nise安全技术工程师培训 vpn

《nise安全技术工程师培训 vpn》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、NISE安全技术工程师培训—密码学应用之二VPNVPN概述VPN的功能VPN的工作原理VPN的具体应用VPN技术什么是VPNVPN的优点现有的VPN协议VPN概述VPN是企业网在因特网等公共网络上的延伸什么是VPNVPN是VirtualPrivateNetwork即虚拟专用网通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。远程访问Internet内部网合作伙伴分支机构虚拟私有网虚拟私有网虚拟私有网VPN的优点利用VPN，可节省专用和拨号连接的成本基于VPN技术，能够迅速建立和重构网络简化了企业联网和广域网操作提高了网络可靠性VPN网络有

2、很好的兼容性和可扩展性企业可以利用VPN迅速开展新的服务和连接全球的设施现有VPN协议PPTP：1996年Microsoft和Ascend等在PPP协议上开发的。L2F：1996年Cisco开发的。L2TP：1997年底，Microsoft和Cisco共同开发。IPSec：IETF正在完善，通过对数据加密、认证、完整性检查来保证数据传输的可靠性、私有性和保密性。IPSec由IP认证头（AH）、IP安全载荷封装（ESP）和密钥管理协议（ISAKMP）公司内部网拨号连接因特网L2TP通道用于该层的协议主要有：L2TP：Lay2TunnelingProtocolPPTP：Point-to-Poin

3、tTunnelingProtocolL2F：Lay2ForwardingL2TP通道基于第二层的VPNPPTP/L2TP优点：（1）对用Microsoft操作系统的用户很方便（2）支持多种协议。（3）支持流量控制，通过减少丢弃包来改善网络性能。缺点：（1）安全性相对差。（2）不对两个节点间的信息传输进行监视或控制。（3）最多只能连接255个用户。（4）端点用户需要在连接前手工建立加密信道。VPN概述VPN的功能VPN的工作原理VPN的具体应用VPN技术远程访问Internet内部网分支机构安全网关安全网关ISP接入设备端到端数据通路的典型构成拨入段外部段（公共因特网）内部段公司的内部网络网络

4、面临的风险拨入段数据泄漏风险因特网上数据泄漏的风险安全网关中数据泄漏的风险内部网中数据泄漏的风险VPN网络面临的风险VPN的功能数据机密性保护数据完整性保护数据源身份认证重放攻击保护拨号服务器PSTNInternetRouter内部子网管理子网一般子网内部WWW重点子网下属机构DDN/FRX.25专线DMZ区域WWWMailDNS密文传输明文传输明文传输数据机密性保护数据完整性保护内部子网管理子网一般子网内部WWW重点子网下属机构DDN/FRX.25专线原始数据包对原始数据包进行Hash加密后的数据包摘要Hash摘要对原始数据包进行加密加密后的数据包加密加密后的数据包摘要加密后的数据包摘要摘

5、要解密原始数据包Hash原始数据包与原摘要进行比较，验证数据的完整性数据源身份认证内部工作子网管理子网一般子网内部WWW重点子网下属机构DDN/FRX.25专线原始数据包对原始数据包进行HashHash摘要加密摘要摘要取出DSS原始数据包Hash原始数据包两摘要相比较私钥原始数据包DSSDSS将数字签名附在原始包后面供对方验证签名得到数字签名原始数据包DSS原始数据包DSSDSS解密相等吗？验证通过保留负载长度认证数据（完整性校验值ICV）变长序列号安全参数索引（SPI）下一头部填充（0~255字节）下一头部填充长度认证数据（变长的）负载数据（变长的）序列号安全参数索引（SPI）AH协议头E

6、SP协议头SA建立之初，序列号初始化为0，使用该SA传递的第一个数据包序列号为1，序列号不允许重复，因此每个SA所能传递的最大IP报文数为232—1，当序列号达到最大时，就需要建立一个新的SA，使用新的密钥。重放攻击保护VPN概述VPN的功能VPN的工作原理VPN的具体应用VPN技术VPN的工作原理隧道基本概念IPSec协议栈组成IPSec的工作模式IPSecVPN的建立方式隧道基本概念隧道可在网络的任一层实现最常用的是两层：数据链路层和网络层数据链路层隧道：一个链路帧被放到了其它链路层的协议数据单元（PDU）中,该链路层还包括另外的链路帧，如：PPTP,L2F,L2TP构成的VPN网络层隧

7、道：第三层的包被放到其它层或另外的第三层包中，如IPsec的AH和ESP隧道模式；封装：当某层的PDU被放到另外一个PDU中的有效载荷时，把这种处理方式叫做封装隧道基本概念隧道在VPN中的三大作用是什么？将一种协议封装到不同的协议是为了在IP基础设施中传输；通过公共寻址设施路由私有地址包；提供数据完整性和机密性服务。通道将一个数据报用一个新的数据报封装〈SecurityParameterIndex,IPDes