校园网sslvpn设计及实现

《校园网sslvpn设计及实现》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、校园网SSLVPN设计及实现摘要：随着高校规模的不断扩大，很多高校都拥有跨地域的多个校区，校园网的数据资源和网络资源主要集中在校本部的网络中，用户远程访问校园网就成为急需解决的问题。SSLVPN采用标准的安全套接层对传输中的数据进行加密，在应用层实现了数据的安全性和完整性。关键词：校园网；SSLVPN；远程访问中图分类号：TP393文献标识码：A文章编号：1007-9599(2012)21-0000-021引言虚拟专用网(VPN)［1］技术研究始于20世纪60年代，第一个专用网络是通过租用AT&T专线来实现的。90年代初,Internet开始应

2、用VPN技术。1997年，VPN被InfoWorld评选为四项重要技术之一［2］。VPN从诞生起，就被人们普遍关注。它利用现有的Internet资源，可以完成异地分支机构、合作伙伴和移动用户互联，并具有低成本、数据安全性、便于扩充和管理等优点，因而成为网络技术研究的热点。2SSLVPNSSLVPN提供一个无缝连接的、无客户端的远程访问方式远程用户使用浏览器就可以以某种粒度访问公司的特定资源，而不再需要安装客户端［3］。2.1访问粒度的支持SSLVPNT作在传输层和应用层之间，为企业提供粒度级访问控制的能力。特定的身份验证和访问应用程序的授权方案

3、可以被限定在一个特定的用户群。内置的日志记录和审核能力能处理各种合法要求。2.2易用性SSLVPN适合用户远程访问，并支持大多数的终端、操作系统和浏览器等，方便人们使用。采用动态接入技术，用户可以在任何地点发起连接，请求接入。对应用了NAT和防火墙的网络提供良好的支持。2.3网络防御能力SSLVPN在连接建立之前对客户端进行身份验证，确保接入者身份的合法性；数据通信全程加密，保证数据传输的机密性和完整性；另外，SSL网关隔离了内部服务器和客户端,使客户端的大多数病毒木马感染不到内部服务器。因此，SSLVPN具有高强度的网络防御能力。2.4对网络

4、升级支持当前，由于Ipv4地址资源的匮乏，邛v6即将应用到网络结构当中。由于SSLVPN使用的是SSL协议在网络层之上,因此受到的影响也较小，只需要略作修改即可正常使用。3SSLVPN的设计与实现3.1校园网VPN的体系结构依据某高校校园网的网络现状及访问需求，本设计在校本部搭建VPN服务器，分校区搭建VPN客户端服务器，移动客户端使用客户端软件实现VPN系统构建。分校区与校本部建立点到点的InternetVPN,使用数字证书实现身份认证，移动用户与校本部建立AccessVPN,使用密码口令实现身份认证。3.2VPN系统设计针对分校区子网访问和

5、校外节点移动访问，本系统实现了两种类型的VPN：1•校本部与分校区之间建立点到点VPN。校本部的VPN服务器部署在防火墙之后，做路由转发和NAT设置。分校区VPN客户端申请客户端数字证书client,crt,客户端服务器作为子网网关，做防火墙和NAT设置。2.校外节点与校本部之间建立AccessVPNoVPN服务器通过用户名和密码验证校外节点用户身份，校外节点通过CA证书验证服务器端身份。校本部VPN服务器从CA申请数字证书和密钥，在VPN服务器中为校外节点访问用户建立用户数据库，存放用户名和密码。远程用户下载CA证书和客户端软件。3.3校园网

6、VPN的实现本文利用OpenVPN软件来建立校园网VPN系统oOpenVPN是一款开源软件，支持多种身份验证方法包括：预共享私钥，第三方证书以及用户名/密码组合。它大量使用了OpenSSL加密库，以及SSLv3/TLSvl协议，支持远程访问、点到点和WiFi等多种VPN接入方案［4］。这里使用OpenVPN为分校区和校本部建立了使用数字证书验证的点到点VPN,为校外节点与校本部建立了使用用户名+密码验证的远程访问VPN。1.点到点VPN的配置。学院本部配置VPN的服务器为分校区子网提供点到点的VPN访问。分校区的一台计算机上安装VPN的客户端，

7、该机器兼为内网机器提供NAT转换，防火墙和VPN服务。客户端安装的操作系统为Windows2003Servero本方案中采用OpenVPN的IP路由隧道(RoutedIPtunnels)建立点到点的通信隧道，使用RSA证书和密钥的公钥体系进行身份验证。点到点VPN主校区服务器端实现：网络环境部署：该步骤主要完成网络连接和路由转发设置。系统环境部署：完成OPENVPN系统环境的搭建，主要任务有：(1)准备好TUN/TAP驱动文件和OpenSSL库(LINUX内核自带)。(2)安装LZO库。(3)编译安装OPENVPN服务。设置证书和密钥：本系统建

8、立证书server,key,server,crt,client,key和client,crt至'J/easy-rsa/keys/目录下。另外,创建tl