【正文】 ...........................................................114 多 ADSL 線路＋負(fù)載均衡 .............................................................................................................................115 拓?fù)鋱D ........................................................................................................................................................115銳捷網(wǎng)絡(luò)防火墻典型功能使用手冊(cè) 5 應(yīng)用環(huán)境及要求 ........................................................................................................................................115 周邊網(wǎng)絡(luò)設(shè)備配置要點(diǎn) ............................................................................................................................116銳捷網(wǎng)絡(luò)防火墻典型功能使用手冊(cè) 6第一章 VPN 功能使用 概述虛擬專用網(wǎng)（VPN）使得用戶可以在開(kāi)放的 Inter 上基于 IPSec 或 PPTP/L2TP 協(xié)議族的一系列加密認(rèn)證以及密鑰交換技術(shù)，構(gòu)建一個(gè)安全的私有專網(wǎng)，具有同本地私有網(wǎng)絡(luò)一樣的安全性、可靠性和可管理性等特點(diǎn)，這樣可以大大降低了企業(yè)/政府/ 科研機(jī)構(gòu)等建設(shè)專門私有網(wǎng)絡(luò)的費(fèi)用。VPN 連接可以連接兩個(gè)局域網(wǎng) (LAN) 或一個(gè)遠(yuǎn)程撥號(hào)用戶和一個(gè) LAN。在這 VPN連接的兩個(gè) VPN 端點(diǎn)間流動(dòng)的信息流以加密的密文形式經(jīng)過(guò)共享的 Inter 設(shè)備，例如，路由器、交換機(jī)以及其它組成公用 WAN 的網(wǎng)絡(luò)設(shè)備。要在公網(wǎng)傳輸過(guò)程中確保 VPN 通信的安全性，IPSec VPN 的兩個(gè)端點(diǎn)間必須創(chuàng)建一個(gè) IPSec 隧道。IPSec 隧道由一對(duì)指定安全參數(shù)索引 (SPI) 的單向“ 安全聯(lián)盟”(SA) ( 位于隧道的兩端) 、目標(biāo) IP 地址以及使用的安全協(xié)議 ( “認(rèn)證包頭 ”或“封裝安全性負(fù)荷” ) 組成。通過(guò)這些參數(shù)可以對(duì)數(shù)據(jù)進(jìn)行加密與完整性處理，保證通信數(shù)據(jù)的私密性和完整性。 IPSec VPN 技術(shù)原理簡(jiǎn)介根據(jù)因特網(wǎng)工程標(biāo)準(zhǔn)工作組（IETF）的定義，IPSec 的協(xié)議框架結(jié)構(gòu)如下圖所示。IPSec體系ESP協(xié)議 AH協(xié)議加密算法 認(rèn)證算法DOI解釋域密鑰管理（ ISAKMP/IKE）銳捷網(wǎng)絡(luò)防火墻典型功能使用手冊(cè) 7IPSec 最終為網(wǎng)絡(luò)數(shù)據(jù)提供 ESP 與 AH 安全保護(hù)。ESP 協(xié)議為數(shù)據(jù)提供了加密與完整性保護(hù)，AH 協(xié)議只對(duì)數(shù)據(jù)提供完整性保護(hù)。一般來(lái)說(shuō) IPSec VPN 使用 ESP 協(xié)議，AH 協(xié)議只在某些禁止使用加密的情況下使用。加密算法、驗(yàn)證算法、密鑰管理都是為了ESP/AH 服務(wù)的。封裝安全載荷（ Encapsulating Security Protocol， E S P）是插入 I P 數(shù)據(jù)報(bào)內(nèi)的一個(gè)協(xié)議頭，以便為 I P 提供機(jī)密性、數(shù)據(jù)源驗(yàn)證、抗重播以及數(shù)據(jù)完整性等安全服務(wù)。隧道模式下，它加密封裝整個(gè) I P 數(shù)據(jù)報(bào)。驗(yàn)證頭（ Authentication Header，A H）是一種 I P S e c 協(xié)議，用于為 I P提供數(shù)據(jù)完整性、數(shù)據(jù)原始身份驗(yàn)證和一些可選的、有限的抗重播服務(wù)。它定義在 R F C 2 4 0 2 中。除了機(jī)密性之外， A H 提供 E S P 能夠提供的一切東西。但要注意的是， A H 不對(duì)受保護(hù)的 I P 數(shù)據(jù)報(bào)的任何部分進(jìn)行加密。加密算法：并非只有單獨(dú)的一種！有多種技術(shù)都可用來(lái)加密信息、安全地交換密鑰、維持信息完整以及確保一條消息的真實(shí)性。將所有這些技術(shù)組合在一起，才能在日益開(kāi)放的世界中，提供保守一項(xiàng)秘密所需的各項(xiàng)服務(wù)。驗(yàn)證算法：為保守一個(gè)秘密，它的機(jī)密性是首先必須保證的。但假如不進(jìn)行身份驗(yàn)證，也沒(méi)有辦法知道要同你分享秘密的人是不是他／她所聲稱的那個(gè)人。同時(shí)假如不能驗(yàn)證接收到的一條消息的完整性，也無(wú)法知道它是否確為實(shí)際發(fā)出的那條消息。Inter 密鑰交換（ Inter Key Exchange，I K E）：定義了安全參數(shù)如何協(xié)商，以及共享密鑰如何建立。但它沒(méi)有定義的是協(xié)商內(nèi)容。這方面的定義是由“解釋域（ D O I） ”文檔來(lái)進(jìn)行的。安全聯(lián)盟（Security Association，S A）：用 IPSec 保護(hù)一個(gè) I P 包之前，必須先建立一個(gè)安全聯(lián)盟（S A） 。IKE 用于動(dòng)態(tài)建立 S A。IKE 代表 IPSec對(duì) S A 進(jìn)行協(xié)商，并對(duì) SADB 數(shù)據(jù)庫(kù)進(jìn)行填充。 IPSec VPN 對(duì)數(shù)據(jù)包的處理IPSec VPN 主要有兩種形式，分支機(jī)構(gòu)互聯(lián) VPN 和移動(dòng)用戶遠(yuǎn)程訪問(wèn) VPN。下面就這兩種形式的 VPN 介紹 IPSec 是如何實(shí)現(xiàn)網(wǎng)絡(luò)互聯(lián)與安全保護(hù)的。如下圖，某企業(yè)有北京和上海兩個(gè)分支。北京分公司的內(nèi)部網(wǎng)絡(luò)地址是，上海分公司的內(nèi)部網(wǎng)絡(luò)地址是 。北京安全網(wǎng)關(guān)的 IP 地址是 ，上海安全網(wǎng)關(guān)的 IP 地址是 。建立 VPN 后數(shù)據(jù)包的處理過(guò)程銳捷網(wǎng)絡(luò)防火墻典型功能使用手冊(cè) 8是如下這樣：1. 北京訪問(wèn)上海數(shù)據(jù)包： 數(shù)據(jù)包是原始訪問(wèn)數(shù)據(jù)。2. 北京安全網(wǎng)關(guān)加密處理： 數(shù)據(jù)包內(nèi)是加密后的數(shù)據(jù)。3. 經(jīng)過(guò) Inter 到達(dá)上海安全網(wǎng)關(guān)。4. 上海安全網(wǎng)關(guān)解密：解密后得到原始數(shù)據(jù)包， 。5. 上海安全網(wǎng)關(guān)轉(zhuǎn)發(fā)到內(nèi)部網(wǎng)絡(luò)，上海服務(wù)器 收到訪問(wèn)數(shù)據(jù)。6. 上海服務(wù)器返回?cái)?shù)據(jù)： 經(jīng)過(guò)相同的處理過(guò)程，數(shù)據(jù)包可以安全地返回給北京的訪問(wèn)主機(jī)。如下圖，某企業(yè)上海出差員工要訪問(wèn)北京總部。北京總部的內(nèi)部網(wǎng)絡(luò)地址是，北京安全網(wǎng)關(guān)的地址是 。出差員工撥號(hào)獲得的地址是，VPN 內(nèi)部分配的地址是 。建立 VPN 后數(shù)據(jù)的處理過(guò)程就是如下這樣的：1. 出差用戶訪問(wèn)北京總部： 數(shù)據(jù)包原始銳捷網(wǎng)絡(luò)防火墻典型功能使用手冊(cè) 9數(shù)據(jù)。2. 出差用戶主機(jī) VPN 客戶端對(duì)數(shù)據(jù)加密處理： 數(shù)據(jù)包內(nèi)是加密后的數(shù)據(jù)。3. 經(jīng)過(guò) Inter 到達(dá)北京安全網(wǎng)關(guān)。4. 北京安全網(wǎng)關(guān)解密：解密后得到原始數(shù)據(jù)包， 。5. 北京安全網(wǎng)關(guān)轉(zhuǎn)發(fā)到內(nèi)部網(wǎng)絡(luò)，北京服務(wù)器 收到訪問(wèn)數(shù)據(jù)。6. 北京服務(wù)器返回?cái)?shù)據(jù)： 經(jīng)過(guò)相同的處理過(guò)程，數(shù)據(jù)包可以安全地返回給出差用戶的訪問(wèn)主機(jī)。 IPSEC NAT 穿透：“網(wǎng)絡(luò)地址轉(zhuǎn)換”(NAT) 和“網(wǎng)絡(luò)地址端口轉(zhuǎn)換”(NAPT) 為互聯(lián)網(wǎng)標(biāo)準(zhǔn)，它允許局域網(wǎng) (LAN) 將一組 IP 地址用于內(nèi)部信息流，將第二組地址用于外部信息流。NAT 設(shè)備從預(yù)定義的 IP 地址池中生成這些外部地址。在設(shè)置 IPSec 隧道時(shí)，沿著數(shù)據(jù)路徑出現(xiàn) NAT 設(shè)備不影響 “階段 1”和“階段 2”的 IKE 協(xié)商，它通常將 IKE 封包封裝在 “用戶數(shù)據(jù)報(bào)協(xié)議”(UDP) 封包中。但是，在完成“ 階段 2”協(xié)商后，執(zhí)行 IPSec 封包上的 NAT 會(huì)導(dǎo)致隧道失敗。在 NAT 對(duì) IPSec 造成中斷的眾多原因中，其中一個(gè)原因就是，對(duì)于“封裝安全性協(xié)議 ”(ESP) 來(lái)說(shuō)，NAT 設(shè)備不能識(shí)別端口轉(zhuǎn)換的“第 4 層”包頭的位置 ( 因?yàn)樗驯患用?。對(duì)于“ 認(rèn)證包頭” (AH) 協(xié)議， NAT 設(shè)備可以修改端口號(hào)，但不可以修改認(rèn)證檢查，于是對(duì)整個(gè) IPSec 封包的認(rèn)證檢查就會(huì)失敗。RGWALL1600 使用 NAT 穿越功能可以解決此問(wèn)題。NAT 穿越協(xié)議通過(guò)對(duì) ESP 和 AH 協(xié)議進(jìn)行 UDP 封裝，在加密封裝后的數(shù)據(jù)包中增加UDP 頭，這樣 NAT 設(shè)備就可以對(duì)加密數(shù)據(jù)包進(jìn)行正確的 NAT 端口轉(zhuǎn)換。 密鑰管理（IKE 密鑰協(xié)商）密鑰的分配和管理對(duì)于成功使用 VPN 很關(guān)鍵。只有參與通信的 VPN 雙方得到共同密鑰才能使 VPN 正確加密通信。保證參與通信的 VPN 雙方能夠安全地協(xié)商出共同的密鑰是整個(gè) VPN 通信的關(guān)鍵。所以密鑰協(xié)商是 VPN 安全使用的關(guān)鍵，他不僅要解決密鑰協(xié)商，還需要解決 VPN 雙方的身份認(rèn)證、算法協(xié)商、保護(hù)模式協(xié)商。銳捷網(wǎng)絡(luò)防火墻典型功能使用手冊(cè) 10IPSec 使用“互聯(lián)網(wǎng)密鑰交換” (IKE)協(xié)議支持密鑰的自動(dòng)生成和協(xié)商以及安全聯(lián)盟協(xié)商。身份驗(yàn)證方式支持預(yù)共享密鑰和證書兩種。預(yù)共享密鑰認(rèn)證方式：通過(guò)使用預(yù)共享密鑰的“自動(dòng)密鑰 IKE”來(lái)認(rèn)證 IKE 會(huì)話中的參與者時(shí)，各方都必須預(yù)先配置和安全地交換預(yù)共享密鑰。一旦預(yù)共享密鑰被正確分配后，就可使用 IKE 協(xié)議了。證書驗(yàn)證方式：經(jīng)過(guò) CA 簽發(fā)的證書中含有 CA 私鑰簽名和身份信息，可以使用 CA 的公開(kāi)密鑰（可以公開(kāi)給任何人得到）去驗(yàn)證證書的有效性。同時(shí)交換中需要傳遞自身私鑰的簽名，通過(guò)證書中的公鑰驗(yàn)證。經(jīng)過(guò)這些過(guò)程就可以確認(rèn)證書的有效性和證書持有人的唯一性。各方得到各自的證書后就可以使用 IKE 協(xié)議了。IKE 將在預(yù)先確定的時(shí)間間隔內(nèi)自動(dòng)更改其密鑰。經(jīng)常更改密鑰會(huì)大大提高安全性，自動(dòng)更改密鑰會(huì)大大減少密鑰管理任務(wù)。但是，更改密鑰會(huì)增加信息流開(kāi)銷，因此，過(guò)于頻繁地更改密鑰會(huì)降低數(shù)據(jù)傳輸效率。IKE 密鑰交換包括兩個(gè)階段的信息交換：第一階段和第二階段。第一階段支持主模式和野蠻模式兩種交換模式，第二階段是快速模式。第 1 階段可能發(fā)生在 Main mode（主模式）或 Aggressive mode（野蠻模式）下。這兩種模式如下所述：Main Mode（主模式）： 發(fā)起方和接受方之間進(jìn)行三個(gè)雙向信息交換（總共六條信息）以獲取以下信息：第一次交換， （信息 1 和 2）：提出并接受加密和認(rèn)證算法。第二次交換， （信息 3 和 4）：執(zhí)行 DiffieHellman 交換，發(fā)起方和接受方各提供一個(gè)當(dāng)前數(shù) ( 隨機(jī)生成的號(hào)碼) 。第三次交換， （信息 5 和 6）：發(fā)送并驗(yàn)證其身份。在第三次交換信息時(shí)傳輸?shù)男畔⒂稍谇皟纱谓粨Q中建立的加密算法保護(hù)。因此，在明文中沒(méi)有傳輸參與者的身份。Aggressive Mode（野蠻模式）：發(fā)起方和接受方獲取相同的對(duì)象，但僅進(jìn)行兩次交換，總共有三條消息：第 1 條消息: 發(fā)起方建議 SA，發(fā)起 DiffieHellman 交換，發(fā)送一個(gè)銳捷網(wǎng)絡(luò)防火墻典型功能使用手冊(cè) 11當(dāng)前數(shù)及其 IKE 身份。第 2 條消息: 接受方接受 SA，認(rèn)證發(fā)起方，發(fā)送一個(gè)當(dāng)前數(shù)及其 IKE 身份，以及發(fā)送接受方的證書（如果使用證書） 。第 3 條消息: 發(fā)起方認(rèn)證接受方，確認(rèn)交換，發(fā)送發(fā)起方的證書 ( 如果使用證書)。由于參與者的身份是在明文中交換的 ( 在前兩條消息中)， Aggressive mode ( 主動(dòng)模式) 不提供身份保護(hù)。第 2 階段：當(dāng)參與者建立了一個(gè)已認(rèn)證的安全隧道后，他們將繼續(xù)執(zhí)行“ 第 2 階段”。在此階段中，他們將協(xié)商 SA 以保護(hù)要通過(guò) IPSec 隧道傳輸?shù)臄?shù)據(jù)。與“第 1 階段”的過(guò)程相似，參與者交換提議以確定要在 SA 中應(yīng)用的安全參數(shù)。 “第 2 階段”提議還包括一個(gè)安全協(xié)議 － “封裝安全性負(fù)荷” (ESP) 或“ 認(rèn)證包頭” (AH) － 和所選的加密和認(rèn)證算法。如果需要“ 完全正向保密”(PFS)，提議中還可以指定一個(gè) DiffieHellman 組。 DiffieHellman 交換：DiffieHellman 交換允許參與者生成一個(gè)共享的秘密值。該技術(shù)的優(yōu)點(diǎn)在于它允許參與者在非安全媒體上創(chuàng)建秘密值，而不把此秘密值通過(guò)網(wǎng)絡(luò)傳輸。有五個(gè) DiffieHellman （DH） 組 （ RGWALL 支持組 2 和 5，基于離散對(duì)數(shù)， 4 是使用的是橢圓曲線算法，因?yàn)闆](méi)有達(dá)到工業(yè)標(biāo)準(zhǔn)，所以沒(méi)有被主流 VPN 產(chǎn)品采用） 。在各組計(jì)算中所使用主要模數(shù)的大小都不同，如下所述:DH 組 1：768 位模數(shù)DH 組 2：1024 位模數(shù)DH 組 5：1536 位模數(shù)模數(shù)越大，就認(rèn)為生成的密鑰越安全；但是，模數(shù)越大，密鑰生成過(guò)程就越長(zhǎng)。由于每個(gè) DH 組的模數(shù)都有不同的大小，因此參與者必須使用相同的組。