VPN虚拟专用网毕业论文.docx
- 文档编号:13774966
- 上传时间:2023-06-17
- 格式:DOCX
- 页数:28
- 大小:692.09KB
VPN虚拟专用网毕业论文.docx
《VPN虚拟专用网毕业论文.docx》由会员分享,可在线阅读,更多相关《VPN虚拟专用网毕业论文.docx(28页珍藏版)》请在冰点文库上搜索。
VPN虚拟专用网毕业论文
VPN虚拟专用网毕业论文
本人郑重声明:
在毕业设计(论文)工作中严格遵守学校有关规定,恪守学术规范;我所提交的毕业设计(论文)是本人在指导教师的指导下独立研究、撰写的成果,设计(论文)中所引用他人的文字、研究成果,均已在设计(论文)中加以说明;在本人的毕业设计(论文)中未剽窃、抄袭他人的学术观点、思想和成果,未篡改实验数据。
本设计(论文)和资料若有不实之处,本人愿承担一切相关责任。
学生签名:
年月日
摘要
本文第一介绍了VPN的定义和研究意义,接着介绍了实现VPN的关键技术(包括隧道技术,加解密认证技术,密钥治理技术,访问操纵技术)以及实现VPN的要紧安全协议,PPTP/L2TP协议、IPSec协议,为VPN组网提供了理论指导。
最后通过构建中小企业的虚拟专用网,全面介绍了在Windowsserver2003ISA2004环境下站点到站点和站点到客户端的VPN的配置,为企业的VPN构建提供参考和借鉴。
关键词:
隧道,L2TP,PPTP,IPSec
Abstract
ThispaperfirstintroducesthedefinitionofVPNanditsstudyimplications.AndthenintroducesthekeytechnologiesforimplementingaVPNwhichincludestheTunneltechnologyanditsmainsecureprotocols,PPTP/L2TPprotocol,IPSECprotocol,SOCKSv5protocol,AllthesetechnologiesprovidethetheoreticalbasesforbuildingaVPNnetwork.Finally,byconstructinganenterprisevirtualprivatenetwork,IintroducedtheconfigurationofsitetositeandsitetoclientVPNundertheWindowsserver2003ISA2004environment,itprovidesthereferentialguidelinetotheVPNconstructioninenterprises.
Keywords:
Tunnel,L2TP,PPTP,IPSec
名目
1绪论
1.1VPN的定义
VPN(VirtualPrivateNetwork)被定义为通过一个公共网络(通常是因特网)建立一个临时的、安全的连接,是一条穿过纷乱的公共网络的安全、稳固的隧道。
虚拟专用网是对企业内部网的扩展。
虚拟专用网能够关心远程用户、公司分支机构、商业伙伴及供应商同公司的内部网络建立可信的安全连接,并保证数据的安全传输。
通过将数据流转移到低成本的网络上,一个企业的虚拟专用网解决方案也将大幅度的减少用户花费在城域网和远程网络连接上的费用。
同时,这将简化网络的设计和治理,加速连接新的用户和网站。
另外,虚拟专用网还能够爱护现有的网络投资。
随着用户的商业服务不断进展,企业的虚拟专用网解决方案能够使用户将精力集中到自己的生意上,而不是网络上。
虚拟专用网可用于不断增长的移动用户的全球因特网接入,以实现安全连接;可用于实现企业网站之间安全通信的虚拟专用线路,用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
1.2VPN的工作原理
把因特网用作专用广域网,就要克服两个要紧障碍。
第一,网络经常使用多种协议如IPX和NetBEUI进行通信,但因特网只能处理IP流量。
因此,VPN就需要提供一种方法,将非IP的协议从一个网络传送到另一个网络。
其次,网上传输的数据包以明文格式传输,因而,只要看得到因特网的流量,就能读取包内所含的数据。
假如公司期望利用因特网传输重要的商业隐秘信息,这明显是一个问题。
VPN克服这些障碍的方法确实是采纳了隧道技术:
数据包不是公布在网上传输,而是第一进行加密以确保安全,然后由VPN封装成IP包的形式,通过隧道在网上传输,如图1-1所示:
图1-1VPN工作原理图
源网络的VPN隧道发起器与目标网络上的VPN隧道发起器进行通信。
两者就加密方案达成一致,然后隧道发起器对包进行加密,确保安全(为了加强安全,应采纳验证过程,以确保连接用户拥有进入目标网络的相应的权限。
大多数现有的VPN产品支持多种验证方式)。
最后,VPN发起器将整个加密包封装成IP包。
现在不管原先传输的是何种协议,它都能在纯IP因特网上传输。
又因为包进行了加密,因此谁也无法读取原始数据。
在目标网络这头,VPN隧道终结器收到包后去掉IP信息,然后依照达成一致的加密方案对包进行解密,将随后获得的包发给远程接入服务器或本地路由器,他们在把隐藏的IPX包发到网络,最终发往相应目的地。
1.3VPN的研究背景和意义
随着网络,专门是网络经济的进展,企业日益扩张,客户分布日益广泛,合作伙伴日益增多,这种情形促使了企业的效益日益增长,另一方面也越来越凸现传统企业网的功能缺陷:
传统企业网基于固定物理地点的专线连接方式已难以适应现代企业的需求。
因此企业关于自身的网络建设提出了更高的需求,要紧表现在网络的灵活性、安全性、经济性、扩展性等方面。
在如此的背景下,VPN以其独具特色的优势赢得了越来越多的企业的青睐,令企业能够较少地关注网络的运行与爱护,而更多地致力于企业的商业目标的实现。
尽管VPN在明白得和应用方面差不多上高度复杂的技术,甚至确定其是否适用于本公司也一件复杂的事件,但在大多数情形下VPN的各种实现方法都能够应用于每个公司。
即使不需要使用加密数据,也可节约开支。
因此,在以后几年里,客户和厂商专门可能会使用VPN,从而使电子商务重又获得生气,如何说全球化、信息化、电子化是大势所趋。
2VPN的应用领域和设计目标
2.1VPN的要紧应用领域
利用VPN技术几乎能够解决所有利用公共通信网络进行通信的虚拟专用网络连接的问题。
归纳起来,有以下几种要紧应用领域。
(1)远程访问
远程移动用户通过VPN技术能够在任何时刻、任何地点采纳拨号、ISDN、DSL、移动IP和电缆技术与公司总部、公司内联网的VPN设备建立起隧道或密道信,实现访问连接,现在的远程用户终端设备上必须加装相应的VPN软件。
推而广之,远程用户可与任何一台主机或网络在相同策略下利用公共通信网络设施实现远程VPN访问。
这种应用类型也叫AccessVPN(或访问型VPN),这是差不多的VPN应用类型。
不难证明,其他类型的VPN差不多上AccessVPN的组合、延伸和扩展。
(2)组建内联网
一个组织机构的总部或中心网络与跨地域的分支机构网络在公共通信基础设施上采纳的隧道技术等VPN技术构成组织机构“内部”的虚拟专用网络,当其将公司所有权的VPN设备配置在各个公司网络与公共网络之间(即连接边界处)时,如此的内联网还具有治理上的自主可控、策略集中配置和分布式安全操纵的安全特性。
利用VPN组建的内联网也叫IntranetVPN。
IntranetVPN是解决内联网结构安全和连接安全、传输安全的要紧方法。
(3)组建外联网
使用虚拟专用网络技术在公共通信基础设施上将合作伙伴和有共同利益的主机或网络与内联网连接起来,依照安全策略、资源共享约定规则实施内联网内的特定主机和网络资源与外部特定的主机和网络资源相互共享,这在业务机构和具有相互协作关系的内联网之间具有广泛的应用价值。
如此组建的外联网也叫ExtranetVPN。
ExtranetVPN是解决外联网结构安全和连接安全、传输安全的要紧方法。
若外联网VPN的连接和传输中使用了加密技术,必须解决其中的密码分发、治理的一致性问题。
2.2VPN的设计目标
在实际应用中,一样来说一个高效、成功的VPN应具备以下几个特点:
(1)安全保证
尽管实现VPN的技术和方式专门多,但所有的VPN均应保证通过公用网络平台传输数据的专用性和安全性。
在非面向连接的公用IP网络上建立一个逻辑的、点对点的连接,称之为建立一个隧道,能够利用加密技术对通过隧道传输的数据进行加密,以保证数据仅被指定的发送者和接收者了解,从而保证了数据的私有性和安全性。
在安全性方面,由于VPN直截了当构建在公用网上,实现简单、方便、灵活,但同时其安全问题也更为突出。
企业必须确保其VPN上传送的数据不被攻击者窥视和篡改,同时要防止非法用户对网络资源或私有信息的访问。
ExtranetVPN将企业网扩展到合作伙伴和客户,对安全性提出了更高的要求。
(2)服务质量保证(QoS)
VPN网络应当为企业数据提供不同等级的服务质量保证。
不同的用户和业务对服务质量保证的要求差别较大。
如移动办公用户,提供广泛的连接和覆盖性是保证VPN服务的一个要紧因素;而关于拥有众多分支机构的专线VPN网络,交互式的内部企业网应用则要求网络能提供良好的稳固性;关于其它应用(如视频等)则对网络提出了更明确的要求,如网络时延及误码率等。
所有以上网络应用均要求网络依照需要提供不同等级的服务质量。
在网络优化方面,构建VPN的另一重要需求是充分有效地利用有限的广域网资源,为重要数据提供可靠的带宽。
广域网流量的不确定性使其带宽的利用率专门低,在流量高峰时引起网络堵塞,产生网络瓶颈,使实时性要求高的数据得不到及时发送;而在流量低谷时又造成大量的网络带宽闲暇。
QoS通过流量推测与流量操纵策略,能够按照优先级分配带宽资源,实现带宽治理,使得各类数据能够被合理地先后发送,并预防堵塞的发生。
(3)可扩充性和灵活性
VPN必须能够支持通过Intranet和Extranet的任何类型的数据流,方便增加新的节点,支持多种类型的传输媒介,能够满足同时传输语音、图像和数据等新应用对高质量传输以及带宽增加的需求。
(4)可治理性
从用户角度和运营商的角度应可方便地进行治理、爱护。
在VPN治理方面,VPN要求企业将其网络治理功能从局域网无缝地延伸到公用网,甚至是客户和合作伙伴。
尽管能够将一些次要的网络治理任务交给服务提供商去完成,企业自己仍需要完成许多网络治理任务。
因此,一个完善的VPN治理系统是必不可少的。
VPN治理的目标为:
减小网络风险、具有高扩展性、经济性、高可靠性等优点。
事实上,VPN治理要紧包括安全治理、设备治理、配置治理、访问操纵列表治理、QoS治理等内容。
3实现VPN的关键技术和要紧协议
3.1实现VPN的关键技术
(1)隧道技术
隧道技术(Tunneling)是VPN的底层支撑技术,所谓隧道,实际上是一种封装,确实是将一种协议(协议X)封装在另一种协议(协议Y)中传输,从而实现协议X对公用网络的透亮性。
那个地点协议X被称为被封装协议,协议Y被称为封装协议,封装时一样还要加上特定的隧道操纵信息,因此隧道协议的一样形式为((协议Y)隧道头(协议X))。
在公用网络(一样指因特网)上传输过程中,只有VPN端口或网关的IP地址暴露在外边。
隧道解决了专网与公网的兼容问题,其优点是能够隐藏发送者、同意者的IP地址以及其它协议信息。
VPN采纳隧道技术向用户提供了无缝的、安全的、端到端的连接服务,以确保信息资源的安全。
隧道是由隧道协议形成的。
隧道协议分为第二、第三层隧道协议,第二层隧道协议如L2TP、PPTP、L2F等,他们工作在OSI体系结构的第二层(即数据链路层);第三层隧道协议如IPSec,GRE等,工作在OSI体系结构的第三层(即网络层)。
第二层隧道和第三层隧道的本质区别在于:
用户的IP数据包被封装在不同的数据包中在隧道中传输。
第二层隧道协议是建立在点对点协议PPP的基础上,充分利用PPP协议支持多协议的特点,先把各种网络协议(如IP、IPX等)封装到PPP帧中,再把整个数据包装入隧道协议。
PPTP和L2TP协议要紧用于远程访问虚拟专用网。
第三层隧道协议是把各种网络协议直截了当装入隧道协议中,形成的数据包依靠网络层协议进行传输。
不管从可扩充性,依旧安全性、可靠性方面,第三层隧道协议均优于第二层隧道协议。
IPSec即IP安全协议是目前实现VPN功能的最佳选择。
(2)加解密认证技术
加解密技术是VPN的另一核心技术。
为了保证数据在传输过程中的安全性,不被非法的用户窃取或篡改,一样都在传输之前进行加密,在同意方再对其进行解密。
密码技术是保证数据安全传输的关键技术,以密钥为标准,可将密码系统分为单钥密码(又称为对称密码或私钥密码)和双钥密码(又称为非对称密码或公钥密码)。
单钥密码的特点是加密和解密都使用同一个密钥,因此,单钥密码体制的安全性确实是密钥的安全。
其优点是加解密速度快。
最有阻碍的单钥密码确实是美国国家标准局颁布的DES算法(56比特密钥)。
而3DES(112比特密钥)被认为是目前不可破译的。
双钥密码体制下,加密密钥与解密密钥不同,加密密钥公布,而解密密钥保密,相比单钥体制,其算法复杂且加密速度慢。
因此现在的VPN大都采纳单钥的DES和3DES作为加解密的要紧技术,而以公钥和单钥的混合加密体制(即加解密采纳单钥密码,而密钥传送采纳双钥密码)来进行网络上密钥交换和治理,不但能够提高了传输速度,还具有良好的保密功能。
认证技术能够防止来自第三方的主动攻击。
一样用户和设备双方在交换数据之前,先核对证书,假如准确无误,双方才开始交换数据。
用户身份认证最常用的技术是用户名和密码方式。
而设备认证则需要依靠由CA所颁发的电子证书。
目前要紧有的认证方式有:
简单口令如质询握手验证协议CHAP和密码身份验证协议PAP等;动态口令如动态令牌和X.509数字证书等。
简单口令认证方式的优点是实施简单、技术成熟、互操作性好,且支持动态地加载VPN设备,可扩展性强。
(3)密钥治理技术
密钥治理的要紧任务确实是保证在开放的网络环境中安全地传递密钥,而不被窃取。
目前密钥治理的协议包括ISAKMP、SKIP、MKMP等。
Internet密钥交换协议IKE是Internet安全关联和密钥治理协议ISAKMP语言来定义密钥的交换,综合了Oakley和SKEME的密钥交换方案,通过协商安全策略,形成各自的验证加密参数。
IKE交换的最终目的是提供一个通过验证的密钥以及建立在双方同意基础上的安全服务。
SKIP要紧是利用Diffie-Hellman的演算法则,在网络上传输密钥。
IKE协议是目前首选的密钥治理标准,较SKIP而言,其要紧优势在于定义更灵活,能适应不同的加密密钥。
IKE协议的缺点是它尽管提供了强大的主机级身份认证,但同时却只能支持有限的用户级身份认证,同时不支持非对称的用户认证。
(4)访问操纵技术
虚拟专用网的差不多功能确实是不同的用户对不同的主机或服务器的访问权限是不一样的。
由VPN服务的提供者与最终网络信息资源的提供者共同来协商确定特定用户对特定资源的访问权限,以此实现基于用户的细粒度访问操纵,以实现对信息资源的最大限度的爱护。
访问操纵策略能够细分为选择性访问操纵和强制性访问操纵。
选择性访问操纵是基于主体或主体所在组的身份,一样被内置于许多操作系统当中。
强制性访问操纵是基于被访问信息的敏锐性。
3.2VPN的要紧安全协议
在实施信息安全的过程中,为了给通过非信任网络的私有数据提供安全爱护,通讯的双方第一进行身份认证,这中间要通过大量的协商,在此基础上,发送方将数据加密后发出,同意端先对数据进行完整性检查,然后解密,使用。
这要求双方事先确定要使用的加密和完整性检查算法。
由此可见,整个过程必须在双方共同遵守的规范(协议)下进行。
VPN区别于一样网络互联的关键是隧道的建立,数据包通过加密后,按隧道协议进行封装、传送以保证安全性。
一样,在数据链路层实现数据封装的协议叫第二层隧道协议,常用的有PPTP,L2TP等;在网络层实现数据封装的协议叫第三层隧道协议,如IPSec。
另外,SOCKSv5协议则在TCP层实现数据安全。
3.2.1 PPTP/L2TP
1996年,Microsoft和Ascend等在PPP协议的基础上开发了PPTP,它集成于WindowsNTServer4.0中,WindowsNTWorkstation和Windows9.X也提供相应的客户端软件。
PPP支持多种网络协议,可把IP、IPX、AppleTalk或NetBEUI的数据包封装在PPP包中,再将整个报文封装在PPTP隧道协议包中,最后,再嵌入IP报文或帧中继或ATM中进行传输。
PPTP提供流量操纵,减少拥塞的可能性,幸免由于包丢弃而引发包重传的数量。
PPTP的加密方法采纳Microsoft点对点加密(MPPE:
MicrosoftPoint-to-Point)算法,能够选用较弱的40位密钥或强度较大的128位密钥。
1996年,Cisco提出L2F(Layer2Forwarding)隧道协议,它也支持多协议,但其要紧用于Cisco的路由器和拨号访问服务器。
1997年底,Microsoft和Cisco公司把PPTP协议和L2F协议的优点结合在一起,形成了L2TP协议。
L2TP支持多协议,利用公共网络封装PPP帧,能够实现和企业原有非IP网的兼容。
还继承了PPTP的流量操纵,支持MP(MultilinkProtocol),把多个物理通道捆绑为单一逻辑信道。
L2TP使用PPP可靠性发送(RFC1663)实现数据包的可靠发送。
L2TP隧道在两端的VPN服务器之间采纳口令握手协议CHAP来验证对方的身份.L2TP受到了许多大公司的支持.
PPTP/L2TP协议的优点:
PPTP/L2TP对用微软操作系统的用户来说专门方便,因为微软己把它作为路由软件的一部分。
PPTP/L2TP支持其它网络协议。
如NOWELL的IPX,NETBEUI和APPLETALK协议,还支持流量操纵。
它通过减少丢弃包来改善网络性能,如此可减少重传。
PPTP/L2TP协议的缺点:
PM和L2TP将不安全的IP包封装在安全的IP包内,它们用IP帧在两台运算机之间创建和打开数据通道,一旦通道打开,源和目的用户身份就不再需要,如此可能带来问题,它不对两个节点间的信息传输进行监视或操纵。
PPTP和L2TP限制同时最多只能连接255个用户,端点用户需要在连接前手工建立加密信道,认证和加密受到限制,没有强加密和认证支持。
PPTP/L2TP最适合于远程访问VPN.
3.2.2 IPSec协议
IPSec是IETF(InternetEngineerTaskForce)正在完善的安全标准,它把几种安全技术结合在一起形成一个较为完整的体系,受到了众多厂商的关注和支持。
通过对数据加密、认证、完整性检查来保证数据传输的可靠性、私有性和保密性。
IPSec由IP认证头AH(AuthenticationHeader)、IP安全载荷封载ESP(EncapsulatedSecurityPayload)和密钥治理协议组成。
IPSec协议是一个范畴广泛、开放的虚拟专用网安全协议。
IPSec适应向IPv6迁移,它提供所有在网络层上的数据爱护,提供透亮的安全通信。
IPSec用密码技术从三个方面来保证数据的安全。
即:
认证:
用于对主机和端点进行身份鉴别。
完整性检查:
用于保证数据在通过网络传输时没有被修改。
加密:
加密IP地址和数据以保证私有性。
IPSec协议能够设置成在两种模式下运行:
一种是隧道模式,一种是传输模式。
在隧道模式下,IPSec把IPv4数据包封装在安全的IP帧中,如此爱护从一个防火墙到另一个防火墙时的安全性。
在隧道模式下,信息封装是为了爱护端到端的安全性,即在这种模式下可不能隐藏路由信息。
隧道模式是最安全的,但会带来较大的系统开销。
IPSec现在还不完全成熟,但它得到了一些路由器厂商和硬件厂商的大力支持。
估量它今后将成为虚拟专用网的要紧标准。
IPSec有扩展能力以适应以后商业的需要。
在1997年底,IETF安全工作组完成了IPSec的扩展,在IPSec协议中加上ISAKMP(InternetSecurityAssociationandKayManagementProtocol)协议,其中还包括一个密钥分配协议Oakley。
ISAKMP/Oakley支持自动建立加密信道,密钥的自动安全分发和更新。
IPSec也可用于连接其它层己存在的通信协议,如支持安全电子交易(SET:
SecureElectronicTransaction)协议和SSL(SecureSocketlayer)协议。
即使不用SET或SSL,IPSec都能提供认证和加密手段以保证信息的传输。
4实例分析
VPN的具体实现方案有专门多,实际应用中应依照用户的需求、用户资源现状、承载网络资源现状、投资效益以及相关技术比较等多种因素综合考虑,选择一种主流的方案。
在本文中就以一个中小型企业为例模拟实际环境建立一个基于ISA的企业VPN网络以满足远程办公、分公司和合作伙伴远程访问的要求。
那个实验在理论的指导下实现了一种VPN的实际应用,为中小企业设计VPN网络提供参考和借鉴。
4.1需求分析
随着公司的进展壮大,厦门某公司在上海开办了分公司来进一步进展业务,公司期望总部和分公司、总部与合作伙伴能够随时的进行安全的信息沟通,而外出办公人员能够访问到企业内部关键数据,随时随地共享商业信息,提高工作效率。
一些大型跨国公司解决那个问题的方法,确实是在各个公司之间租用运营商的专用线路。
那个方法尽管能解决问题,然而费用昂贵,关于中小企业来说是无法负担的,而VPN技术能解决那个问题。
依照该公司用户的需求,遵循着方便有用、高效低成本、安全可靠、网络架构弹性大等相关原则决定采纳ISAServerVPN安全方案,以ISA作为网络访问的安全操纵。
ISAServer集成了WindowsserverVPN服务,提供一个完善的防火墙和VPN解决方案。
以ISAVPN作为连接Internet的安全网关,并使用双网卡,隔开内外网,增加网络安全性。
ISA具备了基于策略的安全性,同时能够加速和治理对Internet的访问。
防火墙能对数据包层、链路层和应用层进行数据过滤、对穿过防火墙的数据进行状态检查、对访问策略进行操纵并对网络通信进行路由。
关于各种规模的企业来说,ISAServer都能够增强网络安全性、贯彻一致的Internet使用策略、加速Internet访问并实现职职员作效率最大化。
在ISA中能够使用以下三种协议来建立VPN连接:
●∙IPSEC隧道模式;
●∙L2TPoverIPSec模式;
●∙PPTP;
下表比较了这三种协议:
表4-1ISA中三种协议对比表
协议
何时使用
安全等级
备注
IPSec隧道模式
连接到第三方的VPN服务器
高
这是唯独一种能够连接到非微软VPN服务器的方式
L2TPoverIPSec
连接到ISAServer2000、ISAServer2004或者WindowsVPN服务器
高
使用RRAS。
比IPSec隧道模式更容易明白得,然而要求远程VPN服务器是ISAServer或者WindowsVPN服务器。
PPTP
连接到ISAServer2000、ISAServer2004或者WindowsVPN服务器
中等
使用RRAS,和L2TP具有同样的限制,然而更容易配置。
因为使用IPSec加密,L2TP更认为更安全。
三个站点都采纳ISAVPN作为安全网关,且L2TPoverIPSec结合了L2TP和IPSec的优点,因此在那个地点采纳L2TPoverI
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- VPN 虚拟 专用网 毕业论文