VPN概述

虛擬專用網(wǎng)(VPN--Virtual Private Network)被定義為通過(guò)一個(gè)公用網(wǎng)絡(luò)(通常是因特網(wǎng))建立一個(gè)臨時(shí)的、安全的連接，是一條穿過(guò)混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道。虛擬專用網(wǎng)是對(duì)企業(yè)內(nèi)部網(wǎng)的擴(kuò)展。VPN發(fā)展至今已經(jīng)不在是一個(gè)單純的經(jīng)過(guò)加密的訪問(wèn)隧道了，它已經(jīng)融合了訪問(wèn)控制、傳輸管理、加密、路由選擇、可用性管理等多種功能，并 在全球的信息安全體系中發(fā)揮著重要的作用。也在網(wǎng)絡(luò)上，有關(guān)各種VPN協(xié)議優(yōu)缺點(diǎn)的比較是仁者見(jiàn)仁，智者見(jiàn)智，很多技術(shù)人員由于出于使用目的考慮，包括訪 問(wèn)控制、安全和用戶簡(jiǎn)單易用，靈活擴(kuò)展等各方面，權(quán)衡利弊，難以取舍；尤其在實(shí)際的企業(yè)網(wǎng)絡(luò)環(huán)境中，網(wǎng)絡(luò)安全顯得尤為重要，因此現(xiàn)在越來(lái)越多的網(wǎng)關(guān)支持 VPN協(xié)議。

PPTP

點(diǎn)對(duì)點(diǎn)隧道協(xié)議 (PPTP) 是由包括微軟和3Com等公司組成的PPTP論壇開(kāi)發(fā)的一種點(diǎn)對(duì)點(diǎn)隧道協(xié)，基于撥號(hào)使用的PPP協(xié)議使用PAP或CHAP之類的加密算法，或者使用 Microsoft的點(diǎn)對(duì)點(diǎn)加密算法MPPE。其通過(guò)跨越基于 TCP/IP 的數(shù)據(jù)網(wǎng)絡(luò)創(chuàng)建 VPN 實(shí)現(xiàn)了從遠(yuǎn)程客戶端到專用企業(yè)服務(wù)器之間數(shù)據(jù)的安全傳輸。PPTP 支持通過(guò)公共網(wǎng)絡(luò)（例如 Internet）建立按需的、多協(xié)議的、虛擬專用網(wǎng)絡(luò)。PPTP 允許加密 IP 通訊，然后在要跨越公司 IP 網(wǎng)絡(luò)或公共 IP 網(wǎng)絡(luò)（如 Internet）發(fā)送的 IP 頭中對(duì)其進(jìn)行封裝。

L2TP

第2 層隧道協(xié)議 (L2TP) 是IETF基于L2F （Cisco的第二層轉(zhuǎn)發(fā)協(xié)議）開(kāi)發(fā)的PPTP的后續(xù)版本。是一種工業(yè)標(biāo)準(zhǔn) Internet 隧道協(xié)議，其可以為跨越面向數(shù)據(jù)包的媒體發(fā)送點(diǎn)到點(diǎn)協(xié)議 (PPP) 框架提供封裝。PPTP和L2TP都使用PPP協(xié)議對(duì)數(shù)據(jù)進(jìn)行封裝，然后添加附加包頭用于數(shù)據(jù)在互聯(lián)網(wǎng)絡(luò)上的傳輸。PPTP只能在兩端點(diǎn)間建立單一隧道。 L2TP支持在兩端點(diǎn)間使用多隧道。使用L2TP，用戶可以針對(duì)不同的服務(wù)質(zhì)量創(chuàng)建不同的隧道。

IPSec 隧道模式

隧道是封裝、路由與解封裝的整個(gè)過(guò)程。隧道將原始數(shù)據(jù)包隱藏（或封裝）在新的數(shù)據(jù)包內(nèi)部。該新的數(shù)據(jù)包可能會(huì)有新的尋址與路由信息，從而使其能夠通 過(guò)網(wǎng)絡(luò)傳輸。隧道與數(shù)據(jù)保密性結(jié)合使用時(shí)，在網(wǎng)絡(luò)上竊聽(tīng)通訊的人將無(wú)法獲取原始數(shù)據(jù)包數(shù)據(jù)（以及原始的源和目標(biāo)）。封裝的數(shù)據(jù)包到達(dá)目的地后，會(huì)刪除封 裝，原始數(shù)據(jù)包頭用于將數(shù)據(jù)包路由到最終目的地。

隧道本身是封裝數(shù)據(jù)經(jīng)過(guò)的邏輯數(shù)據(jù)路徑。對(duì)原始的源和目的端，隧道是不可見(jiàn)的，而只能看到網(wǎng)絡(luò)路徑中的點(diǎn)對(duì)點(diǎn)連接。連接雙方并不關(guān)心隧道起點(diǎn)和終點(diǎn)之間的任何路由器、交換機(jī)、代理服務(wù)器或其他安全網(wǎng)關(guān)。將隧道和數(shù)據(jù)保密性結(jié)合使用時(shí)，可用于提供 VPN。

封裝的數(shù)據(jù)包在網(wǎng)絡(luò)中的隧道內(nèi)部傳輸。在此示例中，該網(wǎng)絡(luò)是 Internet。網(wǎng)關(guān)可以是外部 Internet 與專用網(wǎng)絡(luò)間的周界網(wǎng)關(guān)。周界網(wǎng)關(guān)可以是路由器、防火墻、代理服務(wù)器或其他安全網(wǎng)關(guān)。另外，在專用網(wǎng)絡(luò)內(nèi)部可使用兩個(gè)網(wǎng)關(guān)來(lái)保護(hù)網(wǎng)絡(luò)中不信任的通訊。

當(dāng)以隧道模式使用 IPSec 時(shí)，其只為 IP 通訊提供封裝。使用 IPSec 隧道模式主要是為了與其他不支持 IPSec 上的 L2TP 或 PPTP VPN 隧道技術(shù)的路由器、網(wǎng)關(guān)或終端系統(tǒng)相互操作。

SSL VPN

SSL VPN, SSL協(xié)議提供了數(shù)據(jù)私密性、端點(diǎn)驗(yàn)證、信息完整性等特性。SSL協(xié)議由 許多子協(xié)議組成，其中兩個(gè)主要的子協(xié)議是握手協(xié)議和記錄協(xié)議。握手協(xié)議允許服務(wù)器和客戶端"在應(yīng)用協(xié)議傳輸?shù)谝粋€(gè)數(shù)據(jù)字節(jié)以前，彼此確認(rèn)，協(xié)商一種加密算 法和密碼鑰匙"。在數(shù)據(jù)傳輸期間，記錄協(xié)議利用握手協(xié)議生成的密鑰加密和解密后來(lái)交換的數(shù)據(jù)。

SSL獨(dú)立于應(yīng)用，因此任何一個(gè)應(yīng)用程序都可以享受它的安全性而不必理會(huì)執(zhí)行細(xì)節(jié)。SSL置身于網(wǎng)絡(luò)結(jié)構(gòu)體系的 傳輸層和應(yīng)用層之間。此外，SSL本身就被幾乎所有的Web瀏覽器支持。這意味著客戶端不需要為了支持SSL連接安裝額外的軟件。這兩個(gè)特征就是SSL能 應(yīng)用于VPN的關(guān)鍵點(diǎn)。