【網(wǎng)絡(luò)通信安全管理員認(rèn)證－中級(jí)】vpn-文庫(kù)吧在線文庫(kù)
【正文】 鏈路可能包含： （ 1）、不受企業(yè)自身控制的設(shè)備 (例如 ISP的接入盒部分，互聯(lián)網(wǎng)當(dāng)中的路由器 )。由于 IP是無(wú)連接協(xié)議，每個(gè)用戶的數(shù)據(jù)包可能途徑不同的路徑。 互聯(lián)網(wǎng)的安全問題 在遠(yuǎn)程接入環(huán)境中， ISP需要構(gòu)造一條隧道來(lái)擴(kuò)展 PPP連接，從而使通信連接可以到達(dá)遠(yuǎn)程 ISP接入盒和安全網(wǎng)關(guān)。 VPN、防火墻和路由器 在很多應(yīng)用環(huán)境中， IP分組過濾是通過防火墻和路由器來(lái)提供的。在這種模式中， VPN客戶端連接到一個(gè) VPN服務(wù)器，該服務(wù)器作為客戶端和子網(wǎng)內(nèi)主機(jī)的網(wǎng)關(guān)。IKE利用共享秘密來(lái)產(chǎn)生一個(gè)密鑰 。這可以通過對(duì)所傳輸?shù)臄?shù)據(jù)進(jìn)行哈希函數(shù)和校驗(yàn)和運(yùn)算來(lái)完成。 隧道協(xié)議 隧道使用隧道協(xié)議來(lái)封裝數(shù)據(jù)。 密碼算法 VPN中的安全機(jī)制本質(zhì)上 依托于 密碼系統(tǒng)，如各種加密算法、鑒別算法。而且 VPN對(duì)網(wǎng)管安全提出了更高要求，目前經(jīng)常采用標(biāo)準(zhǔn)的網(wǎng)管協(xié)議 SNMP V2一方面安全機(jī)制不健全，另一方面缺乏對(duì) VPN系統(tǒng)的內(nèi)在支持。大規(guī)模部署 VPN，也離不開自動(dòng)密鑰管理 協(xié)議的支持。 隧道協(xié)議 ?通用路由封裝協(xié)議－ GRE，格式(IP(GRE(協(xié)議 X))) ?第二層隧道協(xié)議－ L2TP,格式(IP(UDP(L2TP(協(xié)議 X)))) ? IP層安全協(xié)議－ IP Sec,格式(IP(IPSec(協(xié)議 X))) ? IP嵌套協(xié)議－ IP/IP,格式 (IP(控制信息(協(xié)議 X))) 四種隧道協(xié)議的比較 GRE協(xié)議 L2TP協(xié)議 IPSec協(xié)議 IP/IP協(xié)議 工作模式 對(duì)等模式 客戶 /服務(wù)器 對(duì)等模式 對(duì)等模式 安全機(jī)制 較弱（源鑒別） 較弱的鑒別和加密 完整、內(nèi)在的安全保護(hù) 無(wú) 隧道配置、建立 網(wǎng)管（顯式） 網(wǎng)管（顯式） IKE(隱式 ) 網(wǎng)管（顯式） 隧道管理 無(wú) Hello報(bào)文等機(jī)制 無(wú) 軟狀態(tài)機(jī)制 對(duì)多路復(fù)用的支持 支持 支持 支持 不支持 對(duì)多協(xié)議的支持 支持 支持 不支持 不支持 對(duì)包按序傳送的支持 不支持 支持 可支持，但目前未用 不支持 對(duì)服務(wù)質(zhì)量的支持 都不支持 擴(kuò)展性 尚未解決 訪問控制 VPN使位置分散的各個(gè)網(wǎng)絡(luò)間資源共享成為可能，一般而言，對(duì)資源的訪問應(yīng)在訪問策略的控制下進(jìn)行。 VPN隧道對(duì)要傳輸?shù)臄?shù)據(jù)用隧道協(xié)議進(jìn)行封裝，這樣可以使數(shù)據(jù)穿越公共網(wǎng)絡(luò) (通常是指Inter)。當(dāng)數(shù)據(jù)到達(dá)目的地，這些分組被拆封，然后解密。如果VPN隧道是在防火墻處終止，那么還可以在企業(yè)內(nèi)聯(lián)網(wǎng)的 DMZ(非軍事區(qū)，指內(nèi)網(wǎng)和外網(wǎng)的安全過渡子網(wǎng) )中對(duì)通信信息進(jìn)行額外的安全檢查，如病毒查殺或內(nèi)容過濾。圖中使用的是 IPSec安全協(xié)議。因?yàn)樵诼酚善魈?，它需要?duì)用戶數(shù)據(jù)包解密，然后依據(jù) IP協(xié)議頭轉(zhuǎn)發(fā)到下一個(gè)路由器。 公司認(rèn)為自己的內(nèi)聯(lián)網(wǎng)是可信的，而它的合作伙伴可能認(rèn)為他們的內(nèi)聯(lián)網(wǎng)是不可信的。 *竊聽 、 內(nèi)容被篡改 、 拒絕服務(wù)攻擊等 VPN的安全考慮 一條端對(duì)端通路的各組成部分： 可能包含一條到 ISP的撥號(hào)連接，以及 ISP到企業(yè)內(nèi)部網(wǎng)的公共網(wǎng)絡(luò)段，最后是邊界網(wǎng)關(guān)或防火墻和企業(yè)的內(nèi)聯(lián)網(wǎng)。正如上面提到的， VPN的通信流是建立在公共網(wǎng)絡(luò)基礎(chǔ)之上的，因此對(duì)于一條 VPN連接來(lái)說，必須采用防范措施來(lái)實(shí)現(xiàn)特定的安全需求。 注解： 它是對(duì)企業(yè)內(nèi)部網(wǎng)的擴(kuò)展。而且為了對(duì)上層應(yīng)用透明， VPN采用協(xié)議隧道技術(shù)。 （ 2）、位于內(nèi)部網(wǎng)和外部網(wǎng)之間的安全網(wǎng)關(guān) (防火墻，路由器 )。事實(shí)上，來(lái)自
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1