VPN网络接入技术.doc

《VPN网络接入技术.doc》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、VPN网络接入技术◆传输模式传输模式用于两台主机之间，保护传输层协议头，实现端到端的安全。它所保护的数据包的通信终点也是IPsec终点。当数据包从传输层递给网络层时，AH和ESP会进行"拦截"，在IP头与上层协议头之间需插入一个IPsec头（AH头或ESP头）。当对一个同时应用AH和ESP传输模式时，应先应用ESP，再应用AH，这样数据完整性可应用到ESP载荷。因为传输模式不改变IP地址的头部，因此此种模式的VPN适用于合法IP地址之间的点对点通讯，适用范围比较窄。◆隧道模式要能够使得企业网内一个局网的数据透明的穿过公用网到达另一个局网,虚拟专用网采

2、用了一种称之为隧道的技术。隧道技术的基本过程是在源局网与公用网的接口处将局网发送的数据(可以是ISO七层模型中的数据链路层或网络层数据)作为负载封装在一种可以在公用网上传输的数据格式中，在目的局域网与公用网的接口处将公用网的数据解析后，取出源局域网发送的数据在目的局域网传输。由于封装与解封装只在两个接口处由设备按照隧道协议配置进行，局网中的其他设备将不会觉察到这一过程。被封装的数据包在隧道的两个端点之间通过公共互联网络进行路由。被封装的数据包在公共互联网络上传递时所经过的逻辑路径称为隧道。图2隧道模式是通过IPIP技术实现的，IPIP协议是将一个IP

3、包作为另一个IP的负载来处理。举个简单的例子来说明IPIP协议的工作过程。一个IP包源为A，A所在的局网与Internet的接口为B，目的地为远地的D，D所在的局网与Internet的接口为C，IP包要穿过Internet到达D，可在B作如下图的封装，数据包在Internet上可以按照路由到达C，在C处解封装去掉外部IP协议头，将内部IP包在局网上发送。数据包将按照局网的路由到达D。Media外部目的C外部源B内部目的D内部源A用户数据图3IPIP封装IPIP协议在具体的使用中要考虑如何建立外部IP协议头的内容，要考虑内部IP协议头中的某些内容如服务

4、质量参数，是否要拷贝到外部协议头中。实际上图的示意并不准确，在两个IP协议头之间可以插入其它的协议内容。IPSec协议族在使用IPIP隧道时就可能插入另外两个协议头：AH、ESP。IPSec协议族建立隧道可能采用如下的方式：外部IPAH内部IP方式1外部IPESP内部IP方式2外部IPAHESP内部IP方式33.4监控系统安全性虽然系统通信采用公共网络，但是我公司在系统软件设计时，数据通信协议为用户定义方式，具有可靠性高、保密性好的特点，并全部采用纠错编码技术，同时在数据通信过程中增加随机密钥（即在通信数据中加入随机变化的密码，保证系统运行时通信不受

5、干扰。），该密码由加密算法产生，可阻止任何干扰数据对系统通信过程造成的影响，不会引起误报、误控等现象。该技术已经申报技术专利。另外VPN宽带网络也有自己独特的一种加密技术，确保系统通信安全。VPN网络安全技术由于VPN是在不安全的Internet中进行通信，而通信的内容可能涉及到企业的机密数据，因此其安全性就显得非常重要，必须采取一系列的安全机制来保证VPN的安全。通常由加密、认证及密钥交换与管理组成了VPN的安全机制。1、认证技术认证技术可以区分真实数据与伪造、被篡改过的数据。这对于网络数据传输,特别是电子商务是极其重要的。认证协议一般都要采用一种

6、称为摘要的技术。摘要技术主要是采用HASH函数将一段长的报文通过函数变换，映射为一段短的报文（即摘要）。由于HASH函数的特性，使得要找到两个不同的报文具有相同的摘要是困难的。该特性使得摘要技术在VPN中有两个用途：Ø验证数据的完整性。发送方将数据报文和报文摘要一同发送,接收方通过计算报文摘要,与发来摘要比较,相同则说明报文未经修改。由于在报文摘要的计算过程中一般是将一个双方共享的秘密信息连接上实际报文一同参与摘要的计算，不知道秘密信息将很难伪造一个匹配的摘要，从而保证了接收方可以辨认出伪造或篡改过的报文。Ø用户认证。该功能实际上是上一种功能的延伸。

7、当一方希望验证对方，但又不希望验证秘密在网络上传送，这时一方可以发送一段随机报文，要求对方将秘密信息连接上该报文作摘要后发回，接收方可以通过验证摘要是否正确来确定对方是否拥有秘密信息，从而达到验证对方的目的。常用的HASH函数有MD5，SHA-1等。2、加密技术简介在VPN中为了保证重要的数据在公共网上传输时不被他人窃取,采用了加密机制。IPSec通过ISAKMP/IKE/Oakley协商确定几种可选的数据加密方法如DES、3DES。在现代密码学中，加密算法被分为对称加密算法和非对称加密算法。对称加密算法采用同一把密钥进行加密和解密，优点是速度快，但

8、密钥的分发与交换不便于管理。使用不对称加密时，通讯各方使用两个不同的密钥,一个是只有发送方知道的专用密钥d，