一份关于VPN技术的论文报告

虚拟专用网络技术【摘要】虚拟专用网络（Virtual Private Network，VPN）被定义为通过一个公用网络建立一个临时的、安全的链接，是一条穿过混乱的公用网络的安全、稳定的隧道。

虚拟专用网不是真的专用网络，但却能够实现专用网络的功能。

【关键词】VPN概述，隧道，VPN协议，VPN类型1.1VPN技术概述1.1.1VPN的概念虚拟专用网络（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。

虚拟专用网不是真的专用网络，但却能够实现专用网络的功能。

虚拟专用网指的是依靠ISP（Internet服务提供商）和其他NSP（网络服务提供商），在公用网络中建立专用的数据通信网络的技术。

在虚拟专用网中，任意两个节点之间的链接并没有传统专网所需的端到端的物理链路，而是利用某种公众的资源动态组成的。

虚拟专用网是对企业内部网的扩展。

虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。

虚拟专用网可用于不断增长的移动用户的全球互联网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。

所以，虚拟专用网一般指的是建筑在Internet上能够自我管理的专用网络，而不是FrameRelay或ATM等提供虚拟固定线路（PVC）服务的网络。

以IP为主要通信协议的VPN，也可以称之为IP-VPN。

1.1.2 VPN的基本功能VPN是在公网中形成的企业专用链路。

为了形成这样的链路，采用了所谓的“隧道”技术。

隧道是一种利用公网设施，在一个网络之中的“网络”上传输数据的方法，被传输的数据可以是另一种协议的数据帧。

隧道协议利用附加的报头封装帧，附加的报头提供了路由信息，因此封装后的包能够通过中间的公用网。

封装后的包所途径的公用网的逻辑路径称为隧道。

一旦封装的帧到达了公用网上的目的地，帧就会被解除封装并被继续送到最终目的地。

要形成隧道，基本的要素有以下几项：1、隧道开通器；2、有路由能力的公用网络；3、一个或多个隧道终止器；4、必要时增加一个隧道交换机以增加灵活性。

隧道开通器的任务是在公用网中开出一条隧道。

有多种网络设备和软件可完成此项任务。

例如：1、配有模拟调制解调卡和VPN拨号软件的办公室LAN中的有VPN功能的Extranet路由器。

2、网络服务提供商站点中的有VPN能力的访问集中器。

隧道终止器的任务是使隧道到此终止，不在继续向前延伸。

也有多种网络设备和软件可完成此项任务。

例如：1、专门的隧道终止器；2、企业网络中的隧道交换机；3、NSP网络的Extranet路由器上的VPN网管。

VPN网络中通常还有一个或多个安全服务器。

安全服务器除提供防火墙和地址转换功能之外，还通过与隧道设备的通信来提供加密、身份验证和授权功能。

它们通常也提供各种信息，如带宽、隧道端点、网络策略和服务等。

VPN的功能至少要包含以下几个方面：1、加密数据。

以保证通过公用网传输的信息即使被他人解惑也不会泄露。

2、信息验证和身份识别。

保证信息的完整性、合理性，并能鉴别用户的身份。

3、提供访问控制。

不同的用户有不同的访问权限。

4、地址管理。

VPN方案必须能够为用户分配专用网络上的地址并确保地址的安全性。

5、密钥管理。

VPN方案必须能够生成并更新客户端和服务器的加密密钥。

6、多协议支持。

VPN方案必须支持公用互联网络上普遍使用的基本协议，包括IP、IPX等。

1.2 VPN协议1.2.1 VPN安全技术目前VPN主要采用四项技术来保证安全，这四项技术分别是隧道技术、加解密技术、密钥管理技术、使用者与设备身份认证技术。

1、隧道技术这是VPN的基本技术，类似于点对点连接技术，它在公用网建立一条数据通道（隧道）；让数据包通过这条隧道传输。

隧道是由隧道协议形成的，分为第二，三层隧道协议。

第二层隧道协议是先把各种网络协议封装到PPP中，再把整个数据包装入隧道协议中。

这种双层封装方法形成的数据包靠第二层协议进行传输。

第二层隧道协议有L2F、PPTP、L2TP等。

L2TP是目前IETF的标准，由IETF 融合PPTP与L2F而形成。

第三层隧道协议是把各种网络协议直接装入隧道协议中，形成的数据包依靠第三层协议进行传输。

第三层隧道协议有VTP、IPSee等。

IPSee由一组RFC文档组成，定义了一个系统来提供安全协议选择、安全算法，确定服务所使用密钥等服务，从而在IP层提供安全保障。

2、加解密技术这是数据通信中一项较成熟的技术，VPN可直接利用现有技术。

3、密钥管理技术它的主要任务是如何在公用数据网上安全地传递密钥而不被窃取。

线性密钥管理技术又分为SKIP与ISAKMP/OAKLEY两种。

SKIP主要是利用Diffie-Hellman 的演算法则，在网络上传输密钥；在ISAKMP中，双发都有两把密钥，分别用于公用、私用。

4、身份认证技术这最常用的是使用者名称与密码或智能卡认证等方式。

1.2.2 VPN的隧道协议VPN中的隧道是由隧道协议形成的，VPN使用的隧道协议主要有三种：点到点隧道协议（PPTP）、第二层隧道协议（L2TP）以及IPSec。

PPTP允许对IP、IPX或NetBEUI数据流进行加密，然后封装在IP包头中通过企业IP网络或公共互联网络发送。

L2TP允许对IP、IPX或NetBEUI数据流进行加密，然后通过支持点对点数据报传递的任意网络发送，如IP包头中通过企业IP网络或公共IP互联网络，如Internet发送。

一、点到点隧道技术（PPTP）PPTP封装了PPP数据包中包含的用户信息，支持隧道交换。

隧道交换可以根据用户权限，开启并分配新的隧道，将PPP数据包在网络中传输。

另外，隧道交换还可以将用户导向指定的企业内部服务器。

PPTP便于企业在防火墙和内部服务器上实施访问控制。

位于企业防火墙的隧道终端器接受包含用户信息的PPP数据包，然后对不同来源的数据包实施访问控制。

PPP主要是设计用来通过拨号或专线方式建立点对点连接发送数据。

PPP协议将IP，IPX和NetBEUI包封装在PP帧内通过点对点的链路发送。

PPP协议主要应用于连接拨号用户和接入服务器（NAS）。

PPP拨号会话过程可以分为4个不同的阶段。

阶段1：创建PPP链路PPP使用链路控制协议（LCP）创建、维护或终止一次物理连接。

在LCP阶段的初期，将对基本的通信方式进行选择。

应当注意，在链路创建阶段，只是对验证协议进行选择，用户验证将在第二阶段实现。

同样，在LCP阶段还将确定链路对等双方是否要对使用数据压缩或加密进行协商。

实际对数据压缩/加密算法和其他细节的选择将在第四阶段实现。

阶段2：用户验证在第二阶段，客户PC会将用户的身份明发给远端的接入服务器。

该阶段使用一种安全验证方式避免第三方窃取数据或冒充远程客户接管与客户端的连接。

大多数的PPP方案只提供了有限的验证方式，包括口令验证协议（PAP，明文验证，安全性差），挑战握手验证协议（CHAP，加密的验证方式，使用MD5哈希算法加密）和微软挑战握手验证协议（MSCHAP，加密验证机制，使用MD4哈希算法加密。

）阶段3：PPP回叫控制微软设计的PPP包括一个可选的回叫控制阶段。

该阶段在完成验证之后使用回叫控制协议（CBCP）如果配置使用回叫，那么在验证之后远程客户和NAS质检的链接将会被断开。

然后由NAS使用特定的电话号码回叫远程客户。

这样可以进一步保证拨号网络的安全性。

NAS只支持对位与特定电话号码处的远程客户进行回叫。

阶段4：调用网络层协议在以上各阶段完成之后，PPP将调用在链路创建阶段（阶段1）选定的各种网络控制协议（NCP）。

例如，在该阶段IP控制协议（IPCP）可以向拨入用户分配动态地址。

在微软的PPP方案中，考虑到数据压缩和数据加密实现过程相同，所以共同使用压缩控制协议协商数据压缩佘数据加密。

一旦完成上述四阶段的协商，PPP就开始在连接对等双方之间转发数据。

每个被传送的数据报都被封装在PPP包头内，该包头将会在到达接收方之后被去除。

如果在阶段一选择使用数据压缩并且在阶段四完成了协商，数据将会在被传送之间进行压缩。

类似的，如果已经选择使用数据加密并完成了协商，数据将会在传送之前进行加密。

二、第二层隧道协议（L2TP）L2TP综合了PPTP和L2F协议的优点，并且支持多路隧道，这样可以使用户同时访问Internet和企业网。

PPTP是一个第二层的协议，将PPP数据帧封装在IP数据报内通过IP网络，如Internet传送。

PPTP还可用于专用局域网络之间的连接。

PPTP使用一个TCP连接对隧道进行维护，使用通用路由封装技术把数据封装成PPP数据帧通过隧道传送。

可以对封装PPP帧中的负载数据进行加密或压缩。

第二层转发协议是由Cisco公司提出的隧道技术。

作为一种传输协议，L2F 支持拨号接入服务器，将拨号数据流封装在PPP帧内并通过广域网链路传送到L2F服务器。

L2F服务器把数据包解包后重新注入网络。

与PPTP和L2TP不同，L2F没有确定的客户方。

L2TP是一个网络层协议，支持封装的PPP帧在IP、X.25、帧中继或ATM 等的网络上进行传送。

当使用IP作为L2TP的数据传输协议时，可以使用L2TP 作为internet网络上的隧道协议。

L2TP还可以直接在各种WAN媒介上使用而不需要使用IP传输层。

IP网上的L2TP使用UDP和一系列的L2TP消息对隧道进行维护。

L2TP同样使用UDP将L2TP封装的PPP帧通过隧道发送。

可以对封装PPP帧中的负载数据进行加密或压缩。

PPTP与L2TP的区别：PPTP和L2TP都使用PPP协议对数据进行封装，然后添加附加包头用于数据在互联网络上的传输。

两个协议功能相思，但有以下几方面不同：1、PPTP要求互联网络为IP网络。

L2TP只要求隧道媒介提供面向数据包的点对点的链接。

L2TP可以在IP、帧中继永久虚拟电路、X.25虚拟电路或ATMVCS 网络上使用。

2、PPTP只能在两端点间建立单一隧道。

L2TP支持在两端点间使用多隧道。

使用L2TP，用户可以针对不同的服务质量创建不同的隧道。

3、L2TP可以提供包头压缩。

当压缩包头时，系统开销占用4个字节，而PPTP 协议下要占用6个字节。

4、L2TP可以提供隧道验证，而PPTP则不支持隧道验证。

但是当L2TP或PPTP与IPSEC共同使用时，可以由IPSEC提供隧道验证，不需要在第二层协议上验证隧道。

三、IPSec协议IPSec产生于IPV6的制定之中，用于提供IP层的安全性。

由于所有支持TCP/IP的主机进行通信时，都要经过IP层的处理，所以提供了IP层的安全性就相当于为整个网络提供了安全通信的基础。