基于VPN远程用户连接模型研究

《基于VPN远程用户连接模型研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、基于VPN的远程用户连接模型的研究摘要：vpn业务在不少企业中的应用越来越广泛。在vpn网络的部署和维护中，存在着操作过于复杂，维护升级困难等问题，本文在现有vpn技术的基础上进行创新与优化，构建了一种远程登录虚拟专用网络构架，结合企业移动办公需求，设计了基于优化l2tp和ipsec协议的用户连接方案，具有比较好的理论意义和实践价值。关键词：vpn业务用户连接方案远程登录1概述随着企业信息化发展的逐步深入，以及电信运营商针对企业实际需求的产品和服务的持续推进，vpn（虚拟专用网络）业务在不少企业中的应用越来越广泛。在vpn网

2、络的部署和维护中，存在着操作过于复杂，维护升级困难等问题，此外，如何保证vpn连接的安全性与数据的完整性，也是摆在业界面前的一个亟待解决的问题。本文在现有vpn技术的基础上进行创新与优化，构建了一种远程登录虚拟专用网络构架，该构架充分结合了第三层网络层ipsec技术以及第二层l2tp技术，通过数据的透明传输来实现nat/pat穿越。从而以相对简单的vpn结构实现了通讯安全性目标，支持数据的完整有效传送，具有比较好的理论价值和实践意义。2远程登录vpn体系结构远程接入vpn的体系结构设计要考虑的因素包括：是否便于管理、是否节约

3、费用、是否具有可移植性和高可用性、是否有利于isp进行计费流量控制以及用户管理等。结合以上的需求，本文所设计的远程用户连接模型将实现以下的通信过程（如图所示）:①用户所在的远程接入终端与企业intranet中的网关集中器实现有效连接，在图中，表现为isp网关a与各类企业异地远程用户终端之间的服务请求应答和连接建立过程。②连接建立之后，企业intranet中的网关集中器经由internet，实现与远程目标服务器的连接，在图中，表现为目标服务器与网关a之间构建了一条隧道维护数据通路，如果数据流超时，则系统将遵循算法自动绕过nat

4、/pat，同时穿越防火墙，实现加密数据的有效传送。③目标地址服务器接受企业intranet中的网关集中器的请求之后，作为响应，从企业intranet中寻找目的地址并向客户提供服务。在上图所示的基于vpn的远程用户连接体系结构图中，总公司服务器与客户个人pc就是两个意欲构建安全连接的终端，客户端的主机系统涵盖了客户上网办公所使用的各类移动设备，也包括办公人员的个人pc，还包括企业的异地远程分公司。这个vpn构架的核心部分是网关a访问集中器，此模块实现了客户端的连接以及参数模式安全控制，同时实现了nat穿越。3l2tp部分的设计

5、3.1连接过程设计本文所设计的客户连接过程为：①由远程客户端发起呼叫，请求连接公司内部的登录服务器。②公司内部的登录服务器在受到来自客户端的请求后，将其转发给isp访问集中器（网关a）进行进一步的处理。③isp访问集中器（网关a）结合所受到的代理请求，从中抽取出客户端和连接服务器两者的ip地址。④isp访问集中器对终端服务器的代理请求的合法性经检测，若通过了检测，则进一步调用l2tp的验证用户进程，对客户端进行认证。⑤假若用户通过了认证，则发起vpn连接，vpn连接包括两方面，一是网关a到远程目标服务器的ipsec连接，二是

6、客户端到网关a的l2tp连接。3.2对等体间的隧道建立isp访问集中器（网关a）和客户端之间构成了l2tp对等体。网关a在确认受到的是来自远程客户的合法请求后，便开始发起客户端认证进程，这一过程通过调用链路控制协议lcp来完成。随后网关a使用回拨技术向远程用户端发起连接，主要的模式保证了用户终端到网关服务器的安全性，避免客户端受到伪装攻击，进一步确保了流量可控性。在网关a的回拨过程中，通过chap或pap来实现客户端和服务器间的相互认证，认证成功后，开始建立基于vpn的从isp访问集中器到客户端的连接。3.3会话建立维护通过

7、上一步对等体间的隧道建立，接着还需构建一个便于数据传输的会话，在会话建立维护中，首先发送一条icrq消息（呼入请求消息）。假若系统目前有可用资源，则新会话被允许建立。此时，客户端的icrq消息便会受到来自网关a的响应，即呼入应答(icrp)消息。客户端受到响应之后，再发出iccn（呼入连接）消息。iccn表明远程客户端此时在进行会话建立。在此期间，网关a和远程客户端之间交换如下参数：代理lcp、指定的服务以及实际连接速度。4隧道连接部分的设计4.1隧道建立过程在隧道建立阶段，主要包括以下的步骤:①isp访问集中器向远端客户服

8、务器发起连接请求。②触发ike协议“a”阶段，isp访问集中器向远端客户服务器之间协商策略，接着调入策略处理模块。③建立共享的密钥机制本文所设计的系统采用diffiehellman协议。④在以上步骤建立的安全连接上，开始触发设备验证。⑤触发ike协议“b”阶段，在建立的安全连接上，在isp