vpn連接-文庫吧
2025-08-02 20:38 本頁面
【正文】 MSCHAP v2 或 EAP/TLS 身份驗證被協(xié)商之后，數據才由 MPPE 進行加密， MPPE 需要這些類型的身份驗證生成的公用客戶和服務器密鑰。 對于 L2TP服務器，將使用 IPSec機制對數據進行加密 IPSec是基于密碼學的保護 服務和安全協(xié)議的套件。 IPSec 對使用 L2TP 協(xié)議的 VPN 連接提供機器級身份驗證和數據加密。在保護密碼和數據的 L2TP 連接建立之前， IPSec 在計算機及其遠程 VPN服務器之間進 行協(xié)商。 IPSec 可用的加密包括 56 位密鑰的數據加密標準 DES 和 56 位密鑰的三倍 DES (3DES)。 要實現(xiàn) VPN連接，企業(yè)內部網絡中必須配置有 VPN 設備 ， VPN設備 一方面連接企業(yè)內部專用網絡，另一方面要連接到 Inter，也就是說 VPN設備 必須擁有一個公用的 IP地址。當客戶機通過 VPN連接與 內部 網絡中的計算機進行通信時，先由 ISP（ Inter服務提供商）將所有的數據傳送到 VPN設備 ，然后再由 VPN設備 負責將所有的數據傳送到目標計算機。 VPN使用三個方面的技術保證了通信的安全性：隧道協(xié)議、身份驗證和數據加密?？蛻魴C向 VPN設備 發(fā)出請求， VPN設備 響應請求并向客戶機發(fā)出身份質詢，客戶機將加密的響應信息發(fā)送到 VPN設備 ， VPN設備 根據用戶數據庫檢查該響應，如果賬戶有效， VPN設備 將檢查該用戶是否具有遠程訪問權限，如果該用戶擁有遠程訪問的權限， VPN設備 接受此連接。在身份驗證過程中產生的客戶機和服務器公 有密鑰將用來對數據進行加密。 為 VPN設備 選擇位置 遠程用戶的從屬關系有助于確定 VPN設備放置的位置。對于期望通過遠程訪問復制辦事處工作環(huán)境的員工來說， VPN設備 最好直接放在專用網絡中，但這一方法也最易成為攻擊者的攻擊目標。 對于員工企業(yè)，如果絕大多數遠程用戶屬于外部機構，將 VPN設備放在 DMZ網絡上意義更大，因為它要比內部網絡更為安全，屏蔽 DMZ的防火墻有助于保護其間的設備。這種方法也比將 VPN設備完全放在安全設施周邊之外更安全。如果一臺認證服務器屬于 DMZ子網，它會得到細心的管理和保護，免于內部和外部的 威脅。 企業(yè)在設計安全內聯(lián)網和外聯(lián)網時，安置 VPN 和認證服務器是關鍵的一步。其中，建立與下屬辦事處的鏈路最簡單：一對 VPN 服務器只需在兩個站點間建立加密通道。因為出差旅行的員工或遠程工作站需要進行認證，因此，它們建立與 VPN 服務器的鏈路，將認證請求傳送到 DMZ 上的認證服務器。外界顧問不需要認證，他們只需同另一臺 VPN 服務器連接起來，這一臺服務器應位于第二個 DMZ 上，以保護公司的認證服務器。另外值得注意的是，企業(yè)為業(yè)務伙伴進行的連接配置最需要技巧，連接請求首先到達第二個 DMZ 上的VPN 服務器，之后請求被傳送到 第一個 DMZ 上的認證服務器，最后，批準的請求被傳送到請求訪問的資源中。 重新配置其他網絡設備 安裝 VPN，特別是涉及 IP 地址管理和防火墻時，公司可能要對網絡上的其他設備重新進行配置。 VPN 通常使用網絡地址翻譯器（ NAT），如 IETF RFC 1918 中所述， NAT將專用地址（通常從一組保留的地址中選出）映射到一個或幾個在 Inter 上可見的地址上。 網管員至少要使 VPN設備的配置清楚哪些地址要保留下來供內部使用。此外，許多基于VPN的防火墻還支持動態(tài)主機配置協(xié)議（ DHCP）。網管員需將 DHCP和 VPN功能協(xié)調起來，否則，客戶機可能最終將信息只發(fā)送到 Inter 而不是專用網絡上。 一些 VPN 設備使用虛擬網絡適配器將有效的 IP 地址分配到專用網絡上，如 DEC 公司的Altavista 通道服務器，或使用由微軟公司開發(fā)的點到點通道協(xié)議（ PPTP）都可以將這些地址分配到未使用的地址中，并對路由器及其他需要進行地址更新的網絡設備進行必要的修改。 如果 VPN 服務器在防火墻以內，網絡管理員還要對防火墻進行重新配置。大多數 VPN將所有信息流閉合起來，形成一股使用單一 TCP端口號的信息流。這 樣，防火墻需要一個類屬代理或用于傳遞封閉 VPN信息 流的規(guī)則，以及允許將信息流傳送到 VPN設備上的規(guī)則。 如果 VPN設備位于 DMZ部分的外聯(lián)網中，防火墻還需要一個允許加密信息流從 Inter流動到 DMZ上的規(guī)則，另外，還有讓應用程序流從 DMZ流動到內部網絡上的規(guī)則。如果認證服務器位于內部網絡上，防火墻的配置一定要有允許 DMZ和專用網絡間的認證請求。 網絡管理員應該注意，網絡中中有一個千萬不能被篡改的地方是專用網絡的域名系統(tǒng)（ DNS）服務器，它負責專用網絡設備的主機名稱到 IP 地址的解析。如果 DNS 可在 Inter上看到，那么攻擊者可了解專用網絡的布局。 安裝和配置 VPN 對于基于軟件的 VPN和那些圍繞防火墻制作的產品，從安全系統(tǒng)入手是根本。在安裝前從服務器中取消所有不必要的服務、應用程序和用戶帳戶，以確保安裝的是最新的、安全的產品，這樣安裝 VPN軟件才是安全的。 對 VPN進行配置時，網管員要為一系列因素設定參數，包括密鑰長度、主要與次要認證服務器及相關的共享秘密資源、連接和超時設置、證書核查 VPN終點設備（而不是用戶）的身份，大部分 VPN產品都提供此功能。對此，一些廠商的實現(xiàn)的方式是，讓所有信息進入 總部設備下載相關信息。而對于遠程用戶，則需要建立口令，準備連接腳本，確立認證步驟。 網管員還要讓認證和授權程序協(xié)調起來。兩者聽起來差不多，但有些微妙且重要的差別。認證是要證明遠程用戶是她或他聲稱的身份（在外聯(lián)網設置中，要證明的則相反，即服務器可信）。授權是要確定遠程用戶有權訪問何種網絡資源。如果認證服務器還控制授權分組，例如營銷或策劃小組的授權，則系統(tǒng)還要注意核查它是否能正確地同 VPN 設備聯(lián)絡組信息。 監(jiān)控和管理 VPN 這
公司管理相關推薦
鄂ICP備17016276號-1