《vpn工作原理》ppt課件(文件)
【正文】 US用戶認證的體系結(jié)構(gòu) RADIUS的基本工作原理 ? 用戶接入 NAS， NAS向 RADIUS服務器使用AccessRequire數(shù)據(jù)包提交用戶信息，包括用戶名、密碼等相關(guān)信息，其中用戶密碼是經(jīng)過 MD5加密的，雙方使用共享密鑰，這個密鑰不經(jīng)過網(wǎng)絡(luò)傳播； RADIUS服務器對用戶名和密碼的合法性進行校驗，必要時可以提出一個 challenge，要求進一步對用戶認證，也可以對 NAS進行類似的認證；如果合法，給 NAS返回 AccessRequire數(shù)據(jù)包，允許用戶進行下一步工作，否則返回AccessReject數(shù)據(jù)包，拒絕用戶訪問。在這種模式中，用戶自主地對 L2TP進行配置和管理。會話結(jié)束后，先拆除會話連接，再拆除隧道。 （ 1）控制幀 ? 建立、維護、拆除隧道和會話時使用。 L2TP對 PPP分組進行封裝，格式如圖： T L R 0 F 0 S P 0 Ver 長度 (可選 ) 隧道 ID 會話 ID Ns（可選） Nr（可選） 偏移量（可選） 偏移量（可選） L2TP的數(shù)據(jù)幀格式 5 應用 IPSec構(gòu)建 VPN ? 概述 – IPSec是 IETF以 RFC形式公布的一組安全 IP協(xié)議集，是在IP層提供保護的安全協(xié)議標準， IPSec將幾種安全技術(shù)結(jié)合形成一個比較完整的安全體系結(jié)構(gòu)，它通過在 IP協(xié)議中增加兩個基于密碼的安全機制 ——認證頭（ AH）和封裝安全載荷（ ESP）來支持 IP數(shù)據(jù)項的可認證性、完整性和機密性。這一過程要求IPSec系統(tǒng)首先互相驗明自己的身份，并且建立ISAKMP或 IKE共享密鑰。發(fā)送端發(fā)送一變換集，接收端選擇其中一個。一個IPSec變換指定一種 AH或 ESP協(xié)議，及相應的算法與模式。 IPSec工作的 5步過程 主機 A 主機 B 路由器 A 路由器 B 主機 A向主機 B發(fā)送觸發(fā)性數(shù)據(jù)流 路由器 A和 B協(xié)商一個 IKE階段 1會話 IKE SA IKE phase 1 IKE SA 路由器 A和 B協(xié)商一個 IKE階段 2會話 IPSec SA IKE phase 2 IPSec SA 信息被通過 IPSec隧道交換 IPSec 隧道 IPSec 隧道被終止 IPSec安全關(guān)聯(lián)（ SA） ? 每個 IPSec連接能夠提供加密、完整性、認證或三者全部。 DiffieHellman密鑰協(xié)定在這個階段中總要被執(zhí)行。若要深刻理解安全關(guān)聯(lián)，還需要對密鑰管理 IKE（ Inter Key Exchange）協(xié)議有初步的了解。 AVP，Attribute Value Pair指屬性類型及屬性值，L2TP所有的命令都以 AVP表示。 ? （ 1）建立隧道 ? （ 2）建立會話 ? （ 3）傳輸用戶數(shù)據(jù)（ PPP幀） ? （ 4）拆除會話 ? （ 5）拆除隧道 L2TP頭 ? L2TP協(xié)議需傳送用戶數(shù)據(jù)和控制消息兩種類型幀，依據(jù)封裝的具體內(nèi)容不同， L2TP頭的格式將有所不同，有兩種 L2TP頭：一種是數(shù)據(jù)幀頭；另一種是控制幀頭。在這種模式下，對 L2TP實現(xiàn)的配置和管理都被委托于 NAS，用戶能透明地得到L2TP服務。此時的用戶主機將充當 LAC。換句話說， RADIUS是存放使用者的“用戶名”及“口令”的數(shù)據(jù)庫。這種機制還允許 PPP認證方簡單地把收到的認證報文透傳給后方的認證服務器，由后方的認證服務器來真正實現(xiàn)各種認證方法。 CHAP采取了挑戰(zhàn)應答認證方式，下圖顯示了認證流程。網(wǎng)絡(luò)接入服務器 N
教學課件相關(guān)推薦
鄂ICP備17016276號-1