操作系统Microsoft 专用安全网络访问:虚拟专用网络和内联网安全性白皮书摘要Microsoft® Windows®操作系统包括了保护专用和公共网络间通讯的技术。
Microsoft目前的产品提供了许多工具，这些工具在链路层和传输层提供安全性的服务，它们同样为电子邮件提供应用层的安全性。
链路层安全性对远程访问通讯的传输和对分支网络连接的传输都进行数据加密。
传输层安全性则允许保护基于TCP的协议，包括World Wide Web通讯。
另外，Windows 2000将通过Internet Protocol (网间协议，简称IP) 安全，或者叫IPSec，提供端到端的网络层安全性服务。
IPSec允许受保护的服务在内部网络中使用。
此白皮书主要集中于链路层和端到端连接方案的安全性。
它解释了微软公司为何致力于支持Point-to-Point Tunneling Protocol (点到点隧道协议，简称PPTP)，Layer 2 Tunneling Protocol (第二层隧道协议，简称L2TP)，和IPSec协议以便满足不同消费者的需求。
此白皮书还详细介绍了微软公司在Windows操作系统上实现这些协议的计划。
© 1999 Microsoft Corporation. 保留所有权利这份文档中的内容反应了目前微软公司关于所讨论问题的观点。
由于Microsoft将会根据市场的变化做出反应，此份文档不能够被认为是Microsoft做出的承诺，并且对以下提到的信息在发布以后的准确性不负任何责任。
白皮书仅用于交换信息。
Microsoft在此份文档中没有作出任何直接表述的或暗示的保证。
Microsoft, Active Directory, MSN, Windows, 和Windows NT都是Microsft公司在美国和/或者其他国家的注册商标或者商标。
文中提到其他产品或公司名称都属于各自的公司所有的商标。
Microsoft Corporation • One Microsoft Way •Redmond, WA 98052-6399 • USA0599简介 (1)目录用于保护网络通讯的协议 (3)IPSec 的设计目标和总览 3L2TP设计目标和总览 3PPTP设计目标和总览 4微软公司对IPSEC、L2TP/IPSEC和PPTP协议的立场 (6)IPSec 6L2TP/IPSec 6PPTP 6微软公司对IPSEC、L2TP和PPTP的支持 (8)IPSec 8L2TP 9PPTP 9远程访问策略管理9客户机管理9对于安全网络通讯的平台支持 (11)进一步的信息 (12)简介对于规模各异的各种企业来说, 网络安全的重要性在日益增加。
不论是否需要保护在远程访问进程、分支网络、或者因特网中传输的信息，解决这种形式的安全问题都是必需的。
一般来说，安全性并不是一个单一的产品或者技术，它是多种技术和管理策略的一个集成，管理策略提供了一个保护措施，这种措施在可应用的范围和可接受的风险之间进行了均衡。
微软公司非常严肃认真地对待安全性的问题，并积极主动开展多项工作，以便为消费者提供轻松制定并管理安全策略的技术和工具。
安全服务包括机密性、完整性保护、认证、授权和回放保护。
在这些工具中，是网络加密服务帮助减小了在公共或者专用网络中传输敏感信息的风险。
微软公司同样非常关心用户的总成本，并致力于提供标准的解决方案以便在Windows平台上能提供最大的通讯互操作性和灵活性。
保护网络安全有三种主要的模型，微软公司支持其中的每一种：∙今天，许多应用程序驻留在计算机上，以便用于通过公共或者专门网络进行的访问，它们通过HTTPS、SOCKS、或者SSL等传输层安全性技术提供保护。
由SSL/TLS提供的传输层安全性是指为了使用这些安全服务而专门改写的基于TCP的应用程序，微软公司通过它的产品广泛地支持SSL/TLS。
然而SSL/TLS的应用并不很适合集中管理的模式，因为这些服务常常以逐页使用的方式工作。
SOCKS是一个已认证了的防火墙穿越协议，它提供可扩展的认证，以及对连入和连出的会话的颗粒化认证。
尽管微软公司不支持SOCKS V，但是SOCKS V仍然可以在支持TCP和UDP的协议中使用，而且可以应用于集中的管理。
由此，SSL/TLS和SOCKS技术相互补充，可以一起来使用，在虚拟专用网络内和外部网上提供传输层安全性。
∙许多公司使用专用或可靠的网络基本设施，包括内部和外部有线设备和广域网，这样通过虚拟或物理的安全性提供一定的专用性。
然而，这些网络并不能防备疏忽大意产生的危险，也不能在信息通过网络时防止外面的人浏览。
由于绝大多数入侵突破都发生在一个公司的网络内部，因此我们需要特别的技术来防止信息被盗窃或者攻击。
∙端到端网络安全性由安全技术和协议组成，这些技术和协议对通讯进行透明的保护。
要获得此安全性，细致的网络规划和配置是必需的。
这些工具一般通过管理策略来管理，以便在不涉及应用程序和终端用户的情况下，在通过网络进行传输时能够对通讯进行很好的保护。
根据虚拟专用网络（VPN）主要的分类，所有三种模型都在工业标准中被讨论了。
尽管每个模型都在一定程度上提供了专用网络的功能，这个泛泛的定义还是很让人迷惑。
因此，微软公司采用了对于该名称的一个更严格的定义，并使用“VPN”指通过公共或不可靠的网络基础结构来提供安全性。
它包括：∙保护从客户机到网关的远程访问，这些访问或者通过因特网，或者在专用网络内部，或者通过外联的（Outsourced）网络。
∙保护网关到网关的连接，这些连接或者通过因特网，或者通过专用或外联的网络。
另外，依靠第一个实现在专用网络中保护端到端通讯的操作系统集成的解决方案，微软公司成为了该行业的领先者。
Windows 2000利用Active Directory™（活动目录）目录服务和IPSec（网间协议安全性）的集成来传递基于安全管理的中央控制策略。
此文讨论了微软公司对于VPN和端到端模型网络安全性的看法和方向。
它描述了主要网络协议之间的重要的不同之处，讨论了微软公司和这些协议间的关系，并解释微软公司在其操作系统中如何支持这些协议。
用于保护网络通讯的协议在过去的几年中，出现了许多协议，它们可以被分类到VPN协议和通讯加密协议两种。
这些协议包括：∙Internet Protocol Security (IPSec) ——一个体系结构、协议和相关的网间密钥交换（IKE）协议，由IETF RFCs 2401-2409描述。
∙Layer 2 Forwarding (第二层转接，简称L2F) ——由Cisco系统提出。
∙Layer 2 Tunneling Protocol (第二层隧道协议，简称L2TP) —— PPTP和L2F的一个结合，它由IETF的标准过程进化而来。
∙Point-to-Point Tunneling Protocol (点到点隧道协议，简称PPTP) ——由PPTP 行业论坛创建（包括US Robotics（现在是3Com）、3Com/PrimaryAccess、Ascend、 Microsoft、和ECI Telematics）。
尽管许多人认为IPSec、L2TP、和PPTP是极具竞争力的技术，但是这些协议只能提供适用于不同用途的不同功能。
要很好地理解这个问题，考虑一下这些协议的设计目标和技术差别是很有用的。
IPSec 的设计目标和总览IPSec为网间协议通讯提供完整性保护、认证和（可选的）专用性和回放保护服务：IPSec数据包有两种类型：∙IP协议50叫做Encapsulating Security Payload (负载的安全性封装，简称ESP)格式，它提供专用性、认证和完整性。
∙IP协议51叫做Authentication Header (认证头，简称AH)格式，它只描述数据包的完整性和认证，但是没有专用性。
IPSec可以在两种模式中使用：传输模式，它确保一个现有的IP数据包从数据源到目的地正确地传输；隧道模式，它将一个现有的IP数据包放入一个新的IP数据包中，这个新的IP数据包以IPSec格式被送到一个隧道的端点。
传输模式和隧道模式都可以被封装在ESP或者AH头中。
IPSec传输模式被设计用来为两个通讯系统间端到端的IP通讯提供安全性保障，例如保护一个TCP连接或者一个UDP数据报文。
IPSec隧道协议主要为网络中继点、路由器或者网关而设计，它主要保护在一个IPSec隧道内的其他IP通讯，这个隧道通过一个公共的，或者不可靠的IP网络（例如互联网）将一个专用网络和另一个专用网络相连接。
在两种情况下，通过Internet Key Exchange(网络密钥交换，简称IEK)就在两台计算机之间形成了一个复杂的安全协定，一般使用PKI来认证双方的真实可靠性。
IETF RFC IPSec隧道协议的技术规范不包括适用于远程访问VPN客户机的机制，省却的功能包括用户认证选项或者客户机IP地址配置。
要将IPSec隧道模式应用于远程访问，一些供应商选择用专用的方法来扩展协议以解决这些问题。
尽管这些扩展中的一部分写成了互联网草案的文档，它们仍然缺乏标准的形式，并且通常不能相互操作。
由此导致消费者必须仔细考虑这些技术的实现是否支持多供应商的互操作性。
L2TP设计目标和总览L2TP是一项成熟的被广泛使用的IETF标准协议。
L2TP封装了Point-to-PointProtocol (PPP)帧，以便通过IP、X.25帧中继，或者异步传输模式（ATM）网络传输。
当配置为使用IP进行传输时，L2TP可以作为一个在互联网上的VPN隧道协议使用。
IP上传输的L2TP使用UDP的1701端口，并且包括了一系列维护隧道的L2TP控制消息。
L2TP同样使用UDP来发送L2TP封装的PPP帧作为隧道数据。
被封装的PPP帧可以被加密或者被压缩。
当L2TP隧道作为IP数据包出现时，它们使用IPSec传输模式完成高度集成、回放、认证和专用保护等功能，从而充分利用了标准IPSec的安全性。
L2TP是专门为客户机连接到网络访问服务器而设计的，它也同样适用于网关到网关的连接。
通过使用PPP，L2TP协议获得了IPX和Appletalk等多种协议的支持。
PPP还提供了一个可扩展的用户认证选择，包括CHAP、MS-CHAP、MS-CHAPv2和Extensible Authentication Protocol(可扩展认证协议，简称EAP)，EAP支持令牌卡和智能卡认证机制。
利用IPSec良好的而且满足互操作的安全性，L2TP/IPSec提供了精确定义并且可以互操作的隧道操作。
这是保护远程访问和网关到网关访问的一个非常好的解决方案。
