【網(wǎng)絡(luò)通信安全管理員認證－中級】vpn(編輯修改稿)
2025-03-19 14:13 本頁面
【文章內(nèi)容簡介】 網(wǎng)段存在的潛在安全問題 在一條端對端通路當中 ， 有四類機器： ① 遠程主機 (撥號 ) ② 固定主機 (源和目的主機 ， 或客戶機和服務(wù)器 ) ③ ISP接入盒 ④ 安全網(wǎng)關(guān) (防火墻和 /或路由器 ) 撥號客戶的安全問題 撥號客戶是通信的起點，其保護主要涉及物理安全 人的安全 撥號網(wǎng)段的安全問題 撥號網(wǎng)段把用戶的數(shù)據(jù)送往 ISP。如果數(shù)據(jù)是明文的 (沒有加密 )，那么數(shù)據(jù)很容易被攻擊者竊聽，同時 ISP也能看到這些敏感數(shù)據(jù)。 互聯(lián)網(wǎng)的安全問題 在遠程接入環(huán)境中， ISP需要構(gòu)造一條隧道來擴展 PPP連接，從而使通信連接可以到達遠程 ISP接入盒和安全網(wǎng)關(guān)。如果該隧道協(xié)議不具備強大的安全功能，一個惡意的 ISP有可能創(chuàng)建一條偽造的假隧道，從而把用戶數(shù)據(jù)發(fā)往一個偽造的網(wǎng)關(guān) 如圖： 虛假隧道 ISP接 入 盒虛假隧道假冒網(wǎng)關(guān)正確隧道安全網(wǎng)關(guān) 互聯(lián)網(wǎng)的安全問題 同樣，當數(shù)據(jù)在隧道當中傳輸時，互聯(lián)網(wǎng)中的路由器有可能查看或修改那些沒有加密的用戶數(shù)據(jù)包。在用戶數(shù)據(jù)包經(jīng)過的路徑中還可能被別的主機竊聽。 通過在互聯(lián)網(wǎng)中實施鏈路加密可以有效抵御竊聽，但是并不能讓用戶數(shù)據(jù)免遭惡意路由器攻擊。因為在路由器處，它需要對用戶數(shù)據(jù)包解密，然后依據(jù) IP協(xié)議頭轉(zhuǎn)發(fā)到下一個路由器。因此， IETF推薦使用 IPSec協(xié)議保護隧道通信。 安全網(wǎng)關(guān)的安全問題 安全網(wǎng)關(guān)的主要用途就是強制訪問控制策略 (也就是說，只接受所希望進入的通信流，防止內(nèi)部通信流離開企業(yè)內(nèi)部網(wǎng) )。雖然防火墻或路由器通常受企業(yè)網(wǎng)絡(luò)控制，但對于內(nèi)部攻擊者來說還是有很多的機會訪問那些網(wǎng)關(guān)解密后，以明文方式在內(nèi)聯(lián)網(wǎng)中傳輸?shù)臄?shù)據(jù)包的。 VPN、防火墻和路由器 在很多應(yīng)用環(huán)境中， IP分組過濾是通過防火墻和路由器來提供的。對于 VPN連接需要穿越防火墻或者路由器的情況 (如圖所示 )，防火墻或路由器的配置需要進行適當?shù)男薷囊栽试S VPN通信流量通過防火墻或路由器。 VPN、防火墻和路由器 內(nèi) 部 網(wǎng)PER MIT UDP 500PER MIT AH ES PPER MIT L2TP互 聯(lián) 網(wǎng)其 它 內(nèi)部 子 網(wǎng)VPN防 火 墻 / 路 由 器ISP ISP防 火 墻 / 路 由 器VPN 常見 VPN應(yīng)用環(huán)境 VPN通常用于以下三種商業(yè)網(wǎng)絡(luò)環(huán)境 。 1. 遠程接入 2. LANLAN 通信（外聯(lián)網(wǎng)接入） 遠程接入 企業(yè) VPN允許移動用戶通過因特網(wǎng)撥號進入它們本地的因特網(wǎng)服務(wù)供應(yīng)商 (ISP)來接入企業(yè) LAN，通常使用遠程接入隧道協(xié)議，如 L2TP， PPTP或 L2F。圖中使用的是 IPSec安全協(xié)議。 遠程接入 內(nèi) 聯(lián) 網(wǎng)移 動 客 戶路 由 器服 務(wù) 器互聯(lián)網(wǎng)防 火 墻ISP ISP認證加密 LANLAN 通信 同企業(yè) LAN沒有恒定 WAN連接的小型子公司可以使用 VPN來接入到本企業(yè)的內(nèi)聯(lián)網(wǎng)，如圖所示。該種方式的內(nèi)聯(lián)網(wǎng)互連可以確保通信安全，且其費用相對專線連接要低得多。 LANLAN 通信 內(nèi) 聯(lián) 網(wǎng)路 由 器服 務(wù) 器互聯(lián)網(wǎng)防 火 墻ISP ISP認證加密防 火 墻路 由 器內(nèi) 聯(lián) 網(wǎng)客 戶 端 可控的內(nèi)聯(lián)網(wǎng)接入 企業(yè) LAN還可以利用 VPN技術(shù)實現(xiàn)對保密網(wǎng)絡(luò)當中的特定子網(wǎng)實施可控制接入，如圖所示。在這種模式中， VPN客戶端連接到一個 VPN服務(wù)器，該服務(wù)器作為客戶端和子網(wǎng)內(nèi)主機的網(wǎng)關(guān)。這種VPN通
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1