详细的访问控制。2、与防火墙/协议兼容。FTP服务器外联网VPN图7.5外联网VPN拓扑图387.2VPN常用的协议OSI七层模型安全技术安全协议应用层表示层应用代理会话层传输层会话层代理SOCKV5网络层数据链路层物理层包过滤IPSecPPTP/L2TPVPN常用的协议有SOCKv5、IPSec、PPTP以及L2TP等。这些协议对应的OSI层次结构如下：397.2.1SOCKv5SOCKv5是一个需要认证的防火墙协议，当SOCK同SSL协议配合使用，可作为建立高度安全的VPN的基础。1.优点a.SOCKv5在OSI模型的会话层控制数据流，定义了非常详细的访问控制。b.SOCKv5在客户机和主机之间建立了一条虚电路，可根据对用户的认证进行监视和访问。c.SOCKv5能提供非常复杂的方法保证信息安全传输。d.用SOCKv5的代理服务器可以隐藏网络的IP地址。40e.SOCKv5同防火墙一起使用，防止防火墙的漏洞。f.SOCKv5能为认证、加密和密钥管理提供“插件”模块。g.SOCKv5可根据规则过滤数据包。2.缺点因SOCKv5通过代理服务器来增加一层安全性，因此性