tunnel VPN

vpn(virtual private network,虛擬私人網路)
籍由通道協定在不安全的網路中建立起安全可靠的連線

VPN依解決問題可以分成三大項目
遠端存取VPN:
連結
Mobile User(移動用戶
)及小型的分公司,透過電話撥接上網來存取企業網路資源
 原本使用RAS遠端存取服務

   讓多使用者各自從遠端連線的工業標準,有多少客戶端就拉幾條專線過去,如ISDN
   不需軟體配合
   管理與維護複雜
   擴充不易,安全較差
 使用VPN,或叫VPDN(virtual private dialup network,虛擬私密撥接網路)
   伺服端需有專線到ISP,而客戶端會向ISP連線
   需軟體配合,可使用l2f,l2tp在ip上實作,並運用ppp訊框
   管理與維護容易,只需處理伺服端到ISP的連線,其他工作交由ISP去負責
   擴充容易,成本較低
Intranet VPN:
是利用Internet來將固定地點的總公司及分公司加以連結,成為一個企業總體網路
 
 原本
使用WAN:穩定安全
   使用傳統技術或用WAN技術來實做如x.25,frame relay,atm等租用專線來連接站台,
   不需軟體配合,只要連線兩端使用相同通訊協定即可
   管理與維護較不複雜,主要是典型網管基本技巧,但隨著規模擴大會逐漸困難
 
  較穩定也較安全,除非有人偷接電纜
   擴充較麻煩,需處理各端實體線路,花費也較昂貴

 使用VPN:擴充易成本低
   VPN也可使用isdn,frame relay等,但線路須連到isp
   需與軟體相配合以確保安全的連線,如ssh,l2f,l2tp,pptp
   管理與維護較複雜,須了解vpn運作原理,但若選對好的isp則可省事許多
   穩定性逐漸提高,因架構在不斷改良的不可靠技術internet上
   擴充容易,可直接向isp要求增加頻寬,或設備
 也叫site-to-site vpn
Extranet VPN:
則是將Intranet VPN的連結再擴展到企業的經營夥伴,如供應商及客戶,以達到協力廠商彼此資訊共享的目的。
   也叫LAN-to-LAN VPN,服務品質較不嚴格,適合透過網際網路

依服務供應商和用戶在那個osi層交換拓樸資訊分
 overlay model(覆疊模式):服務供應商只提供vc(邏輯的專線),路徑資訊直接在邊境用戶路由器間交換
   第二層vpn:x.25,frame relay,atm,pptp,MPLS VPN
   第三層vpn:ipsec,gre,MPLS VPN
 peer model(對等模式):會交換第三層的路徑資訊,且用戶路徑資訊是在用戶路由器與服務供應商路由器間交換

vpn也可被分為以下三種
trusted vpn:通道實質上是一條邏輯的電路 

ex:ATM or frame relay circuits , MPLS
secure vpn:通道使用加密技術  
ex:ipsec ssl tls with encryption,ipsec inside of l2tp
hybrid vpn:在trusted vpn上建立secure vpn 

vpn的核心技術包括
Tunneling(穿隧技術):在公眾網路上建立一條秘密通道
 將私有數據網路的資料在公眾數據網路上傳輸的一種資料Encapsulation(包裝方式)
 穿隧技術協定主要有:IPsec、PPTP 及 L2TP 等三種
encryption/decryption(加解密技術) ex:des,3des,rsa
key management(金鑰管理) ex:ike
user authentication(認證) ex:radius,tacas
ps:其他有資料完整性,firewall,IDS,...等

第一個VPN以X.25和frame relay的技術為基礎,然後又發展出smds和atm
VPN建立後,任何該VPN用戶在兩個端點間只會看到一個跳躍
使用虛擬的連線,這是一種暫時性的連線

優點:相較於傳統的專線式網路連結成本較低,網路架構彈性較大

..................

不同廠商的vpn產品可能會有互通性不相容的問題
vpn與設備相容性:
 +firewall:需將vpn用的port打開
 +proxy:有些無法一起運作,最好讓vpn伺服器以多寄主multi-home的方式架構在internet與lan間,各走各的路
 +nat:建議使用double-router
(雙路由器
)的建構方式,並讓vpn伺服器以multi-home架構,或設在vpn伺服器後

VPN產品
硬體式的VPN系統
常見的硬體式的VPN設備便是VPN Router(VPN加密的路由器)。因為這些設備將加解密的鑰匙儲存於記憶體中,故較不易被損壞,同時加解密的速度亦較快;尤其是專線頻寬較高之企業,硬體式的設備應是較佳的選擇。此外,若再搭配VPN Client Software(個人用戶使用的VPN軟體),則其功能亦與軟體式的VPN產品相近。
ex:cisco router,cisco vpn client
軟體式的VPN
軟體式的VPN產品乃是架設於伺服器及作業平台之上,可以提供較為彈性的功能,例如依據目的地位址或通訊協定來建立VPN通道。相對的,硬體式的VPN系統則多數依據位址目的地來建立VPN通道,將傳輸的所有通訊協定均加密。
然而,軟體式的VPN產品通常較難以管理;需要對作業系統、VPN軟體及相關之網路安全機制均有相當程度的了解,才能真正管理好VPN系統。同時,有些 VPN軟體亦需要對Routing Table(路由路徑表)及Network Address Scheme(網路IP位址規劃)加以修改。
與防火牆相結合的VPN系統
與防火牆相結合的VPN系統自然承襲了防火牆安全功能的優點,使進出的交通均能受到較佳的限制及保護,以及強化的認證功能。一般而言,相當多的VPN廠商並沒有提供對於其作業系統的安全保護。若是採用硬體式且具有VPN功能的防火牆設備,則本身便已對其運作的Harden O.S(作業系統做了補強作用),事先將所有不必要及有危險的Service(服務)均加以去除,以確保此VPN設備不會被駭客所入侵,而導致整體VPN 系統功能無法運作。
同時擁有VPN及防火牆功能的設備,對於網路的安全建構有相當大的好處,只需一台機器便可擁有兩項不可或缺的功能,建置成本明顯降低,且管理的負擔亦較輕。
ex:整合pix firewall,vpn concentrator的cisco asa(adaptive security appliance)

....................

vpn常見問題
連線問題
  電訊線路固障如轉接器負荷過重,isp的問題如線路過忙,用戶本身問題如設定組態問題,設備和isp不相容
驗證問題
  帳號密碼不符,雙方用不同的驗證方式,如一邊pap另一邊chap
傳輸問題
  無法透過internet與某特定主機連線,或無法存取internet,可能因選徑問題,可能是自己組態未設好或isp的路由器沒設定好

vpn保全措施
 限制那些人可以存取vpn,client端不能用multi-home方式連線,也就是split-tunnel(分叉通道)
 限制vpn使用者所能做的事,需控制存取權,持續保持開放容易成為收攻擊的點
 避免vpn伺服器與路由器的資訊公開到公眾dns

....................................

GRE(Generic Routing Encapsulation,通用路由封裝)
Cisco開發的tunneling協定
一種基於IP的隧道技術,可被用來在基於IP的骨幹網上傳輸多種協議的數據流量,如IPX、AppleTalk等。
優點為支援IGP,支援多協定(大部份VPN不支援IGP與多協定)  
並不屬於安全性的通道,但可以和其他加密技術合用,像是ipsec+gre
PPTP主要使用gre技術建立VPN
使用tcp1723,ip47

SSL VPN
運用瀏覽器與VPN閘道器建立SSL連線,使資料既可以保密,同時企業內部網路也可經由此通道存取。
最重要的是,由於它是透過使用每部電腦都有的瀏覽器,因此使用者可以在任何地方任何電腦存取企業內部資源。
缺點:
它不像IPSec VPN在網路層上加密運作,而是在應用層上運作,首先效能就無法跟上IPSec VPN(目前尚無SSL VPN的硬體式加速設備)。
由於SSL VPN根基於瀏覽器,因此一些非Web-based的應用程式便必須經過測試與設定才能存取。
使用者可以存取的應用程式必須是網路管理者事先定義好的(網管者無可避免的負擔!),無法像IPSec VPN一樣只要連接上網所有IP-based的應用程式都可使用、存取。
前市面上的SSL VPN產品多能存取Outlook、Notes、Exchange、Citrix、Microsoft Terminal Service

 

2007-10-24 22:46:59發表 2013-01-29 21:43:39修改   

數據分析
程式開發
計算機組織與結構
資料結構與演算法
Database and MySql
manage tool
windows
unix-like
linux service
network
network layer3
network layer2
network WAN
network service
作業系統
數位鑑識
資訊安全解決方案

資訊安全威脅
Cisco security
Cisco network
Cisco layer3
Cisco layer2



  登入      [牛的大腦] | [單字我朋友] Powered by systw.net