虚拟专用网络VPN培训教材
- 格式：ppt
- 大小：1.66 MB
- 文档页数：75
下载文档原格式
合集下载
网络安全设备培训教材
网络安全设备培训教材引言网络安全是当今互联网时代不可忽视的重要问题，随着网络的广泛应用，网络安全问题也日益突出。
为了确保网络的安全可靠，各种网络安全设备应运而生。
本教材旨在为广大网络安全从业人员提供网络安全设备培训指南，帮助他们全面了解网络安全设备的功能、工作原理和配置方法。
1. 网络安全设备概述网络安全设备是指一类专门用于保护计算机网络和信息系统安全的硬件设备。
它们通过实施各种安全策略和防护措施，防止网络受到恶意攻击、数据泄露和其他安全威胁。
现代网络安全设备种类繁多，包括防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）、虚拟专用网络（VPN）等等。
2. 防火墙防火墙是网络安全的重要基石，它通过过滤网络流量，控制网络通信，阻止未经授权的访问和恶意攻击。
防火墙的功能包括包过滤、应用代理、网络地址转换（NAT）等。
本节将详细介绍防火墙的工作原理和常用配置方法。
2.1 防火墙工作原理防火墙通过检查网络流量中的数据包，根据预设的规则集合来决定是否允许通过。
数据包的检查可以基于源地址、目标地址、端口号和数据包内容等信息。
防火墙可以根据不同的安全策略，将网络流量分为内部流量和外部流量，提供不同的访问控制。
2.2 防火墙常用配置方法防火墙的配置方法多种多样，本节将主要介绍以下几种常用的配置方法： - 基于主机 - 基于网络 - 基于应用3. 入侵检测系统（IDS）入侵检测系统可以监控和识别网络上的入侵行为，并对其进行警告和报告。
它通过收集、分析和比对网络流量和系统日志，探测出潜在的入侵行为，提升网络的安全性。
本节将介绍入侵检测系统的分类、工作原理和常用配置方法。
3.1 入侵检测系统分类入侵检测系统主要分为以下两类： - 签名型入侵检测系统 - 行为型入侵检测系统3.2 入侵检测系统工作原理入侵检测系统通过收集网络流量和系统信息，与已知入侵行为进行比对，从而发现潜在的入侵事件。
它可以使用多种检测方式，包括特征检测、异常检测和统计分析。
VPN产品培训讲义
路漫漫其悠远
增值服务
❖ VPDN：利用171接入VPN ❖ IPSec：从Internet接入 VPN ❖ 提供IDC+IP-VPN的集成服 务 ❖ Intranet话音业务
IP－VPN 组网方式（1 ）
路漫漫其悠远
IP－VPN 组网方式（2 ）
路漫漫其悠远
IP－VPN 组网方式（3 ）
路漫漫其悠远
MPLS-VPN安全性能概述 台湾语音专线简介 结束
路漫漫其悠远
中国网通VPN产品线
基于MPLS的IP-VPN（目前的主打产品）
带宽、技术优势
• 大带宽 • 多端点；64K-128K在七点以上
接入劣势
FR-VPN
特定市场、特定客户、特定模式 按需建网、控制成本，不和中国电信全面竞争
4. 删除标签后，按 常规IP包转发
LSP
2. 根据包头，查找路由 表，确定LSP，并将 标签插入包头中。
路漫漫其悠远
3. 按标签进行标签交换 式转发。
基于MPLS的IP－VPN
支持私有IP地址
VPN 连接的管理有运营商完成
用户 A 用户 B
----
----
---
----
B
---------
统计复用器 1 2 3 1 2 3 1 2
当一个信源不发送时，其他信源可以占用所 有可用带宽,享用突发带宽.
•统计复用技术特别适合于突发性数据业务：
信源在大部分时间内只传送少量数据
•多条PVC中数据流统计复用至同一条电路，
使得每条PVC可以有高的突发速率。
路漫漫其悠远
帧中继服务与专线服务的比较
两种丢包方式：当电路发生拥塞时会发生丢包
随机方式 选择性方式：
课程08 虚拟专用网络技术
8.2.4 AH协议
AH协议为IP数据包提供了数据完整性服务和认 证服务，并使用一个带密钥的哈希函数以实现认
证服务。
8.2.4 AH协议
(1) AH协议的原理 AH协议可以保证IP分组的可靠性和数据的完整
性。它的原理是发送方将IP分组头、上层数据、
共享密钥这3部分通过MD5 (或SHA-1) 算法进行 计算，得出AH首部的认证数据，并将AH首部加 入IP分组中。
第8章 虚拟专用网络技术
VPN可以实现不同网络组件和资源之间的相互连
接，利用因特网或其他公共互连网络的基础设施 为用户创建隧道，并提供与专用网络一样的安全 和功能保障。
第8章 虚拟专用网络技术
提高VPN效用的关键问题在于当用户的业务需求
发生变化时，用户能很方便地调整他的VPN以适 应变化，并且能方便地升级到将来新的TCP/IP技
更好的保证、支持即插即用和移动性、更好实现 多播功能。
8.1 VPN的安全性
使用虚拟专用网络涉及到一些传统企业内部网络 中不存在的安全问题。在虚拟专用网络中，一个
典型的端到端的数据通路可能包含：
– 1) 数台不在公司控制之下的机器 (例如ISP的接入设备 和因特网上的路由器) 。 – 2) 介于内部网 (Intranet) 和外部网之间的安全网关 (可能是防火墙或者是路由器) 。
来提供。 AH既可以用于主机，也可以用于安全网关。当 在一个安全网关中实现AH以保护传输的通信时， 必须使用隧道模式。
8.2.4 AH协议
“隧道”技术是VPN的核心，它允许VPN的数据 流被路由通过IP网络，而不管生成数据流的是何
种类型的网络或设备。隧道内的数据流可以是IP、
IPX、Apple Talk或其他类型的数据包。
演示文稿VPN技术课件讲解
• VPN简介及பைடு நூலகம்优点
• VPN的安全性 • 市场上已有的VPN解决方案
第三页，共41页。
§1.1 VPN简介及其优点
VPN概述 VPN功能 VPN工作原理 VPN具体应用
❖ VPN是企业网在因特网等公共网络上的延伸
❖ VPN通过一个私有的通道来创建一个安全的私有连接，将远程用户、
公司分支机构、公司的业务伙伴等跟企业网连接起来，形成一个扩展的 公司企业网
❖ 提供高性能、低价位的因特网接入
第四页，共41页。
VPN的典型应用
合作伙伴
内部网
VPN是企业网在因特网上的
延伸
第五页，共41页。
虚拟私有网
Internet
远程访问
分支机构
§1.2 VPN的安全性
Clue
分支机构
安全网关
ISP接入设备
Internet
远程访问
拨入段
外部段
（公共因特网）
内部网
安全网关
风险
第十页，共41页。
§1.2.5 内部网中数据泄漏的风险
远程访问
ISP接入设备
Internet
安全网关
内部网
内部段 公司的内部网络
1. 内部网中可能存在不信任的主机、路由器等
2. 内部员工可以监听、篡改、重定向企业内部网的数据报文 3. 来自企业网内部员工的其他攻击方式
第十一页，共41页。
§1.2.6 结论
在端到端的数据通路上随处都有可能发生数据的泄漏，包括：
1. 拨入段链路上 2. ISP接入设备上 3. 在因特网上
4. 在安全网关上
5. 在企业内部网上。
能否提供一个综合一致的解决方案，它不仅能提供端到 端的数据保护，同时也能提供逐段的数据保护呢？
迈普IPsec VPN技术培训
50.1.32.101 50.1.32.245
50.1.32.244
省中心CMS
218.28.141.45
省中心 VPN3020B
218.28.141.44
隧道
地市VPN与省中 心VPN网关通过 Internet相连建立 隧道
Internet
222.137.230.252
地市VPN3005B
80.1.0.1
Saving（经济性）－减少线路投资（国内情况）
• 看一看宽带接入情况 xDSL费用：初装费用+包年费用=？
￥400
带宽：
512K~1M
迈普网络安全产品培训
一、概述 二、IPsecVPN原理简介 三、VPN配置案例介绍 四、调试技巧
2.1 VPN是如何实现类似于专线的功能的？ VPN是采用了IPSec协议在封装报文，将封装后的加密报文通过 Internet进行传输，基于密码学的数学技术能够保证该加密报文不能够 轻易解密和篡改。
IPSec是一组协议族，IPSec，顾名思义，是IP层的安全（Security）。 它是工作在IP层，对IP层的数据进行加密一般有两种协议ESP （Encapsulation Security Payload，封装安全载荷）和AH （Authentication Head，认证头）。前者能够加密和验证，后者仅仅 提供验证。两者都支持验证，其区别是后者验证的范围更广。在目前的 实际使用中，一般仅仅使用ESP。 IPSec协议有两种模式——传送模式和通道模式（tunnel），传送模式 在这里不作阐述，对于VPN网关来说，只有通道模式才有意义。
营业区 间
2,000
国内
3,500
64Kbps 月 租 费
《VPN工作原理》课件
旅行
访问受限网站、保护个人信息、 规避地理限制。
VPN工作原理概述
建立加密隧道
数据加密
VPN通过在公共网络中建立加密 的隧道，确保数据传输的安全性。
VPN使用加密算法对数据进行加 密，防止未经授权的访问。
数据解密
接收方使用相同的加密算法对数 据进行解密，恢复原始数据。
VPN加密算法
1 对称加密
使用相同的密钥进行加密和解密，速度快但密钥管理复杂。
VPN工作原理
虚拟专用网络（VPN）是一种通过公共网络传输数据的安全通信方式，它的 工作原理基于加密算法和传输协议。本课件将详细介绍VPN的定义、作用以 及连接建立过程。
VPN的定义和作用
定义
VPN（Virtual Private Network）是一种通过公共网络实现私密通信的技术。
作用
通过建立加密隧道，保护用户数据的安全性和隐私。
2 非对称加密
使用公钥进行加密，私钥进行解密，密钥管理相对简单。
VPN传输协议
TCP
传输控制协议，适用于可靠传输，但速度较慢，适 合传输文件和访问网页。
UDP
用户数据报协议，传输速度快，适合实时通信和流 媒体传输。
VPN连接建立过程
1
请求建立连接
客户端向服务器发送连接请求。
ห้องสมุดไป่ตู้
2
握手和身份验证
双方进行握手，确认身份并交换加密密钥。
3
建立加密通道
双方使用密钥建立加密通道，确保数据传输的安全性。
VPN的优缺点
优点
提供安全的远程访问解决方案，保护数据不被窃取或篡改。
缺点
VPN连接可能降低网络传输速度，需要额外的配置和管理。
虚拟专用网络VPN
虚
第1章 VPN概述
拟 专
以高校校园VPN应用为案例
用
在上世纪末到本世纪初，我国高校进行了大量改
网
革，学校合并、升级等工作。为此，给学校教学、
络
科研等的管理带来了许多不便，如学校教职工并不
——VPN
是全部在校内居住，而在校外居住比例逐渐提高，
外出进行学术研究、工作、参加各种会议的人次逐
年增多，此类人又必须网上办公或校内资源访问的
拟
优点：
专
保护子网中的所有用户都可以透明的享受由安
用
全网关提供的安全保护。
网 络
子网内部可以使用私有IP地址。
子网内部的拓扑结构受到保护。
——VPN
缺点： 增大了安全网关的处理负荷，容易形成通信瓶颈。
对内部的诸多安全问题将不可控。
虚
拟
传输模式与隧道模式的区别：
专
用
网
传输模式的协议栈少了一层——隧道，即少了添加
——VPN
（3）分支机构、远程用户、合作伙伴多的企业，需 要扩展企业网，实现远程访问和局域网互联。
（4）关键业务多且对通信线路保密和可用性要求高 的用户，如银行、证券公司、保险公司等。
虚 1.2.1 VPN连接模式
拟 专
用于在设备之间传输数据时的封装过程：
用
• 传输模式
网 络
• 隧道模式
1、传输模式
络
终止点是面向客户的，其内部技术构成、实施和管理
——VPN
对VPN客户可见。需要客户和隧道（或网关）方安装
隧道软件。客户方的软件发起隧道，在公司隧道服务
器处终止隧道。此时ISP不需要做支持建立隧道的任
何工作。经过对用户身份符（ID）和口令的验证，客
第1章 VPN概述
拟 专
以高校校园VPN应用为案例
用
在上世纪末到本世纪初，我国高校进行了大量改
网
革，学校合并、升级等工作。为此，给学校教学、
络
科研等的管理带来了许多不便，如学校教职工并不
——VPN
是全部在校内居住，而在校外居住比例逐渐提高，
外出进行学术研究、工作、参加各种会议的人次逐
年增多，此类人又必须网上办公或校内资源访问的
拟
优点：
专
保护子网中的所有用户都可以透明的享受由安
用
全网关提供的安全保护。
网 络
子网内部可以使用私有IP地址。
子网内部的拓扑结构受到保护。
——VPN
缺点： 增大了安全网关的处理负荷，容易形成通信瓶颈。
对内部的诸多安全问题将不可控。
虚
拟
传输模式与隧道模式的区别：
专
用
网
传输模式的协议栈少了一层——隧道，即少了添加
——VPN
（3）分支机构、远程用户、合作伙伴多的企业，需 要扩展企业网，实现远程访问和局域网互联。
（4）关键业务多且对通信线路保密和可用性要求高 的用户，如银行、证券公司、保险公司等。
虚 1.2.1 VPN连接模式
拟 专
用于在设备之间传输数据时的封装过程：
用
• 传输模式
网 络
• 隧道模式
1、传输模式
络
终止点是面向客户的，其内部技术构成、实施和管理
——VPN
对VPN客户可见。需要客户和隧道（或网关）方安装
隧道软件。客户方的软件发起隧道，在公司隧道服务
器处终止隧道。此时ISP不需要做支持建立隧道的任
何工作。经过对用户身份符（ID）和口令的验证，客
安全操作规程使用虚拟专用网络(VPN)保护您的网络通信
安全操作规程使用虚拟专用网络（VPN）保护您的网络通信使用虚拟专用网络（VPN）保护您的网络通信的安全操作规程在当今互联网高度发达的时代，人们通常会通过互联网进行各种网络通信，包括发送和接收敏感的个人信息、商业机密以及其他重要数据。
然而，随着网络安全威胁的不断增加，必须采取适当的安全措施来保护您的网络通信。
一种有效的方法是使用虚拟专用网络（VPN）。
本文将介绍使用VPN时的安全操作规程，以保护您的网络通信。
一、什么是虚拟专用网络（VPN）虚拟专用网络（Virtual Private Network，简称VPN）是一种通过公共网络（如互联网）建立起来的加密通道，用于在不安全的网络环境中实现远程访问、数据传输和通信安全的技术。
通过VPN连接，您的网络通信将会经过加密处理，从而增加安全性和隐私保护。
二、选择合适的VPN服务提供商在使用VPN之前，您需要选择一个可信赖的VPN服务提供商。
以下是一些选择VPN服务提供商的要点：1.信誉良好：选择在行业内有良好声誉和口碑的供应商，可以通过查找用户评价和专业评测来获得相关信息。
2.安全性：确保供应商提供高级加密技术和其他安全功能，例如双因素身份验证、防火墙保护等。
3.服务器位置：选择供应商提供的服务器位置和覆盖范围，确保您可以选择最佳的服务器以获得更好的速度和性能。
4.价格和服务：比较不同供应商的价格和服务套餐，选择适合您需求的。
三、安装和配置VPN客户端选择合适的VPN服务提供商后，您需要按照其提供的指南进行安装并配置VPN客户端。
以下是一些建议：1.确保您从官方网站下载和安装正版VPN客户端，避免使用未知来源或不明身份的软件。
2.按照提供商的指南，正确地配置VPN客户端，包括服务器地址、用户名和密码等信息。
3.启用自动连接功能，以确保您在重新启动设备或网络连接断开后能够自动重新连接VPN。
四、连接VPN并保持连接安全稳定在使用VPN期间，需要注意以下几点以确保连接的安全性和稳定性：1.始终使用最新版本的VPN客户端，以便获得供应商提供的最新安全补丁和功能更新。
VPN原理培训-PPT课件
1
IPSec VPN原理简介
2
目录
• IPSec概述 • IKE协议 • AH协议 • ESP协议
3
VPN分类
IPSec
GRE
L2F PPTP L2TP
Layer 5（应用层） Layer 4（传输层） Layer 3（网络层） Layer 2（链路层） Layer 1（物理层）
4
一个利用IPSec通信的例子
– 对方IP地址 – IPSec协议：AH/ESP?
12
SP（Security Policy）
• 对IP数据包提供何种保护，并以何种方式实施 • 当要将IP包发送出去时，或者接收到IP包后，首
先要查找SPD来决定如何进行处理。存在三种可 能的处理方式：丢弃、不用IPSec和使用IPSec。
– 丢弃：流量不能离开主机或者发送到应用程序，也不 能进行转发。
HASH
H
• HMAC算法：带密钥的HASH算法
• MAC：Message Authentication Code • HMAC-MD5,HMAC-SHA1
HMAC
H
HMAC H’ ?
H
7
IPSec体系结构
IPSec体系结构
ESP协议
AH协议
加密算法
验证算法
解释域(DOI) 密钥管理(IKE)
8
IPSec SA
18
目录
• IPSec概述 • IKE协议 • AH协议 • ESP协议
19
IKE协议
• RFC 2409 • 三种协议混和：ISAKMP/Oakley/SKEME • 协议：UDP
– 500 – 4500（支持NAT穿越）
• 调试：
IPSec VPN原理简介
2
目录
• IPSec概述 • IKE协议 • AH协议 • ESP协议
3
VPN分类
IPSec
GRE
L2F PPTP L2TP
Layer 5（应用层） Layer 4（传输层） Layer 3（网络层） Layer 2（链路层） Layer 1（物理层）
4
一个利用IPSec通信的例子
– 对方IP地址 – IPSec协议：AH/ESP?
12
SP（Security Policy）
• 对IP数据包提供何种保护，并以何种方式实施 • 当要将IP包发送出去时，或者接收到IP包后，首
先要查找SPD来决定如何进行处理。存在三种可 能的处理方式：丢弃、不用IPSec和使用IPSec。
– 丢弃：流量不能离开主机或者发送到应用程序，也不 能进行转发。
HASH
H
• HMAC算法：带密钥的HASH算法
• MAC：Message Authentication Code • HMAC-MD5,HMAC-SHA1
HMAC
H
HMAC H’ ?
H
7
IPSec体系结构
IPSec体系结构
ESP协议
AH协议
加密算法
验证算法
解释域(DOI) 密钥管理(IKE)
8
IPSec SA
18
目录
• IPSec概述 • IKE协议 • AH协议 • ESP协议
19
IKE协议
• RFC 2409 • 三种协议混和：ISAKMP/Oakley/SKEME • 协议：UDP
– 500 – 4500（支持NAT穿越）
• 调试：
《VPN技术介绍》课件
使用VPN进行在线购物时，可以保 护个人账户和支付信息免受网络攻 击。
旅行者
旅行时通过公共Wi-Fi连接时，使用 VPN可以防止个人信息被窃取。
VPN的优点和局限性
优点
• 加密通信 • 隐私保护 • 远程访问
局限性
• 速度影响 • 安全隐患 • 不适用于所有应用
如何选择合适的VPN服务商
因素 安全性 速度和稳定性 用户体验 费用
VPN的基本原理
1
数据加密
VPN使用加密算法对数据进行加密，确保数据传输过程中不被窃取或篡改。
2
隧道传输
VPN通过在公共网络上建立“隧道”，将数据封装在隧道内传输，从而实现私密通 信。
3
身份验证
VPN通过身份验证机制，仅允许授权用户进行连接，提高网络的安全性。
常见的VPN协议
IPsec
IPsec是一种广泛使用的VPN协 议，它提供了强大的数据加密 和隧道传输功能。
OpenVPN
OpenVPN是一个开源的VPN协 议，它具有高度的可配置性和 扩展性，并且适用于各种操作 系统。
PPTP
PPTP是一种较早期的VPN协议， 它易于设置和使用，但安全性 相对较低。
常用的VPN应用场景
远程办公
VPN允许远程员工通过公共网络安 全地访问公司内部资源，提高工作 效率。
安全购物
要考虑的内容 数据加密标准、隐私政策、身份验证机制 服务器分布、带宽限制、连接质量 易用性、客户端支持、用户评价 价格、套餐、退款政策
结论和建议
VPN技术是保护网络安全和隐私的重要工具。选择合适的VPN服务商，并在适 当的场景中使用VPN，可以有效绍
在网络安全领域，VPN扮演着重要的角色。本课件将深入介绍VPN的定义、作 用以及其基本原理，让您全面了解这一关键技术。
旅行者
旅行时通过公共Wi-Fi连接时，使用 VPN可以防止个人信息被窃取。
VPN的优点和局限性
优点
• 加密通信 • 隐私保护 • 远程访问
局限性
• 速度影响 • 安全隐患 • 不适用于所有应用
如何选择合适的VPN服务商
因素 安全性 速度和稳定性 用户体验 费用
VPN的基本原理
1
数据加密
VPN使用加密算法对数据进行加密，确保数据传输过程中不被窃取或篡改。
2
隧道传输
VPN通过在公共网络上建立“隧道”，将数据封装在隧道内传输，从而实现私密通 信。
3
身份验证
VPN通过身份验证机制，仅允许授权用户进行连接，提高网络的安全性。
常见的VPN协议
IPsec
IPsec是一种广泛使用的VPN协 议，它提供了强大的数据加密 和隧道传输功能。
OpenVPN
OpenVPN是一个开源的VPN协 议，它具有高度的可配置性和 扩展性，并且适用于各种操作 系统。
PPTP
PPTP是一种较早期的VPN协议， 它易于设置和使用，但安全性 相对较低。
常用的VPN应用场景
远程办公
VPN允许远程员工通过公共网络安 全地访问公司内部资源，提高工作 效率。
安全购物
要考虑的内容 数据加密标准、隐私政策、身份验证机制 服务器分布、带宽限制、连接质量 易用性、客户端支持、用户评价 价格、套餐、退款政策
结论和建议
VPN技术是保护网络安全和隐私的重要工具。选择合适的VPN服务商，并在适 当的场景中使用VPN，可以有效绍
在网络安全领域，VPN扮演着重要的角色。本课件将深入介绍VPN的定义、作 用以及其基本原理，让您全面了解这一关键技术。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
拟
优点：
专
保护子网中的所有用户都可以透明的享受由安
用
全网关提供的安全保护。
网 络
子网内部可以使用私有IP地址。
子网内部的拓扑结构受到保护。
——VPN
缺点： 增大了安全网关的处理负荷，容易形成通信瓶颈。
对内部的诸多安全问题将不可控。
虚
拟
传输模式与隧道模式的区别：
专
用
网
传输模式的协议栈少了一层——隧道，即少了添加
——VPN
传输模式只对IP数据包的有效负载进行加密或认 证。此时，继续使用以前的IP头部，只对IP头部的 部分域进行修改，而IPSec协议头部插入到IP头部和 传输层头部之间。
虚
传输模式：
拟
加密的TCP会话
专
用
外网
网
内网
络
传输模式封装：
IP包头 上层协议（数据）
——VPN
IP包头 AH包头 ESP包头 上层协议（数据）
拟
网关需要两个IP地址：一个是它自己的NIC地址，
专
另外一个是内部地址，这个地址通常被称为虚拟的
用
或者逻辑地址或者是被分配的IP地址。
网
络
家庭办公
总部
PSTN
Internet
——VPN
安装了VPN客户 端软件的移动用户
虚
3、防火墙VPN
拟
专 用 网
一个防火墙VPN本质上是一个带有增强的安全 和防火墙功能的L2L或者远程访问VPN。
用 网
• 站点到站点VPN
络
• 远程访问VPN
• 防火墙VPN
——VPN
• 用户对用户VPN
虚
1、站点到站点VPN
拟
专
在VPN网关之间使用隧道模式连接来保护两个
用
或更多站点之间的流量。
网 络
站点到站点的连接通常称为局域网到局域网 连接（L2L）。
——VPN
对站点之间的流量进行了保护，包括位于两台 VPN设备之间的传输网络。对两个站点的终端用 户的设备是透明的。
虚 传输模式优点和缺点：
拟
优点：
专
即使内网的其他用户也不能理解通信主机
用
之间的通信内容。
网
分担了IPSec处理负荷。
络
缺点：
——VPN
不具备对代价。
不能使用私有IP地址。
暴露了子网的内部拓扑结构。
虚
2、隧道模式
拟
专
隧道模式中，整个IP数据包都在ESP负载中进行封
络
• PIX和ASA安全设备
——VPN
Cisco通常建议用路由器作为L2L VPN的解决 方案。
虚
与其他设备相比，Cisco产品的基本优点：
拟
专
IOS路由器——有先进的QoS、GRE隧道、路
用
由选择以及扩展和先进的L2L VPN能力。
网
Cisco VPN 3000集中器——易于建立和故障
络
诊断与排除。
用
缘路由器的用户提供的。这是一种“永远在线”
网
的VPN，可以节省传统的长途专线费用。
络
（2）拨号VPN（又称VPDN）：它是向利用拨号
——VPN
PSTN或ISDN接入ISP的用户提供的VPN业务。这
是一种“按需连接”的VPN，可以节省用户的长途
电话费用。需要指出的是，因为用户一般是漫游用
户，是“按需连接”的，因此VPDN通常需要做身
需求，但校园网资源由于安全的原因又只能在校内
认证访问，这些矛盾逐渐突出。为此，许多学校网
络中心采用虚拟专用网（VPN）来解决这一问题，
为地处校外的教职工的工作和学习带来方便。
虚
其技术要求：
拟
专
1、身份验证。
用 网
2、加密保护。
络
3、方便、安全的管理。
——VPN
4、DHCP支持。
5、多种用户环境支持。支持专线宽带接入、小 区宽带接入、ADSL宽带接入、ISDN拨号接入、 普通电话拨号接入、GPRS接入、CDMA接入等 多种因特网接入方式。
用
装和加密。此时，需要新产生一个IP头部，IPSec头
网
部被放在新产生的IP头部和以前的IP数据包之间，从
络
而组成一个新的IP头部。
IP包头 上层协议（数据）
——VPN
安全网关IP包头 AH包头 ESP包头 IP包头 上层协议（数据）
——VPN
虚
隧道模式
拟
专
用
网
络
InterNet
虚
ESP隧道模式优点和缺点
——VPN
（3）分支机构、远程用户、合作伙伴多的企业，需 要扩展企业网，实现远程访问和局域网互联。
（4）关键业务多且对通信线路保密和可用性要求高 的用户，如银行、证券公司、保险公司等。
虚 1.2.1 VPN连接模式
拟 专
用于在设备之间传输数据时的封装过程：
用
• 传输模式
网 络
• 隧道模式
1、传输模式
——VPN
PIX安全设备防火墙——有先进的防火墙和安 全特性，包括状态过滤、应用程序过滤和先进的 地址转换能力。
虚
2、远程访问VPN
拟
专
移动用户或远程小办公室通过Internet访问网络
用
中心。
网
络
连接单一的网络设备
——VPN
客户通常需要安装VPN客户端软件
虚
远程访问中，VPN端点或者客户端，连接到VPN
网
VPN业务（也可以用于实现专线VPN业务），当然这
络
些协议之间本身不是冲突的，而是可以结合使用的。
——VPN
虚
三、按VPN的发起方式划分
拟 专 用
这是客户和IPS最为关心的VPN分类。VPN业务可 以是客户独立自主实现的，也可以是由ISP提供的。
网
1）发起（基于客户的）：VPN服务提供的其始点和
攻击者
——VPN
• 会话回放（重新发送）攻击
虚
攻击者
拟
专
用 网
设备A
设备B
络
设备B
设备A
攻击者
——VPN
设备A
设备B
• 会话截获攻击
虚
1、中间人攻击工具
拟
常用攻击协议分析仪来捕捉数据包。使用会话回放
专
攻击，可以使用Java或ActiveX脚本来捕捉来自
用
WEB服务器会话的数据包。使用TCP会话截获攻击，
专
VPN既是一种组网技术，又是一种网络安全技术。
用 网 络
在公用网络中，按照相同的策略和安全规则，建立 的私有网络连接。
——VPN
Internet
虚 拟
其应用范围： （1）已经通过专线连接实现广域网的企业，由于增
加业务，带宽已不能满足业务需要，需要经济可靠的升
专 级方案。
用
网 络
（2）企业的用户和分支机构分布范围广，距离远， 需要扩展企业网，实现远程访问和局域网互联，最典型 的是跨国企业、跨地区企业。
拟
专
网络中，通过改变数据包中的源地址信息来实
用
现。常被称为欺骗，与服务拒绝（DoS）攻击或
网
非授权访问攻击组合。
络
1、伪装工具
——VPN
在第2层网络中，黑客可能使用ARP欺骗来将 两台设备之间的数据流量重定向到黑客的设备。
伪装工具挺多，一般是修改数据包中的源 IP地址。
虚
2、伪装解决方案
拟
专
使用一个强壮的防火墙系统来限制进入本网络
——VPN
链路加密——通常用硬件在网络层以下的物理层 和数据链路层中实现，用于保护通信节点间传输的 数据。
虚 拟
密钥A
节点 (发方)
加密
解密
节点 (交换中心)
加密
专
用 网
密钥B
解密
节点 (收方)
络
——VPN
端到端加密——通常在两端设备中完成加解密的 过程。其密钥管理就是一个重要的课题。
虚 1.1.2 伪装攻击
隧道协议（L2TP）、多协议标记交换（MPLS）
等。
——VPN
（2）第三层隧道协议：包括通用路由封装协议 (GRE)、IP安全（IPSEC），这是目前最流行的 两种三层协议。
虚
拟
第二层和第三层隧道协议的区别主要在于用户数据
专
在栈的第几层被封装，其中GRE、IPSec和MPLS主
用
要用于实现专线VPN业务，L2TP主要用于实现拨号
络
终止点是面向客户的，其内部技术构成、实施和管理
——VPN
对VPN客户可见。需要客户和隧道（或网关）方安装
隧道软件。客户方的软件发起隧道，在公司隧道服务
器处终止隧道。此时ISP不需要做支持建立隧道的任
何工作。经过对用户身份符（ID）和口令的验证，客
户方和隧道服务器极易建立隧道。双方也可以用加密
的方式。隧道一经建立，用户就会感觉到ISP不在参
虚
2、窃听解决方案
拟 专 用
信用卡信息、个人信息、电话号码、用户名、密 码（口令）、社会保险码等类信息均是敏感信息。
网
在电子商务环境中主要的解决方案是采用具有SSL
络
（Secure Socket Layer，安全套接层）来增强WEB
安全性的一种安全协议。HTTP协议（HTTPS）。对
信用卡和个人信息提供较强的保护（加密）。
虚 拟 专 用 网 络
——VPN
虚 1.1 网络流量
拟
专
VPN最初开发的主要目的是将明文数据通
用
过网络进行传输时的加密处理。