??xml version="1.0" encoding="utf-8" standalone="yes"?>中文字幕无码免费久久,中文字幕成人精品久久不卡 ,蜜桃麻豆WWW久久囤产精品http://www.shnenglu.com/mydriverc/articles/30036.html旅?/dc:creator>旅?/author>Tue, 14 Aug 2007 16:29:00 GMThttp://www.shnenglu.com/mydriverc/articles/30036.htmlhttp://www.shnenglu.com/mydriverc/comments/30036.htmlhttp://www.shnenglu.com/mydriverc/articles/30036.html#Feedback0http://www.shnenglu.com/mydriverc/comments/commentRss/30036.htmlhttp://www.shnenglu.com/mydriverc/services/trackbacks/30036.htmlW一?什么是VPN

  
  ? 在有很多q接都被UCVPNQ用L常分不清楚,那么一般所说的VPN到底是什么呢Q顾名思义Q虚拟专用网不是真的专用|络Q但却能够实C用网l的? 能。虚拟专用网指的是依靠ISPQInternet服务提供商)和其它NSPQ网l服务提供商Q,在公用网l中建立专用的数据通信|络的技术。在虚拟专用 |中QQ意两个节点之间的q接q没有传l专|所需的端到端的物理链路,而是利用某种公众|的资源动态组成的。IETF草案理解ZIP的VPN为:"使用 IP机制仿真Z个私有的q域|?是通过U有的隧道技术在公共数据|络上仿真一条点到点的专U技术。所谓虚拟,是指用户不再需要拥有实际的镉K数据线路, 而是使用Internet公众数据|络的长途数据线路。所谓专用网l,是指用户可以己制定一个最W合自己需求的|络?/span>

   用户现在在电信部门租用的帧中l(Frame RelayQ与ATM{数据网l提供固定虚拟线路(PVC-Permanent Virtual CircuitQ来q接需要通讯的单位,所有的权限掌握在别人的手中。如果用户需要一些别的服务,需要填写许多的单据Q再{上相当一D|_才能享受到新 的服务。更为重要的是两端的l端讑֤不但h昂贵Q而且理也需要一定的专业技术h员,无疑增加了成本,而且帧中l、ATM数据|络也不会像 Internet那样Q可立即与世界上M一个用Internet|络的单位连接。而在Internet上,VPN使用者可以控制自׃其他使用者的? p,同时支持拨号的用戗?

  所以我们说?b>虚拟专用|一般指的是建筑在Internet上能够自我管理的专用|络Q而不是Frame Relay或ATM{提供虚拟固定线路(PVCQ服务的|络。以IPZ要通讯协议的VPNQ也可称之ؓIP-VPN?/b>

  ׃VPN是在Internet上时徏立的安全专用虚拟|络Q用户就节省了租用专U的费用Q在q行的资金支ZQ除了购买VPN讑֤Q企业所付出的仅仅是向企业所在地的ISP支付一定的上网费用Q也节省了长途电话费。这是VPNh低廉的原因?/b>

   来多的用戯识到Q随着Internet和电子商务的蓬勃发展Q经全球化的最佳途径是发展基于Internet的商务应用。随着商务zd的日益频 J,各企业开始允许其生意伙伴、供应商也能够访问本企业的局域网Q从而大大简化信息交的途径Q增加信息交换速度。这些合作和联系是动态的Qƈ依靠|络? l持和加强,于是各企业发玎ͼq样的信息交不但带来了|络的复杂性,q带来了理和安全性的问题Q因为Internet是一个全球性和开放性的、基? TCP/IP 技术的、不可管理的国际互联|络Q因此,ZInternet的商务活动就面非善意的信息威胁和安全隐患?

  q有一cȝP随着自n的的发展壮大与跨国化Q企业的分支机构不仅来多Q而且怺间的|络基础设施互不兼容也更为普遍。因此,用户的信息技术部门在q接分支机构斚w也感到日益棘手?

  用户的需求正是虚拟专用网技术诞生的直接原因?/p>

 1Q安全保?

? 然实现VPN的技术和方式很多Q但所有的VPN均应保证通过公用|络q_传输数据的专用性和安全性?b>在非面向q接的公用IP|络上徏立一个逻辑的、点对点 的连接,UC为徏立一个隧道,可以利用加密技术对l过隧道传输的数据进行加密,以保证数据仅被指定的发送者和接收者了解,从而保证了数据的私有性和安全 性?/b>在安全性方面,׃VPN直接构徏在公用网上,实现单、方ѝ灵z,但同时其安全问题也更为突出。企业必ȝ保其VPN上传送的数据不被d者窥? 和篡改,q且要防止非法用户对|络资源或私有信息的讉K。ExtranetVPN企业网扩展到合作伙伴和客户Q对安全性提Z更高的要求?

2Q服务质量保证(QoSQ?

   VPN|应当ؓ企业数据提供不同{的服务质量保证。不同的用户和业务对服务质量保证的要求差别较大。如Ud办公用户Q提供广泛的q接和覆盖性是保证 VPN服务的一个主要因素;而对于拥有众多分支机构的专线VPN|络Q交互式的内部企业网应用则要求网l能提供良好的稳定性;对于其它应用Q如视频{)? 对网l提Z更明的要求Q如|络时g及误码率{。所有以上网l应用均要求|络Ҏ需要提供不同等U的服务质量。在|络优化斚wQ构建VPN的另一重要需 求是充分有效地利用有限的q域|资源,为重要数据提供可靠的带宽。广域网量的不定性其带宽的利用率很低,在流量高峰时引v|络dQ生网l瓶颈, 使实时性要求高的数据得不到及时发送;而在量低谷时又造成大量的网l带宽空闌Ӏ?b>QoS通过量预测与流量控制策略,可以按照优先U分配带宽资源,实现? 宽管理,使得各类数据能够被合理地先后发送,q防阻塞的发生?/b>

3Q可扩充性和灉|?

  VPN必须能够支持通过Intranet和Extranet的Q何类型的数据,方便增加新的节点Q支持多U类型的传输媒介Q可以满_时传输语韟뀁图像和数据{新应用寚w质量传输以及带宽增加的需求?

4Q可理?

   从用戯度和q营商角度应可方便地q行理、维护。在VPN理斚wQVPN要求企业其|络理功能从局域网无缝地g伸到公用|,甚至是客户和合作? 伴。虽然可以将一些次要的|络理d交给服务提供商去完成Q企业自׃需要完成许多网l管理Q务。所以,一个完善的VPN理pȝ是必不可的。VPN 理的目标ؓQ减网l风险、具有高扩展性、经性、高可靠性等优点。事实上QVPN理主要包括安全理、设备管理、配|管理、访问控制列表管理? QoS理{内宏V?/p>


W三?VPN安全技?/p>


  ׃传输的是U有信息QVPN用户Ҏ据的安全性都比较兛_?

  目前VPN主要采用四项技术来保证安全Q这四项技术分别是隧道技术(TunnelingQ、加解密技术(Encryption & DecryptionQ、密钥管理技术(Key ManagementQ、用者与讑֤w䆾认证技术(AuthenticationQ?

1.隧道技术:
  隧道技术是VPN的基本技术类g点对点连接技术,它在公用|徏立一条数据通道Q隧道)Q让数据包通过q条隧道传输。隧道是由隧道协议Ş成的Q分为第 二、三层隧道协议。第二层隧道协议是先把各U网l协议封装到PPP中,再把整个数据包装入隧道协议中。这U双层封装方法Ş成的数据包靠W二层协议进行传 输。第二层隧道协议有L2F、PPTP、L2TP{。L2TP协议是目前IETF的标准,由IETF融合PPTP与L2F而Ş成?

  W三层隧道协议是把各U网l协议直接装入隧道协议中QŞ成的数据包依靠第三层协议q行传输。第三层隧道协议有VTP、IPSec{。IPSecQIP SecurityQ是׃lRFC文档l成Q定义了一个系l来提供安全协议选择、安全算法,定服务所使用密钥{服务,从而在IP层提供安全保障?

2.加解密技术:
  加解密技术是数据通信中一较成熟的技术,VPN可直接利用现有技术?

3.密钥理技术:
  密钥理技术的主要d是如何在公用数据|上安全C递密钥而不被窃取。现行密钥管理技术又分ؓSKIP与ISAKMP/OAKLEY两种。SKIP 主要是利用Diffie-Hellman的演法则,在网l上传输密钥Q在ISAKMP中,双方都有两把密钥Q分别用于公用、私用?

4.使用者与讑֤w䆾认证技术:
  使用者与讑֤w䆾认证技术最常用的是使用者名UC密码或卡片式认证{方式?/p>

W四?堵住安全漏洞


  安全问题是VPN的核心问题。目前,VPN的安全保证主要是通过防火墙技术、\由器配以隧道技术、加密协议和安全密钥来实现的Q可以保证企业员工安全地讉K公司|络
?

   但是Q如果一个企业的VPN需要扩展到q程讉KӞp注意Q这些对公司|直接或始终在线的连接将会是黑客d的主要目标。因为,q程工作员工通过防火 墙之外的个h计算机可以接触到公司预算、战略计划以及工E项目等核心内容Q这构成了公司安全防Mpȝ中的q。虽Ӟ员工可以双倍地提高工作效率Qƈ? 在交通上所p的时_但同时也为黑客、竞争对手以及商业间谍提供了无数q入公司|络核心的机会?

  但是Q企? q没有对q距d作的安全性予以够的重视。大多数公司认ؓQ公司网l处于一道网l防火墙之后是安全的Q员工可以拨可入系l,而防火墙会将一切非法请? 拒之其外Q还有一些网l管理员认ؓQؓ|络建立防火墙ƈ为员工提供VPNQ他们可以通过一个加密的隧道拨号q入公司|络是安全的。这些看法都是不? 的?

  在家办公? 不错Q但从安全的观点来看Q它是一U极大的威胁Q因为,公司使用的大多数安全软gq没有ؓ家用计算机提供保护。一些员工所做的仅仅是进入一台家用计机Q? 跟随它通过一条授权的q接q入公司|络pȝ。虽Ӟ公司的防火墙可以R入者隔d外,q保证主要办公室和家庭办公室之间VPN的信息安全。但问题在于Q? 侵入者可以通过一个被信Q的用戯入网l。因此,加密的隧道是安全的,q接也是正确的,但这q不意味着家庭计算机是安全的?

  黑客Z? 入员工的家用计算机,需要探IP地址。有l计表明Q用拨可接的IP地址几乎每天都受到黑客的扫描。因此,如果在家办公人员h一条诸如DSL的不? 断连接链路(通常q种q接h一个固定的IP地址Q,会黑客的入侉|为容易。因为,拨号q接在每ơ接入时都被分配不同的IP地址Q虽然它也能被R入,? 相对要困难一些。一旦黑客R入了家庭计算机,他便能够q程q行员工的VPN客户端Y件。因此,必须有相应的解决Ҏ堵住q程讉KVPN的安全漏z,使员? 与网l的q接既能充分体现VPN的优点,又不会成为安全的威胁。在个h计算Z安装个h防火墙是极ؓ有效的解x法,它可以非法侵入者不能进入公司网 l。当Ӟq有一些提供给q程工作人员的实际解x法:

* 所有远E工作h员必被批准使用VPNQ?

* 所有远E工作h员需要有个h防火墙,它不仅防止计机被R入,q能记录q接被扫描了多少ơ;

* 所有的q程工作人员应具有入侉|系l,提供寚w客攻M息的记录Q?

* 监控安装在远端系l中的YӞq将光制只能在工作中用;

* IT人员需要对q些pȝq行与办公室pȝ同样的定期性预定检查;

* 外出工作人员应对敏感文gq行加密Q?

* 安装要求输入密码的访问控制程序,如果输入密码错误Q则通过Modem向系l管理员发出警报Q?

* 当选择DSL供应商时Q应选择能够提供安全防护功能的供应商?/span>

W五?VPN解决Ҏ

   VPN有三U解x案,用户可以Ҏ自己的情况进行选择。这三种解决Ҏ分别是:q程讉K虚拟|(AccessVPNQ、企业内部虚拟网 QIntranetVPNQ和企业扩展虚拟|(ExtranetVPNQ,q三U类型的VPN分别与传l的q程讉K|络、企业内部的Intranet以及 企业|和相关合作伙伴的企业网所构成的Extranet相对应?br />
Q?QAccessVPN
  如果企业的内部h员移动或有远E办公需要,或者商家要提供B2C的安全访问服务,可以考虑使用AccessVPN?

   AccessVPN通过一个拥有与专用|络相同{略的共享基设施Q提供对企业内部|或外部|的q程讉K。AccessVPN能用户随时、随C其所 需的方式访问企业资源。AccessVPN包括模拟、拨受ISDN、数字用L?xDSL)、移动IP和电~技术,能够安全地连接移动用戗远E工? 者或分支机构。如?所C?/p>

 

? AceessVPNl构?/p>

  AccessVPN最适用于公司内部经常有动人员q程办公的情c出差员工利用当地ISP提供的VPN服务Q就可以和公司的VPN|关建立U有的隧道连接。RADIUS服务器可对员工进行验证和授权Q保证连接的安全Q同时负担的电话费用大大降低?

  AccessVPN对用L吸引力在于:

* 减少用于相关的调制解调器和终端服务设备的资金及费用,化网l;

* 实现本地拨号接入的功能来取代q距L入或800电话接入Q这栯显著降低q距通信的费用;

* 极大的可扩展性,便地对加入网l的新用戯行调度;

* q端验证拨入用户服务QRADIUSQ基于标准,Z{略功能的安全服务;

* 工作重心从理和保留运作拨Ll的工作人员转到公司的核心业务上来?

(2)IntranetVPN

  如果要进行企业内部各分支机构的互联,使用IntranetVPN是很好的方式?/p>

   来多的企业需要在全国乃至世界范围内徏立各U办事机构、分公司、研I所{,各个分公怹间传l的|络q接方式一般是U用专线。显Ӟ在分公司增多? 业务开展越来越q泛Ӟ|络l构于复杂Q费用昂c利用VPNҎ可以在Internet上组Z界范围内的IntranetVPN。利? Internet的线路保证网l的互联性,而利用隧道、加密等VPNҎ可以保证信息在整个IntranetVPN上安全传输。IntranetVPN? q一个用专用连接的׃n基础设施Q连接企业总部、远E办事处和分支机构。企业拥有与专用|络的相同政{,包括安全、服务质?QoS)、可理性和可靠 性。如?所C?

? IntranetVPNl构图                              

  IntranetVPN对用L吸引力在于:

* 减少WAN带宽的费用;

* 能用灵zȝ拓扑l构Q包括全|络q接Q?

* 新的站点能更快、更Ҏ地被q接Q?

* 通过讑֤供应商WAN的连接冗余,可以廉|络的可用时间?

(3)ExtranetVPN

  如果是提供B2B之间的安全访问服务,则可以考虑ExtranetVPN?

   随着信息时代的到来,各个企业来重视各U信息的处理。希望可以提供给客户最快捷方便的信息服务,通过各种方式了解客户的需要,同时各个企业之间的合 作关pM来多Q信息交换日益频J。InternetL一U发展趋势提供了良好的基Q而如何利用Internetq行有效的信息管理,是企业发 展中不可避免的一个关键问题。利用VPN技术可以组建安全的ExtranetQ既可以向客戗合作伙伴提供有效的信息服务Q又可以保证自n的内部网l的? 全?

  ExtranetVPN通过一个用专用连接的׃n基础设施Q将客户、供应商、合作伙伴或兴趣体q接C业内部网。企业拥有与专用|络的相同政{,包括安全、服务质?QoS)、可理性和可靠性。如?所C?

? ExtranetVPNl构?/p>

  ExtranetVPN对用L吸引力在于:能容易地对外部网q行部v和管理,外部|的q接可以使用与部|内部网和远端访问VPN相同的架构和协议q行部v。主要的不同是接入许可,外部|的用户被许可只有一ơ机会连接到其合作h的网l?

W六?VPN益处

 

  Internet服务提供商(ISPQ和企业是VPN的直接受益者。ISPVPN作ؓ一增g务推向企业,q从企业得到回报。因此,VPN的最l目的是服务于企业,Z业带来可观的l济效益QؓC化企业的信息׃n提供安全可靠的途径?br />
1QISP受益

   对于ISP来说QVPN提供了巨大商机。世U互联的薛滔先生介绍_世纪互联使用的是Z|通的全国|络Q有很好的硬件条件。面对IDC?001q更 加激烈的竞争状况Q世U互联希望在IDC基础之上扑ֈ新的增长炏V因为网站羃_所以世U互联将目光转向大中型传l企业,分析他们对电信资源有哪些需求, l果觉得VPN是一个机会。世U互联现在正在探索,VPN的方案和技术已l准备就l。世U互联的目标用户是全国有分支机构Q信息化已经辑ֈ一定水q的 单位Q世U互联将整合现有资源Q包括网l、托和技术力量来为用h供服务。通过向企业提供VPN增值服务,ISP可以与企业徏立更加紧密的长期合作? p,同时充分利用现有|络资源Q提高业务量。事实上QVPN用户的数据流量较普通用戯大得多,而且旉上也是相互错开的。VPN用户通常是上班时间Ş? 量的高峎ͼ而普通用L量高峰期则在工作时间之外。ISP对外提供两种服务Q资源利用率和业务量都会大大增加。同ӞVPN使ISP能够l济地维持开 发客L、增加利润、提供增强服务,如视频会议、电子商务、IP电话、远E教学、多媒体商务应用{等?

2Q用户受?

  哪些用户适于使用VPN呢?在满_本应用要求后Q有三类用户比较适合采用VPNQ?

1)位置众多Q特别是单个用户和远E办公室站点多,例如企业用户、远E教育用P

2)用户/站点分布范围q,彼此之间的距远Q遍布全球各圎ͼ需通过镉K电信,甚至国际镉K手D联pȝ用户Q?

3)带宽和时延要求相寚w中Q?

4)对线路保密性和可用性有一定要求的用户?

  相对而言Q有四种情况可能q不适于采用VPNQ?

1)非常重视传输数据的安全性;

2)不管h多少Q性能都被攑֜W一位的情况Q?

3)采用不常见的协议Q不能在IP隧道中传送应用的情况Q?

4)大多数通信是实旉信的应用,如语韛_视频。但q种情况可以使用公共交换电话|(PSTNQ解x案与VPN配合使用?

   对于企业来说QVPN提供了安全、可靠的 Internet讉K通道Qؓ企业q一步发展提供了可靠的技术保障。而且VPN能提供专用线路类型服务,是方便快L企业U有|络。企业甚臛_以不必徏? 自己的广域网l护pȝQ而将q一J重的Q务交׃业的ISP来完成。由于VPN的出玎ͼ用户可以从以下几斚wLQ?

1)实现|络? ? h高度的安全性,对于现在的网l是极其重要的。新的服务如在线银行、在U交易都需要绝对的安全Q而VPN以多U方式增Z|络的智能和安全性。首先,? 在隧道的LQ在现有的企业认证服务器上,提供对分布用L认证。另外,VPN支持安全和加密协议,如SecureIPQIPsecQ和 Microsoft点对点加密(MPPEQ?

2)化网l设 ? |络理者可以用VPN替代U用U\来实现分支机构的q接。这样就可以对q程链\q行安装、配|和理的Q务减到最,仅此一点就可以极大地简化企 业广域网的设计。另外,VPN通过拨号讉K来自于ISP或NSP的外部服务,减少了调制解调器池,化了所需的接口,同时化了与远E用戯证、授权和? 账相关的讑֤和处理?

3)降低成本 VPN可以立即且显著地降低成本。当使用InternetӞ实际上只需付短途电话费Q却收到了长途通信的效果。因此,借助ISP来徏立VPNQ就可以? 省大量的通信费用。此外,VPNq企业不必投入大量的h力和物力d装和l护WAN讑֤和远E访问设备,q些工作都可以交lISP。VPN使用户可以降 低如下的成本Q?

◆移动用户通信成本。VPN可以通过减少镉K费?00费用来节省移动用Lp?

◆租用线路成本。VPN可以以每条连接的40%?0%的成本对U用U\q行控制和管理。对于国际用h_q种节约是极为显著的。对于话x据,节约金额会进一步增加?

? 主要讑֤成本。VPN通过支持拨号讉K外部资源,使企业可以减不断增长的调制解调器费用。另外,它还允许一个单一的WAN接口服务多种目的Q从分支|络 互连、商业伙伴的外连|终端、本地提供高带宽的线路连接到拨号讉K服务提供者,因此Q只需要极的WAN接口和设备。由于VPN可以完全理Qƈ且能够从 中央|站q行Z{略的控Ӟ因此可以大幅度地减少在安装配|远端网l接口所需讑֤上的开销。另外,׃VPN独立于初始协议,q就使得q端的接入用户可 以l用传l设备,保护了用户在现有g和Y件系l上的投资?

4)Ҏ扩展 如果企业x大VPN的容量和覆盖范围。企业需做的事情很少Q而且能及时实玎ͼ企业只需与新的IPS{Q徏立̎P或者与原有的ISP重签合约Q扩大服 务范围。在q程办公室增加VPN能力也很单:几条命o可以Extranet路由器拥有Internet和VPN能力Q\由器q能对工作站自动q行? |?

5)可随意与合作伙伴联网 在过去,企业如果想与合作伙伴q网Q双方的信息技术部门就必须协商如何在双方之间徏立租用线路或帧中l线路。有了VPN之后Q这U协商也毫无必要Q真正达C要连pQ要断就断?

6)完全控制d?借助VPNQ企业可以利用ISP的设施和服务Q同时又完全掌握着自己|络的控制权。比方说Q企业可以把拨号讉K交给ISPdQ由自己负责用户的查验、访问权、网l地址、安全性和|络变化理{重要工作?

7)支持新兴应用 许多专用|对许多新兴应用准备不Q如那些要求高带宽的多媒体和协作交互式应用。VPN则可以支持各U高U的应用Q如IP语音QIP传真Q还有各U协议,如RSIP、IPv6、MPLS、SNMPv3{?

  正由于VPN能给用户带来诸多的好处,VPN在全球发展得异常U火Q在北美和欧zԌVPN已经是一相当普遍的业务Q在亚太地区Q该Ҏ务也q速开展v来?

W七?VPN发展势

 

  在国外,Internet已成为全C会的信息基设施Q企业端应用也大都基于IPQ在Internet上构{应用系l已成ؓ必然势Q因此基于IP的VPN业务获得了极大的增长I间。Infornetics Research公司预言Q在2001q_全球VPN市场达?20亿美元。据预测Q到2004q_北美的VPN业务收入增?8亿美元?

  在中国,制约VPN的发展、普及的因素大致可分为客观因素和主观因素两方面?

1.客观因素包括因特|带宽和服务质量QoS问题?

   在过L论因特网的远E接入还是专U接入,以及骨干传输的带宽都很小QQoS更是无法保障Q造成企业用户宁愿p大量的金钱去投资自己的专U网l或是宁 愿花费巨额的镉K话Ҏ提供q程接入。现在随着ADSL、DWDM、MPLS{新技术的大规模应用和推广Q上q问题将得到Ҏ改善和解冟뀂譬如,q去专线 接入速率最高才2MbpsQ而从今年开始,中国的企业用户可以n受到10MbpsQ乃?00Mbps的Internet专线接入Q而骨q网现在最高已? ?0GbpsQƈ且今后几q内发展到上百乃至上千个GbpsQ这已不是技术问题而是旉问题。随着互联|技术的发展Q可以说VPN在未来几q内会? 到迅猛发展?

2.主观因素之一是用hd怕自己内部的数据在Internet上传输不安全?

  其实前面介绍的VPN技术已l能够提供够安全的保障Q可以用户数据不被查看、修攏V主观因素之二,也是VPN应用最大的障碍Q是客户自n的应用跟不上Q只有企业将自己的业务完全和|络联系上,VPN才会有了真正的用武之地?

   可以惌Q当我们消除了所有这些障因素后QVPN会成ؓ我们|络生活的主要组成部分。在不远的将来,VPN技术将成ؓq域|徏讄最佌x案,? 不仅会大大节省广域网的徏讑֒q行l护费用Q而且增强了网l的可靠性和安全性。同ӞVPN会加快企业网的徏设步伐,使得集团公司不仅仅只是徏讑ֆ部局? |,而且能够很快地把全国各地分公司的局域网qv来,从而真正发挥整个网l的作用。VPNҎ动整个电子商务、电子N易将起到不可低估的作用?/span>


W八?VPN Q&A

 

Q?如何定义VPNQ?

A:利用公共|络来构建的Uh专用|络UCؓ虚拟U有|络QVPNQVirtual Private NetworkQ,用于构徏VPN的公ql包括Internet、中、ATM{。在公共|络上组建的VPN象企业现有的U有|络一h供安全性、可靠性和可管理性等?

   “虚拟”的概念是相对传l私有网l的构徏方式而言的。对于广域网q接Q传l的l网方式是通过q程拨号q接来实现的Q而VPN是利用服务提供商所提供的公 ql来实现q程的广域连接。通过VPNQ企业可以以明显更低的成本连接它们的q地办事机构、出差工作h员以及业务合作伙伴、企业内部资源n用者只需q入 本地ISP的POPQPoint Of PresenceQ接入服务提供点Q即可相互通信Q而利用传l的WANl徏技术,彼此之间要有专线相连才可以达到同L目的。虚拟网l成后,出差员工和外 地客户只需拥有本地ISP的上|权限就可以讉K企业内部资源Q? 如果接入服务器的用户w䆾认证服务器支持O游,甚至不必拥有本地ISP的上|权限。这对于动性很大的出差员工和分布广泛的客户与合作伙伴来说是很有意义 的。ƈ且企业开设VPN服务所需的设备很,只需在资源共享处攄一台VPN服务器就可以了?

Q:VPN可分为哪几类Q?

A:VPN 分ؓ三种cdQ远E访问虚拟网QAccess VPNQ、企业内部虚拟网QIntranet VPNQ和企业扩展虚拟|(Extranet VPNQ,q三U类型的VPN分别与传l的q程讉K|络、企业内部的Intranet以及企业|和相关合作伙伴的企业网所构成的Extranet相对应?

Q:VPN应该遵@哪些设计原则Q?/span>

A:VPN的设计包含以下原则:安全性、网l优化、VPN理{?

  在安全性方面,׃VPN直接构徏在公用网上,实现单、方ѝ灵z,但同时其安全问题也更为突出。企业必ȝ保其VPN上传送的数据不被d者窥视和改Qƈ且要防止非法用户对网l资源或U有信息的访问。Extranet VPN企业网扩展到合作伙伴和客户Q对安全性提Z更高的要求?

   在网l优化方面,构徏VPN的另一重要需求是充分有效地利用有限的q域|资源,为重要数据提供可靠的带宽。广域网量的不定性其带宽的利用率很低, 在流量高峰时引v|络dQ生网l瓶颈,使实时性要求高的数据得不到及时发送;而在量低谷时又造成大量的网l带宽空闌ӀQoS通过量预测与流量控? {略Q可以按照优先分配带宽资源Q实现带宽管理,使得各类数据能够被合理地先后发送,q防阻塞的发生?

   在VPN理斚wQVPN要求企业其|络理功能从局域网无缝地g伸到公用|,甚至是客户和合作伙伴。虽然可以将一些次要的|络理d交给服务提供 商去完成Q企业自׃需要完成许多网l管理Q务。所以,一个完善的VPN理pȝ是必不可的。VPN理的目标ؓQ减网l风险、具有高扩展性、经? 性、高可靠性等优点。事实上QVPN理主要包括安全理、设备管理、配|管理、访问控制列表管理、QoS理{内宏V?



]]>
VPN中的|络隧道技?/title><link>http://www.shnenglu.com/mydriverc/articles/30035.html</link><dc:creator>旅?/dc:creator><author>旅?/author><pubDate>Tue, 14 Aug 2007 16:12:00 GMT</pubDate><guid>http://www.shnenglu.com/mydriverc/articles/30035.html</guid><wfw:comment>http://www.shnenglu.com/mydriverc/comments/30035.html</wfw:comment><comments>http://www.shnenglu.com/mydriverc/articles/30035.html#Feedback</comments><slash:comments>0</slash:comments><wfw:commentRss>http://www.shnenglu.com/mydriverc/comments/commentRss/30035.html</wfw:commentRss><trackback:ping>http://www.shnenglu.com/mydriverc/services/trackbacks/30035.html</trackback:ping><description><![CDATA[  对于构徏 VPN 来说Q网l隧?Tunnelling)技术是个关键技术。网l隧道技术指的是利用一U网l协议来传输另一U网l协议,它主要利用网l隧道协议来实现q种 功能。网l隧道技术涉及了三种|络协议Q即|络隧道协议、隧道协议下面的承蝲协议和隧道协议所承蝲的被承蝲协议?<br />  <br />  现有两种c? 型的|络隧道协议Q一U是二层隧道协议Q用于传输二层网l协议,它主要应用于构徏q程讉K虚拟专网QAccess VPNQ;另一U是三层隧道协议Q用于传输三层网l协议,它主要应用于构徏企业内部虚拟专网QIntranet VPNQ和扩展的企业内部虚拟专|(Extranet VPNQ?<br />  <br />  二层隧道协议 <br />  <br />  二层隧道协议主要 有三U。一U是微Y、Ascend?COM {公司支持的 PPTPQPoint to Point Tunneling ProtocolQ点对点隧道协议Q,?Windows NT 4.0以上版本中即有支持。另一U是 Cisco、北方电信等公司支持? L2FQLayer 2 ForwardingQ二层{发协议)Q在 Cisco 路由器中有支持。而由 IETF 赯Q微?Ascend 、Cisco?3COM {公司参与的 L2TPQLayer 2 Tunneling ProtocolQ二层隧道协议)l合了上qC个协议的优点Q将很快地成?IETF 有关二层隧道协议的工业标准?L2TP 作ؓ更优更新的标准,已经得到了如QCisco SystemsQMicrosoftQAscendQ?Com {的支持Q以后还必将为更多的|络厂商所支持Q将是用最q泛?VPN 协议?<br />  <br />  下面简单介l一?L2TP |络协议。应?L2TP 所构徏的典?VPN 服务的结?其中QLAC 表示 L2TP 讉K集中器(L2TP Access Concentrator Q,是附属在交换|络上的h PPP 端系l和 L2TP 协议处理能力的设备,LAC 一般就是一个网l接入服务器 NASQNetwork Access ServerQ它用于为用户通过 PSTN/ISDN 提供|络接入服务QLNS 表示 L2TP |络服务器(L2TP Network ServerQ,?PPP 端系l上用于处理 L2TP 协议服务器端部分的Y件?<br />  <br />   在一?LNS ?LAC 对之间存在着两种cd的连接,一U是隧道QtunnelQ连接,它定义了一?LNS ?LAC 对;另一U是会话QsessionQ连接,它复用在隧道q接之上Q用于表C承载在隧道q接中的每个 PPP 会话q程?L2TP q接的维护以? PPP 数据的传送都是通过 L2TP 消息的交换来完成的,q些消息再通过 UDP ?1701 端口承蝲?TCP/IP 之上。L2TP 消息可以分ؓ两种cdQ一U是控制消息Q另一U是数据消息。控制消息用于隧道连接和会话q接的徏立与l护。数据消息用于承载用L PPP 会话数据包?<br />  <br />  L2TP q接的维护以?PPP 数据的传送都是通过 L2TP 消息的交换来完成的,q些消息再通过UDP?701端口承蝲?TCP/IP 之上?控制消息中的参数?AVP 值对QAttribute Value PairQ来表示Q得协议具有很好的扩展性;在控制消息的传输q程中还应用了消息丢失重传和定时通道q通性等机制来保证了 L2TP 层传输的可靠性。数据消息用于承载用L PPP 会话数据包。L2TP 数据消息的传输不采用重传机制Q所以它无法保证传输的可靠性,但这一点可以通过上层协议?TCP {得C证;数据消息的传输可以根据应用的需要灵zd采用控或不控机制Q甚臛_以在传输q程中动态地使用消息序列号从而动态地ȀzL息顺序检和量 控制功能Q在采用量控制的过E中Q对于失序消息的处理采用了缓存重排序的方法来提高数据传输的有效性?<br />  <br />  L2TP q具有适用于VPN 服务的以下几个特性: <br />  <br />   灉|的n份验证机制以及高度的安全?L2TP 可以选择多种w䆾验证机制QCHAP、PAP {)Q承了 PPP 的所有安全特性,L2TP q可以对隧道端点q行验证Q这使得通过 L2TP 所传输的数据更加难以被d。而且Ҏ特定的网l安全要求还可以方便地在 L2TP 之上采用隧道加密、端对端数据加密或应用层数据加密{方案来提高数据的安全性?<br />  <br />  内部地址分配支持 LNS可以攄于企业网的防火墙之后Q它可以对于q端用户的地址q行动态的分配和管理,可以支持 DHCP 和私有地址应用QRFC1918Q等Ҏ。远端用h分配的地址不是Internet地址而是企业内部的私有地址Q这h便了地址的管理ƈ可以增加安全 性?<br />  <br />  |络计费的灵zL?<br />  <br />  可以在LAC和LNS两处同时计费Q即ISP处(用于产生帐单Q及企业处(用于付费及审讎ͼ。L2TP 能够提供数据传输的出入包敎ͼ字节数及q接的v始、结束时间等计费数据Q可以根据这些数据方便地q行|络计费?<br />  <br />  可靠?<br />  <br />   L2TP 协议可以支持备䆾 LNSQ当一个主 LNS 不可达之后,LACQ接入服务器Q可以重C备䆾 LNS 建立q接Q这样增加了 VPN 服务的可靠性和定w性?l一的网l管?L2TP 协议很快地成ؓ标准?RFC 协议Q有?L2TP 的标?MIB 也将很快地得到制定,q样可以l一地采?SNMP |络理Ҏq行方便的网l维护与理?<p>  三层隧道协议 <br />  <br />  用于传输三层|络协议的隧道协议叫三层隧道协议。三层隧道协议ƈ非是一U很新的技术,早已出现?RFC 1701 Generic Routing EncapsulationQGREQ协议就是个三层隧道协议。新出来?IETF ?IP 层加密标准协?IPSec 协议也是个三层隧道协议?<br />  <br />  IPSec 协议不是一个单独的协议Q它l出了应用于IP层上|络数据安全的一整套体系l构Q它包括|络安全协议 Authentication HeaderQAHQ协议和 Encapsulating Security PayloadQESPQ协议、密钥管理协议Internet Key Exchange QIKEQ协议和用于|络验证及加密的一些算法等。IPSec 规定了如何在对等层之间选择安全协议、确定安全算法和密钥交换Q向上提供了讉K控制、数据源验证、数据加密等|络安全服务?<br />  <br />  GRE <br />  <br />  GRE ?IP in IP、IPX over IP {封装Ş式很怼Q但比他们更通用。很多协议的l微差异都被忽略Q这导致了它不是徏议用在某个特定的“X over Y”进行封装,所以是一U最基本的封装Ş式?<br />  <br />   在最单的情况下,pȝ接受C个需要封装和路由的数据报Q我们称之ؓ有效报文QPayloadQ。这个有效报文首先被 GRE 装然后被称之ؓ GRE 报文Q这个报文接着被封装在 IP 协议中,然后完全?IP 层负责此报文的向前传输(ForwardedQ。我们也U这个负责向前传输的IP 协议Z递(DeliveryQ协议或传输QTransportQ协议。整个被装的报文具有图2 所CŞ式: Delivery Header(transpor Protocol) GRE Header(Encapsulation Protocol) Payload Packet(Passenger Protocol) ? 通过 GRE 传输报文形式 GRE 的作用如下: 多协议的本地|通过单一协议的骨q网传输的服?一些不能连l的子网q接hQ这一点用于组?VPN 扩大了网l的工作范围,包括那些路由|关有限的协议;?IPX 包最多可以{?6ơ(既经q?6个\由器Q,而在一?Tunnel q接中看上去只经q一个\由器 IPSec IPSecQIP 安全协议Q是一l开攑֍议的ȝQ在特定的通信方之间提供数据的U有性、完整性保护,q能Ҏ据源q行验证。IPSec 使用 IKE q行协议及算法的协商Qƈ采用?IKE 生成的密码来加密和验证。IPSec 用来保证数据包在 Internet |上传输时的U有性、完整性和真实性。IPSec ?IP 层提供这些安全服务,?IP 及所承蝲的数据提供保护。这些服务是通过两个安全协议 AH ?ESPQ通过加密{过E实现的。这些机制的实现不会对用戗主机或其它 Internet lg造成影响Q用户可以选择不同的加密算法,而不会对实现的其它部分造成影响?<br />  <br />  IPSec 提供以下几种|络安全服务Q?<br />  <br />  U有?Q?IPsec 在传输数据包之前其加密Q以保证数据的私有?<br />  <br />  完整?Q?IPsec 在目的地要验证数据包Q以保证该数据包在传输过E中没有被替?<br />  <br />  真实?Q?IPsec 端要验证所有受 IPsec 保护的数据包 <br />  <br />   反重?Q?IPsec 防止了数据包被扑捉ƈ重新投放到网上,即目的地会拒l老的或重复的数据包;它通过?AH ?ESP 一起工作的序列号实?IPSec 协议本n定义了如何在 IP 数据包中增加字段来保?IP 包的完整性、私有性和真实性,q些协议q规定了如何加密数据包。? IPsecQ数据就可以在公|上传输Q而不必担心数据被监视、修Ҏ伪造了。IPsec 提供了两个主Z间、两个安全网关之间或L和安全网关主机的保护?<br />  <br />  IPSec 定义了两个新的数据包头增加到 IP 包,q些数据包头用于保证 IP 数据包的安全性。这两个数据包头由AHQAuthentication HeaderQ和 ESPQEncapsulating Security PayloadQ规定。在|关上实?IPSecQAH 插到标准IP包头后面Q它保证数据包的完整性和真实性,防止黑客截断数据包或向网l中插入伪造的数据包。AH 采用了安全哈希算法来Ҏ据包q行保护。AH 没有对用h据进行加密。ESP 需要保护的用户数据q行加密后再装到IP包中QESP 可以保证数据的完整性、真实性和U有性?<br />  <br />  IPSec 有隧道和传送两U工作方式。在隧道方式中,用户的整? IP数据包被用来计算 ESP _且被加密QESP 头和加密用户数据被封装在一个新?IP 数据包中Q在传送方式中Q只是传输层Q如TCP、UDP、ICMPQ数据被用来计算 ESP _ESP 头和被加密的传输层数据被攄在原IP包头后面。当 IPSec 通信的一端ؓ安全|关Ӟ必须采用隧道方式?<br />  <br />   Internet 密钥交换协议QIKEQ用于在两个通信实体协商和徏立安全相养I交换密钥。安全相养ISecurity AssociationQ是 IPSec 中的一个重要概c一个安全相兌CZ个或多个通信实体之间l过了n份认证,且这些通信实体都能支持相同的加密算法,成功C换了会话密钥Q可以开始利? IPSec q行安全通信。IPSec 协议本n没有提供在通信实体间徏立安全相关的ҎQ利?IKE 建立安全相关。IKE 定义了通信实体间进行n份认证、协商加密算法以及生成共享的会话密钥的方?/p><img src ="http://www.shnenglu.com/mydriverc/aggbug/30035.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://www.shnenglu.com/mydriverc/" target="_blank">旅?/a> 2007-08-15 00:12 <a href="http://www.shnenglu.com/mydriverc/articles/30035.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item><item><title>|络基础知识讲Q初步了解隧道技?/title><link>http://www.shnenglu.com/mydriverc/articles/30033.html</link><dc:creator>旅?/dc:creator><author>旅?/author><pubDate>Tue, 14 Aug 2007 15:58:00 GMT</pubDate><guid>http://www.shnenglu.com/mydriverc/articles/30033.html</guid><wfw:comment>http://www.shnenglu.com/mydriverc/comments/30033.html</wfw:comment><comments>http://www.shnenglu.com/mydriverc/articles/30033.html#Feedback</comments><slash:comments>0</slash:comments><wfw:commentRss>http://www.shnenglu.com/mydriverc/comments/commentRss/30033.html</wfw:commentRss><trackback:ping>http://www.shnenglu.com/mydriverc/services/trackbacks/30033.html</trackback:ping><description><![CDATA[ 现在的计机领域来依赖于各种cd的隧道技术。所有的q程接入VPN(虚拟专用|?都要用隧道,你还l常听到计算机狂Z在谈论SSH(安全 Shell)隧道。利用隧道技术你可以完成许多令h惊讶的工作,所以请舒舒服服地坐好吧Q愉快地享受q一期关于隧道技术及其用途的知识讲。如果你想了? IP安全协议(IPSec)的具体情况,我们会在以后的基知识讲中阐q? <p>  隧道技术的主要作用是让一U网l不支持的外来协议通过该网l。隧道协议可以让你利用诸如IP{协议通过IP数据包的“数据”部分发送另一U协 议。大多数隧道协议作用在第4层,q就意味着q些协议可以用来代替TCP(传输控制协议)或UDP(用户数据报协?{协议的功能?/p><p>  VPN隧道技术允许远E客户通过隧道q入我们的网l,q一点证明了早前关于隧道被用于那些“不受支持协议”的观点Q尽该作用q不显而易见。如 果我们要通过VPN才能实现打印机和文g׃nQ那可能是因为端?39?45(Windows的配对端?已被关闭Q实际上对于我们的边界\由器来说Q? q两个端口是不受支持的TCP端口。然而,如果在已知的VPN服务器上采用IPSec或PPTP(点对炚w道协?Q那么一切就“都没问题”了?/p><p>  被发往zd目录(Active Directory)服务器端?45的数据包被隐藏为VPN数据包。当q些数据包到达VPN服务器时Q服务器会对数据包进行解?demuxQ即de -multiplexQ也被称为disassemble)Q然后将其发送到内部|络上。当数据包到辑ֆ部网l时Q其源地址现在是VPN服务器的内部 IPQ这样内部网l做出的响应pq回VPN服务器。除了这一点,数据包都会完全按照你的意图行事。VPN服务器一收到响应Q就会给该数据包dVPN? q封装v来,然后通过其外部接口把它发回给你?/p><p>  关于VPN隧道要注意几个有意思的地方:一旦你的数据到辑ֆ部网l,它就已经被解?而当q些数据通过InternetӞ会有一些特别的“东襎쀝被加入到数据包中?/p><p>  有一Ҏ们没有提及,但是也许很明显,那就是VPN协议在传送你的数据包之前会ؓ其加密。对于理解隧道概念这无关紧要Q不q却值得一提。注意这 U加密ƈ不是端对端,也就是说你和服务器之间的通信不是真正安全的。当然你自己和你的网l之间很安全Q别人无法窥探,然而一旦数据包从VPN服务器出来, ׃再一ơ被解密?/p><p>  说到W二个有意思的地方Q我们先来了解一下最基本的IP装原理。从概念上来_我们是把数据包嵌套,更确切地_ 外部的IP数据包的数据部分要包含一个完整的IP数据包。很妙,是不?q样我们p释了IPIP隧道的概?IP被包含在IP数据包中?/p><p align="center">  <img alt="" src="http://edu.yesky.com/imagelist/2007/032/5jr3906i9k2n.jpg" height="129" width="467" /></p><p align="center">  ?</p><br /><p align="center"><br /></p><p>  如图1所C,IP数据包的数据部分包含了一个崭新的IP数据包。除了加密,它与VPN隧道技术的作用是一L。当你的数据包顶端带了个“附加的 包头”时Q你无法发送大量的数据Q因为第一个IP头就占用?0个节字。认识这一炚w帔R要,因ؓ在采用隧道技术时会突然出现Path MTU(最大传输单?问题?/p><p>  "建立SSH隧道"是一件很奇妙也很让h费解的事Q也是采用SSH协议通过隧道传送数据。X11E序(例如一个图形用L面程?如果需要连 接一个显C终端。它可以非常L地通过SSH隧道传送数据。X的客?例如弹出H口E序)会试图连接显C器所在的工作站上的X服务器,如果你与一台服务器 之间采用了SSHQƈ且各选项讄无误Q那么程序试图连接X的信息将被通过隧道q回l你本地的计机Q解密后再传送给你本机机上的X服务器。现在来试着? 立SSH隧道?执行“ssh-Y user@hostname.com”命令,然后一旦进入就q行firefoxQ它应该昄在你的本地计机上,而且是通过加密SSH隧道实现的?/p><p>  因ؓOpenSSH的能力很有趣Qƈ且有助于我们理解隧道概念Q所以我们来看看SSH另外两个技巧?/p><p>  你可以把到自p机上的一个端口的q接转发l一台远E计机Q它你的数据通过SSH隧道传送,使之安全可靠。这看v来似乎没什么用处,? 竟,Z么我要把自己计算Z的端口发l另一台计机?要回{这个问题我们先要澄清一些概cSSH转发端口之前首先要侦听本地端口是否有q接Q当建立 q接后,SSH把整个q接发送给q程L和端口,q是一个单端口VPN!</p><p>  例如:ssh -L80:workserver.com:80 user@workdesktop.com</p><p>  q条命o在本Zworkdesktop.com计算Z间徏立一个SSHq接Q而与此同时也打开了你本地计算Z的端?0。如果你让web 览器指向http://localhostQ此q接׃通过SSHq接被发送至workdesktop.comQ进而又发送至 workserver.com服务器的端口80上。这非常有益于从安讉K那些仅存在于Intranet上的站点Q而无需先连接至VPN服务器?/p><p>  最新的OpenSSH版本同样支持SSH上的IP隧道技术。实际上Q它也支持以太网(Ethernet)Q目的是两个以太网q播域桥接在一 ?也就是通过SSH加密!在OpenSSH的隧道选项中,Z可以讄全功能的SSH-VPN隧道Q之在MSSH|络上都能实现。它在两端都创徏? 道接口,而唯一需要手动配|的只是路由表。如果你惌所有发往目的|络的数据都通过加密隧道来发送,那么你只需为目的网l增加一条\由,q把它指向SSH 自动创徏的隧道接口。这实是目前最无可争议的VPN讄了?/p><p>  隧道也传送其它协议。希望上q内容能够让你深入了解隧道技术,Ȁ发一点兴,或者至让某些Z再觉得这U技术多么神U?/p><p>  <strong>结</strong></p><p>  隧道技术用于在各种不同的网l中发送不受支持的协议?/p><p>  通过隧道的数据、VPN或其它内容数据包增大,所以每个数据包所发送的数据量减?/p><p>  一般来_通过SSH隧道发送数据是一U根据具体应用徏立的VPNQ然而最新版本的OpenSSH可实C个完全成熟、无可争议的VPN?/p><img src ="http://www.shnenglu.com/mydriverc/aggbug/30033.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://www.shnenglu.com/mydriverc/" target="_blank">旅?/a> 2007-08-14 23:58 <a href="http://www.shnenglu.com/mydriverc/articles/30033.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item><item><title>隧道技?/title><link>http://www.shnenglu.com/mydriverc/articles/30030.html</link><dc:creator>旅?/dc:creator><author>旅?/author><pubDate>Tue, 14 Aug 2007 15:42:00 GMT</pubDate><guid>http://www.shnenglu.com/mydriverc/articles/30030.html</guid><wfw:comment>http://www.shnenglu.com/mydriverc/comments/30030.html</wfw:comment><comments>http://www.shnenglu.com/mydriverc/articles/30030.html#Feedback</comments><slash:comments>0</slash:comments><wfw:commentRss>http://www.shnenglu.com/mydriverc/comments/commentRss/30030.html</wfw:commentRss><trackback:ping>http://www.shnenglu.com/mydriverc/services/trackbacks/30030.html</trackback:ping><description><![CDATA[隧道技术(TunnelingQ是一U通过使用互联|络的基设施在网l之间传递数据的方式?b>使用隧道传递的数据Q或负蝲Q可以是不同协议的数据或包</b>? 隧道协议其它协议的数据帧或包重新封装然后通过隧道发送。新的头提供\׃息,以便通过互联|传递被装的负载数据?<br />   q里所说的隧道cM于点到点的连接。这U方式能够来自许多信息源的|络业务在同一个基设施中通过不同的隧道进行传输。隧道技术用点对点通信协议 代替了交换连接,通过路由|络来连接数据地址。隧道技术允许授权移动用h已授权的用户在Q何时间、Q何地点访问企业网l?<br />   通过隧道的徏立,可实玎ͼ<br /> * 数据流强制送到特定的地址<br /> * 隐藏U有的网l地址<br /> * 在IP|上传递非IP数据?br /> * 提供数据安全支持<br />   q来出现了一些新的隧道技术,q在不同的系l中得到q用和拓展?br />   隧道技?br />   为创建隧道,隧道的客h和服务器双方必须使用相同的隧道协议。隧道技术可分别以第2层或W?层隧道协议ؓ基础。第2层隧道协议对应于OSI模型的数 据链路层Q用作ؓ数据交换单位。PPTPQ点对点隧道协议Q、L2TPQ第二层隧道协议Q和L2FQ第2层{发协议)都属于第2层隧道协议,是将用户 数据装在点对点协议QPPPQ中通过互联|发送。第3层隧道协议对应于OSI 模型的网l层Q用包作ؓ数据交换单位。IPIPQIP over IPQ以及IPSec隧道模式属于W?层隧道协议,是将IP包封装在附加的IP包头中,通过IP|络传送。无论哪U隧道协议都是由传输的蝲体、不同的装 格式以及用户数据包组成的。它们的本质区别在于Q用L数据包是被封装在哪种数据包中在隧道中传输?br /> q个技术是q期才出现的C物,q且已经被用到各U黑客Y件之中,比较成熟的有q程控制软g“网l神偷”和“灰鸽子”?<br /> q是国内两个很有代表性的q用“http隧道I越原理”而制作的软gQ用该类型Y件可以穿透防火墙Q不受端口的限制?<br /><br /> 一般防火墙Z安全赯Q都只开80和其他一些常用的端口Q这L话,那些一般的Ztcp/ip客户端和服务端的木马׃能通过防火墙和外界发生联系Q? 特别是在内网之中Q?b>但是l过Ҏ处理的ip包可以伪装成http包Q这样防火墙p为其是合法的http数据包,׃放行</b>Q这样在木马的接收端QY? 再将伪装q的ip包q原出来Q取出其中有用的数据Q从而达到穿防火墙端口讄的限制?<br /><br /> 该类型Y件具有很大的ƺ骗性,所以不要认|了端口限制的防火墙׃定很安全了?<br /><br /> 利用HTTP协议的缺h实现寚w火墙的渗透,或者说现有的一些HTTP隧道技术的实现Q是Z防火墙在对HTTP协议的报文进行识别与qoӞ往往只对其诸如POST、GET{命令的头进行识别,而放行其后的所有报文?img src ="http://www.shnenglu.com/mydriverc/aggbug/30030.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://www.shnenglu.com/mydriverc/" target="_blank">旅?/a> 2007-08-14 23:42 <a href="http://www.shnenglu.com/mydriverc/articles/30030.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item><item><title>Windows下网l数据报的监听和拦截技?/title><link>http://www.shnenglu.com/mydriverc/articles/28952.html</link><dc:creator>旅?/dc:creator><author>旅?/author><pubDate>Sun, 29 Jul 2007 07:02:00 GMT</pubDate><guid>http://www.shnenglu.com/mydriverc/articles/28952.html</guid><wfw:comment>http://www.shnenglu.com/mydriverc/comments/28952.html</wfw:comment><comments>http://www.shnenglu.com/mydriverc/articles/28952.html#Feedback</comments><slash:comments>0</slash:comments><wfw:commentRss>http://www.shnenglu.com/mydriverc/comments/commentRss/28952.html</wfw:commentRss><trackback:ping>http://www.shnenglu.com/mydriverc/services/trackbacks/28952.html</trackback:ping><description><![CDATA[     摘要: Windows下网l数据报的监听和拦截技?         Windows下网l数据报的监听和拦截技术是一个比较古老的话题Q应用也很广泛,例如 防火墙等{。这小文只是对该技术的一个ȝQ没有新技术,高手免看Q)         要监听和拦截Windo...  <a href='http://www.shnenglu.com/mydriverc/articles/28952.html'>阅读全文</a><img src ="http://www.shnenglu.com/mydriverc/aggbug/28952.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://www.shnenglu.com/mydriverc/" target="_blank">旅?/a> 2007-07-29 15:02 <a href="http://www.shnenglu.com/mydriverc/articles/28952.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item><item><title>利用WinSock2 SPIq行|络内容讉K控制http://www.shnenglu.com/mydriverc/articles/28950.html旅?/dc:creator>旅?/author>Sun, 29 Jul 2007 06:34:00 GMThttp://www.shnenglu.com/mydriverc/articles/28950.htmlhttp://www.shnenglu.com/mydriverc/comments/28950.htmlhttp://www.shnenglu.com/mydriverc/articles/28950.html#Feedback0http://www.shnenglu.com/mydriverc/comments/commentRss/28950.htmlhttp://www.shnenglu.com/mydriverc/services/trackbacks/28950.html~者按Q与传统的包qo防火墙技术不同,本文从应用层|关技术入手,深入探讨了利用WinSock2 SPIq行|络内容讉K控制的问题。这是网l安全的一Ҏ内容Q或者说Q它为网l安全技术的爱好者和研发人员提供了一个新的思\?

防火墙可以实施和执行|络讉K{略Q但是,传统的防火墙技术集中于如何防范外部|络对内部网l的入R和攻MQ而对于如何控制内部用户对外部|络的访? 问题研究不够深入Q相关的控制技术也不多。据权威资料昄Q全球现有大U?5万色情网站,单纯依靠传统的包qo{防火墙技术,势必会严重媄响网l性能。针 对这一问题Q我们从应用层网x术入手,利用WinSock2 SPI技术,q行了研I和探讨?

  Winsock2 SPI原理?/p>

Winsock2 SPIQService Provider InterfaceQ服务提供者接口徏立在Windows开攄l架构WOSAQWindows Open System ArchitectureQ之上,是Winsockpȝlg提供的面向系l底层的~程接口。Winsockpȝlg向上面向用户应用E序提供一个标准的 API接口Q向下在Winsocklg和Winsock服务提供者(比如TCP/IP协议栈)之间提供一个标准的SPI接口。各U服务提供者是 Windows支持的DLLQ挂靠在Winsock2 的Ws2_32.dll模块下?/p>

对用户应用程序用的Winsock2 API中定义的许多内部函数来说Q这些服务提供者都提供了它们的对应的运作方?例如API函数WSAConnect有相应的SPI函数 WSPConnect)。多数情况下Q一个应用程序在调用Winsock2 API函数ӞWs2_32.dll会调用相应的Winsock2 SPI函数Q利用特定的服务提供者执行所h的服务?

  Winsock2 SPI允许开发两cL务提供者——传输服务提供者和名字I间服务提供者?#8220;传输提供?#8221;QTransport Providers, 一般称作协议堆栈,例如TCP/IPQ能够提供徏立通信、传输数据、日常数据流控制和错误控制等传输功能斚w的服务?#8220;名字I间提供?#8221;QName Space ProvidersQ例如DNS名字解析服务Q则把一个网l协议的地址属性和一个或多个用户友好名称兌CP以便启用与应用无关的名字解析Ҏ?

Winsock2 中用的传输服务提供者有两类Q基服务提供者和分层服务提供者。基服务提供者执行网l传输协议(比如TCP/IPQ的具体l节Q其中包括在|络上收? 数据之类的核心网l协议功能?#8220;分层?#8221;QLayeredQ服务提供者只负责执行高的自定义通信功能Qƈ依靠下面的基服务提供者,在网l上q行真正? 数据交换?

Zq行内部用户对外讉K控制Q我们需要在现有的基提供者TCP/IP提供者上讄一个分层式的URLqo理者。通过 URLqo理者我们可以截L戯求的HTTP数据包中的URL地址Q而可以通过高效的数据检索算法(如利用Fibonacci散列函数的哈希表Q, 在访问规则库Q被止讉K的IP集合Q中查找指定的IPQ根据结果拒l或提供讉K服务?

  传输服务提供者的安装方式军_了它不仅? 一个分层提供者,q是一个基服务提供者。Winsock 2使用pȝ配置数据库配|传输服务提供者。配|数据库让Winsock2得知服务提供者的存在Qƈ定义了提供的服务cd。要在Winsock2服务提供? 数据库内成功安装和管理服务提供者,需要四个函敎ͼWSCEnumProtocols、WSCInstallProvider? WSCWriteProvider Order、WSCDeInstallProvider?/p>

q些函数利用WSAPROTOCOL_INFOWl构Q对服务提供者数据库q行查询和操作。要安装分层式服务提供者,需要徏立两? WSPPROTOCOL_INFOW目录条目l构。一个代表分层提供者(协议N度等?Q,另一个将代表一个协议链Q协议长度大?Q,该协议链把分? 提供者与一个基服务提供者链接v来。应该用现有服务提供者的WSAPROTOCOL_INFOW目录条目l构的属性来初始化这两个l构?/p>

调用WSCEnumProtocols可以获得已有的服务提供者的WSAPROTOCOL_INFOW目录条目l构。初始化之后Q首先需要? WSCInstallProvider来安装我们的讉K控制分层服务提供者目录条目,然后Q利用WSCEnumProtocols列D出所有的目录条目Q? 获得安装之后个结构分配的目录ID。然后,用这个目录条目来讄一个协议链目录条目Q通过它,我们的讉K控制服务提供者和另一个提供者(TCP基础 提供者)链接h。然后再ơ调用WSCInstallProvider来安装我们的分层铑ּ服务提供者?

  在用 WSCInstallProvider安装一个服务提供者时Q目录条目自动成为配|数据库中的最后一个条目。要实现讉K控制必M我们的URLqo服务 提供者成为默认的TCP/IP提供者,必须通过调用WSCWriteProviderOrder函数来完成此工作,Ҏ据库中提供者目录条目进行重新排 序,q把协议铄录条目放在TCP/IP基础提供者之前?

  Winsock2传输服务提供者随标准的Windows动态链接库模块 一h行。我们必d我们的服务提供者动态链接库模块中导入DLLMain函数Q同时还必须导入一个名为WSPStartup的单一函数条目。我们的 URLqo服务提供者必L供对WSPStartup函数和其?0个SPI函数的支持。调用WSAStartup期间QWinsockҎ WSASocket调用的地址家族、套接字cd和协议参敎ͼ来决定需要加载哪个服务提供者。只有在一个应用程序通过socket或WSASocket API调用建立一个采用地址家族AF_INET、套接字cd为SOCK_STREAM的套接字ӞWinsock才会搜烦q加载与之相应的、能够提? TCP/IP能力的传输服务提供者。WSPStartup的参数UpcallTable取得Ws2_32.dll的SPI函数zN表,我们的访问控制分? 服务提供者利用这些函数来理自n和Winsock2之间的I/O操作?

  我们利用WSPConnect函数来实现访问控制功能? 在用戯求HTTP服务Ӟ需要首先徏立与目标站点的连接,q接成功后,在此q接基础上发送HTTPh数据包。用户应用程序调用connect? WSAConnect函数建立q接ӞSPI会调用对应的WSPConnect函数QINT WSPAPI WSPConnect(...,const struct sockaddr FAR *name,...,INT FAR *lpErrno)。在sockaddrcd的参数name中包含了用户要讉K的目标站点的IP地址信息。我们将name参数传递到IP可访问性判定例 EIPFilter。如果IPFilter函数q回代表授权讉K的结果,我们采用协议铑֑令\由,调用下一层的基础服务提供?TCP/IP)来完成连? h。如果IPFilter函数q回代表拒绝服务的结果,我们讄lpErrno参数为相应的错误码,然后q回Q不q行协议链下一层服务提供者的调用Q从 而实现访问控制?

  分层式服务提供者大大发挥了联网服务的潜能,增强了Winsock的应用,在我们的URLqo服务中发挥了巨大的作用,基本实现了对内部用户讉K外部|络的访问控Ӟ为用h供了对互联网的健h的讉K服务?br>(e129)





]]>
ARPƺ骗原理http://www.shnenglu.com/mydriverc/articles/26250.html旅?/dc:creator>旅?/author>Wed, 13 Jun 2007 06:46:00 GMThttp://www.shnenglu.com/mydriverc/articles/26250.htmlhttp://www.shnenglu.com/mydriverc/comments/26250.htmlhttp://www.shnenglu.com/mydriverc/articles/26250.html#Feedback0http://www.shnenglu.com/mydriverc/comments/commentRss/26250.htmlhttp://www.shnenglu.com/mydriverc/services/trackbacks/26250.html是这LQؓ了能和其他机器通讯Q局域网上的各个机器都缓存了ARP列表QARP列表可以单理解成“一个IP地址对应一个MAC地址”Q。机器要通过|关和其他机器通讯Q其实是在局域网内发了查询ARPhQ可以简单理解成“|关啊,h你的MAC地址告诉我好吗?”Q;|关收到此类h后,׃发送ARP回应报文Q回应网关的MAC。这P某个机器׃把通讯数据发到|关的MAC上?br>那么q行了p2pOver之类的Y件后是怎么ƺ骗的呢Q简单v见,我们设用了p2pOver的机器ؓ”A”Q?#8221;A”的MAC地址?#8221;M”?br>首先Q?#8221;A”通过ARP查询得到真实的网关MACQ和不停地轮询局域网上其他主机(IPQ及其MAC?br>其次Q?#8221;A”不停地给局域网上其他主机发送伪造的ARP回应报文Q告诉他们网关的MAC?#8221;M”Q?br>同时Q?#8221;A”也不停给交换机发送伪造的ARP回应报文Q告诉真正的|关局域网上所有主机的MAC地址?#8221;M”?br>因ؓ是不停地发送报文,C最后:局域网上的其他L以ؓ|关是”A”Q真正的|关以ؓ局域网上的所有通讯只来?#8221;A”。也是”A”变成了事实上的中转中心:不仅可以截取其他L的流量和数据Q还能随心所Ʋ地截断|络通讯?br>ARPƺ骗防治
从欺骗原理,不难推出防治关键是惛_法不接收错误的ARP回应报文Q?br>1) 使用交换机,l定|内所有IP-MAC。这样也׃需要ARP查询才能知道MAC?br>2) q有一个办法,是在网内所有机器上l定ȝ关的MACQ下面适用于WinXPQ:
在网l正常情况下Q?strong>arp -a |关IPQ如192.168.1.1Q,查询到正的|关MAC
然后l定|关MACQ?strong>arp -s |关IP |关MAC
在执行arp -aQ看到网关IP和MAC是静态(StaticQ的Q就可以?

]]>
ARPƺ骗原理http://www.shnenglu.com/mydriverc/articles/26251.html旅?/dc:creator>旅?/author>Wed, 13 Jun 2007 06:46:00 GMThttp://www.shnenglu.com/mydriverc/articles/26251.htmlhttp://www.shnenglu.com/mydriverc/comments/26251.htmlhttp://www.shnenglu.com/mydriverc/articles/26251.html#Feedback0http://www.shnenglu.com/mydriverc/comments/commentRss/26251.htmlhttp://www.shnenglu.com/mydriverc/services/trackbacks/26251.html是这LQؓ了能和其他机器通讯Q局域网上的各个机器都缓存了ARP列表QARP列表可以单理解成“一个IP地址对应一个MAC地址”Q。机器要通过|关和其他机器通讯Q其实是在局域网内发了查询ARPhQ可以简单理解成“|关啊,h你的MAC地址告诉我好吗?”Q;|关收到此类h后,׃发送ARP回应报文Q回应网关的MAC。这P某个机器׃把通讯数据发到|关的MAC上?br>那么q行了p2pOver之类的Y件后是怎么ƺ骗的呢Q简单v见,我们设用了p2pOver的机器ؓ”A”Q?#8221;A”的MAC地址?#8221;M”?br>首先Q?#8221;A”通过ARP查询得到真实的网关MACQ和不停地轮询局域网上其他主机(IPQ及其MAC?br>其次Q?#8221;A”不停地给局域网上其他主机发送伪造的ARP回应报文Q告诉他们网关的MAC?#8221;M”Q?br>同时Q?#8221;A”也不停给交换机发送伪造的ARP回应报文Q告诉真正的|关局域网上所有主机的MAC地址?#8221;M”?br>因ؓ是不停地发送报文,C最后:局域网上的其他L以ؓ|关是”A”Q真正的|关以ؓ局域网上的所有通讯只来?#8221;A”。也是”A”变成了事实上的中转中心:不仅可以截取其他L的流量和数据Q还能随心所Ʋ地截断|络通讯?br>ARPƺ骗防治
从欺骗原理,不难推出防治关键是惛_法不接收错误的ARP回应报文Q?br>1) 使用交换机,l定|内所有IP-MAC。这样也׃需要ARP查询才能知道MAC?br>2) q有一个办法,是在网内所有机器上l定ȝ关的MACQ下面适用于WinXPQ:
在网l正常情况下Q?strong>arp -a |关IPQ如192.168.1.1Q,查询到正的|关MAC
然后l定|关MACQ?strong>arp -s |关IP |关MAC
在执行arp -aQ看到网关IP和MAC是静态(StaticQ的Q就可以?

]]>
þԭۺ| Ʒ˾þ˵Ӱ| þǿdŮվ| þоƷƵ| þŮcc98cm| þó˹Ʒ| ھƷ˾þþþӰԺ԰| ޹㽶ˬAVƬþ| þۺϺݺۺϾþۺ88| ߳þѹۿ| ŷƷ99þ| þ㽶߿ۿ| þҹƵ| yellowĻþ| ձŷþþþѲ| þþþùƷ鶹ARӰԺ| һþaþþƷ| þ¾ƷĻ| 91Ƶ91þþ| 2021¾þþӾƷ| þþþþþ92| þùƷ99Ʒ987| ij뾫Ʒþþò| ѹ99þþ㽶| Ʒþþþþù˽ | 99Ʒþ| 2021þþƷѹۿ| ˼˼þúúȾƷ| ŷɫۺϾþþþþ| þþþӰԺŮ| ݺݾþŷר| ҹƷƬþӰ | 99þþƷһ| þҹɫƷwww| ۺһ˾þþƷ| ŷҹAŴƬþ| ŷ˾þô߽ۺ69| þþþ99ƷƬëƬ| Ʒþˬ| Ʒ99þþƷ| þþþþùƷŮ|