虚拟专用网络(VPN)技术

第7章虚拟专用网络（VPN）技术本章学习目标：了解VPN概念及基本功能掌握VPN的工作协议了解VPN的分类了解SSLVPN的概念与作用7.1VPN技术概述虚拟专用网（VirtualPrivateNetwork，VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。

7.1.1VPN的概念VPN依靠ISP（Internet服务提供商）和其他NSP（网络服务提供商），在公用网络中建立专用的数据通信网络的技术。在虚拟专用网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。

VPN是对企业内部网的扩展。一般以IP为主要通讯协议。

7.1VPN技术概述

VPN是在公网中形成的企业专用链路。采用“隧道”技术，可以模仿点对点连接技术，依靠Internet服务提供商(ISP)和其他的网络服务提供商(NSP)在公用网中建立自己专用的“隧道”，让数据包通过这条隧道传输。对于不同的信息来源，可分别给它们开出不同的隧道。

7.1.1VPN的概念(续)远程访问Internet内部网合作伙伴分支机构虚拟私有网虚拟私有网虚拟私有网VPN是企业网在因特网上的延伸VPN的典型应用7.1VPN技术概述

隧道是一种利用公网设施，在一个网络之中的“网络”上传输数据的方法。隧道协议利用附加的报头封装帧，附加的报头提供了路由信息，因此封装后的包能够通过中间的公网。封装后的包所途经的公网的逻辑路径称为隧道。一旦封装的帧到达了公网上的目的地，帧就会被解除封装并被继续送到最终目的地。

7.1.1VPN的概念(续)①隧道开通器(TI)；②有路由能力的公用网络；③一个或多个隧道终止器(TT)；④必要时增加一个隧道交换机以增加灵活性。隧道基本要素7.1VPN技术概述7.1.2VPN的基本功能VPN的主要目的是保护传输数据，是保护从信道的一个端点到另一端点传输的信息流。信道的端点之前和之后，VPN不提供任何的数据包保护。VPN的基本功能至少应包括：1）加密数据。以保证通过公网传输的信息即使被他人截获也不会泄露。2）信息验证和身份识别。保证信息的完整性、合理性，并能鉴别用户的身份。3）提供访问控制。不同的用户有不同的访问权限。4）地址管理。VPN方案必须能够为用户分配专用网络上的地址并确保地址的安全性。5）密钥管理。VPN方案必须能够生成并更新客户端和服务器的加密密钥。6）多协议支持。VPN方案必须支持公共因特网络上普遍使用的基本协议，包括IP、IPX等。7.1VPN技术概述7.1.3VPN的特性安全性隧道、加密、密钥管理、数据包认证、用户认证、访问控制可靠性硬件、软件、基础网络的可靠性可管理性记帐、审核、日志的管理是否支持集中的安全控制策略可扩展性成本的可扩展性，如使用令牌卡成本高性能，是否考虑采用硬件加速加解密速度7.1VPN技术概述7.1.3VPN的特性(续)可用性系统对应用尽量透明对终端用户来说使用方便互操作性尽量采用标准协议，与其他供应商的设备能互通服务质量QoS通过Internet连接的VPN服务质量很大程度取决于Internet的状况多协议支持Clue远程访问Internet内部网分支机构安全网关安全网关ISP接入设备端到端数据通路的典型构成拨入段外部段（公共因特网）内部段公司的内部网络7.1.4VPN的安全性端到端数据通路中存在的安全风险拨入段数据泄漏风险因特网上数据泄漏的风险安全网关中数据泄漏的风险内部网中数据泄漏的风险拨入段数据泄漏风险远程访问ISP接入设备拨入段Internet拨入段用户数据以明文方式直接传递到ISP：攻击者可以很容易的在拨入链路上实施监听ISP很容易检查用户的数据可以通过链路加密来防止被动的监听，但无法防范恶意窃取数据的ISP。PSTN搭线监听攻击者ISPISP窃听密文传输到了ISP处已解密成明文明文传输因特网上数据泄漏的风险Internet内部网恶意修改通道终点到：假冒网关外部段（公共因特网）ISP接入设备原始终点为：安全网关数据在到达终点之前要经过许多路由器，明文传输的报文很容易在路由器上被查看和修改监听者可以在其中任一段链路上监听数据逐段加密不能防范在路由器上查看报文，因为路由器需要解密报文选择路由信息，然后再重新加密发送恶意的ISP可以修改通道的终点到一台假冒的网关远程访问搭线监听攻击者ISPISP窃听正确通道安全网关中数据泄漏的风险Internet内部网ISP接入设备远程访问安全网关数据在安全网关中是明文的，因而网关管理员可以直接查看机密数据网关本身可能会受到攻击，一旦被攻破，流经安全网关的数据将面临风险Internet内部网中数据泄漏的风险远程访问内部网安全网关ISP接入设备内部段公司的内部网络内部网中可能存在不信任的主机、路由器等内部员工可以监听、篡改、重定向企业内部网的数据报文来自企业网内部员工的其他攻击方式7.2VPN协议VPN主要采用以下四项技术来保证安全：◆隧道技术◆加解密技术

◆密钥管理技术◆使用者与设备身份认证技术7.2.1VPN安全技术

加解密技术、密钥管理技术、使用者与设备身份认证技术在第四章已作介绍，VPN只是对这几种技术的应用。下面重点介绍隧道技术7.2VPN协议7.2.2VPN的隧道协议

VPN中的隧道是由隧道协议形成的，VPN使用的隧道协议主要有三种：点到点隧道协议（PPTP）、第二层隧道协议（L2TP）以及IPSec。PPTP和L2TP集成在windows中，所以最常用。PPTP协议允许对IP、IPX或NetBEUI数据流进行加密，然后封装在IP包头中通过企业IP网络或公共因特网络发送。L2TP协议允许对IP，IPX或NetBEUI数据流进行加密，然后通过支持点对点数据报传递的任意网络发送，如IP，X.25，帧中继或ATM。IPSec隧道模式允许对IP负载数据进行加密，然后封装在IP包头中通过企业IP网络或公共IP因特网络如Internet发送。7.2VPN协议7.2.2VPN的隧道协议NSRC、NDST是隧道端点设备的IP地址公网上路由时仅仅考虑NSRC、NDST原始数据包的DST、SRC对公网透明DSTSRCDATANDSTNSRCDSTSRCDATA7.2VPN协议7.2.2VPN的隧道协议Point-to-PointTunnelProtocol,2层协议，需要把网络协议包封装到PPP包，PPP数据依靠PPTP协议传输PPTP通信时，客户机和服务器间有2个通道，一个通道是tcp1723端口的控制连接，另一个通道是传输GRE(GenericRoutingEncapsulation，通用路由封装协议)PPP数据包的IP隧道PPTP没有加密、认证等安全措施，安全的加强通过PPP协议的MPPE(MicrosoftPoint-to-PointEncryption)实现windows中集成了PPTPServer和Client，适合中小企业支持少量移动工作者如果有防火墙的存在或使用了地址转换，PPTP可能无法工作1．点到点隧道协议（PPTP）7.2VPN协议7.2.2VPN的隧道协议把网络数据包封装在PPP协议中，PPP协议的数据包放到隧道中传输L2TPRFC2661定义在Cisco公司的L2F和PPTP的基础上开发windows中集成2．第二层隧道协议（L2TP）7.2VPN协议7.2.2VPN的隧道协议3．IPSec协议3层协议，直接传输网络协议数据包基于TCP/IP的标准协议，集成到IPv6中，仅仅传输IP协议数据包提供了强大的安全、加密、认证和密钥管理功能适合大规模VPN使用，需要认证中心（CA）来进行身份认证和分发用户的公共密钥

IPSec数据包的格式

7.2VPN协议7.2.2VPN的隧道协议3．IPSec协议(续)

IPSec的工作模式传输模式：只对IP数据包的有效负载进行加密或认证。此时，继续使用以前的IP头部，只对IP头部的部分域进行修改，而IPSec协议头部插入到IP头部和传输层头部之间。隧道模式：对整个IP数据包进行加密或认证。此时，需要新产生一个IP头部，IPSec头部被放在新产生的IP头部和以前的IP数据包之间，从而组成一个新的IP头部。7.2VPN协议7.2.2VPN的隧道协议3．IPSec协议(续)

IPSec的三个主要协议SA(SecurltyAssociation安全关联)。所谓安全关联是指安全服务与它服务的载体之间的一个“连接”。AH和ESP都需要使用SA，而IKE的主要功能就是SA的建立和维护。只要实现AH和ESP都必须提供对SA的支持。

1）ESP（EncapsulatingSecurityPayload）。ESP协议主要用来处理对IP数据包的加密。ESP是与具体的加密算法相独立的，几乎支持各种对称密钥加密算法，默认为3DES和DES。

2）AH(AuthenticationHeader)。AH只涉及到认证，不涉及到加密。3）IKE(InternetKeyExchange)。IKE协议主要是对密钥交换进行管理，它主要包括三个功能：①对使用的协议、加密算法和密钥进行协商；②方便的密钥交换机制(这可能需要周期性的进行)；③跟踪对以上这些约定的实施。负载安全封装（ESP）认证数据：一个变长字段，也叫IntegrityCheckValue，由SA初始化时指定的算法来计算。长度=整数倍32位比特下一头部：8比特，标识认证头后面的下一个负载类型填充字段：8比特，大多数加密加密算法要求输入数据包含整数各分组，因此需要填充负载数据：包含由下一头部字段给出的变长数据SPI：32比特，用于标识有相同IP地址和相同安全协议的不同SA。由SA的创建者定义，只有逻辑意义ESP认证ESP尾负载ESP头IP头填充（0~255字节）下一头部填充长度认证数据（变长的）负载数据（变长的）序列号安全参数索引（SPI）填充长度：8比特，给出前面填充字段的长度，置0时表示没有填充下一头部填充长度认证数据（变长的）填充（0~255字节）负载数据（变长的）序列号安全参数索引（SPI）32位ESP头部ESP尾部ESP认证数据加密的认证的序列号：32比特，一个单项递增的计数器，用于防止重放攻击，SA建立之初初始化为0，序列号不允许重复传输模式下的ESP工作原理Internet负载IP头部HostAHostBVPN网关VPN网关负载IP头部经过IPSec核心处理以后经过IPSec核心处理以后ESP认证ESP尾负载ESP头IP头加密数据认证数据ESP认证ESP尾负载ESP头IP头ESP认证ESP尾负载ESP头IP头加密数据认证数据通道模式下的ESP工作原理Internet负载IP头HostAHostBVPN网关1VPN网关2负载IP头经过IPSec核心处理以后经过IPSec核心处理以后SourceIP=VPN网关1DestinationIP=VPN网关2SourceIP=HostADestinationIP=HostB负载ESP认证ESP尾IP头ESP头新IP头负载ESP认证ESP尾IP头ESP头新IP头负载ESP认证ESP尾IP头ESP头新IP头认证头部（AH）保留负载长度认证数据（完整性校验值ICV）变长序列号安全参数索引（SPI）下一头部负载AH头部IP头部认证数据：一个变长字段，也叫IntegrityCheckValue，由SA初始化时指定的算法来计算。长度=整数倍32位比特保留负载长度认证数据（完整性校验值ICV）变长序列号安全参数索引（SPI）下一头部下一头部：8比特，标识认证头后面的下一个负载类型负载长度：8比特，表示以32比特为单位的AH头部长度减2，Default=4保留字段：16比特，保留将来使用，Default=0SPI：32比特，用于标识有相同IP地址和相同安全协议的不同SA。由SA的创建者定义，只有逻辑意义序列号：32比特，一个单项递增的计数器，用于防止重放攻击，SA建立之初初始化为0，序列号不允许重复32位传输模式下的AH认证工作原理Internet负载IP头部HostAHostBVPN网关VPN网关负载AH头部IP头部负载AH头部IP头部负载IP头部经过IPSec核心处理以后经过IPSec核心处理以后负载AH头部IP头部通道模式下的AH认证工作原理Internet负载IP头HostAHostBVPN网关1VPN网关2负载IP头经过IPSec核心处理以后经过IPSec核心处理以后负载IP头AH头新IP头负载IP头AH头新IP头负载IP头AH头新IP头SourceIP=VPN网关1DestinationIP=VPN网关2SourceIP=HostADestinationIP=HostB7.2VPN协议7.2.3IPSecVPN系统的组成

IPSecVPN的实现包含管理模块、密钥分配和生成模块、身份认证模块、数据加密/解密模块、数据分组封装/分解模块和加密函数库几部分组成。组合IPSec协议Internet负载IP头HostAHostBVPN网关1VPN网关2负载IP头经过IPSec核心处理以后经过IPSec核心处理以后SourceIP=VPN网关1DestinationIP=VPN网关2SourceIP=HostADestinationIP=HostB内IP头ESP尾负载ESP头AH头外IP头内IP头ESP尾负载ESP头AH头外IP头内IP头ESP尾负载ESP头AH头外IP头ESP认证ESP尾负载ESP头IP头为什么还要AH协议负载IP头部认证数据AH头部认证数据AH协议ESP协议身份认证数据加密数据完整性校验重放攻击保护身份认证数据完整性校验重放攻击保护ESP可以取代AH吗？7.3VPN的类型

VPN的分类方法比较多，实际使用中，需要通过客户端与服务器端的交互实现认证与隧道建立。基于二层、三层的VPN，都需要安装专门的客户端系统（硬件或软件），完成VPN相关的工作。一个VPN解决方案不仅仅是一个经过加密的隧道，它包含访问控制、认证、加密、隧道传输、路由选择、过滤、高可用性、服务质量以及管理VPN系统大体分为4类专用的VPN硬件支持VPN的硬件或软件防火墙VPN软件VPN服务提供商IPsec中AH与ESP安全协议

认证标头（AH）提供：1.

数据源鉴别认证

联合数据完整性保护及在发送接收端使用共享密钥来保证身份的真实性。2.

数据完整性保护通过对数据包长度进行单向散列算法计算进行保护，使用MD5或SHA-1算法。在AH的传输模式下，AH散列算法计算范围是整个数据包（包括IP报头）中在传输过程中不改变的所有域。AH包头被插入在IP报头之后，ESP报头（如果有）和其它高层协议之前。在AH的隧道模式下，AH散列算法计算整个原始数据包，并产生一个新的IP报头（新IP报头也在计算范围内，除易变字段）。AH包头被插入在新IP报头之后。3.

可选的防重放保护通过要求接收方在报头中设置重发比特位以表明包已被看到。封装安全净载（ESP）提供：1.私密性（加密）在IP层通过对数据包进行加密来提供私密性。缺省使用DES，Cisco还提供3DES加密。3DES加密强度是DES的2倍。在ESP传输模式下，只有IP净载被加密（不包括IP报头、ESP报头），ESP报头被插入在IP报头之后、上层协议报头之前。在ESP隧道模式下，整个IP数据包被加密（不包括ESP报头），并产生一个新的IP报头，ESP报头被插入在新IP报头之后。在ESP中，先进行加密后进行鉴别。（防止DOS攻击时更快）2.

有限的数据源鉴别认证联合数据完整性保护及在发送接收端使用共享密钥来保证身份的真实性。（只有在ESP的隧道模式下可以对加密后的IP报头进行鉴别）3.

数据完整性保护ESP通过可选的鉴别域来提供数据包鉴别服务（HMAC），使用MD5和SHA-1算法。在ESP传输模式下，散列算法计算范围是IP净载及ESP报头，IP报头不被鉴别。在ESP隧道模式下，散列算法计算范围是整个IP数据包及ESP报头，新IP报头不被鉴别。4.可选的防重放保护通过要求接收方在报头中设置重发比特位以表明包已被看到。7.3VPN的类型7.3.1按VPN的应用方式分类

VPN从应用的方式上分，有两种基本类型：拨号式VPN与专用式VPN。

拨号VPN分为两种：在用户PC机上或在服务提供商的网络访问服务器(NAS)上。

专用VPN有多种形式。IPVPN的发展促使骨干网建立VPN解决方案，形成了基于MPLS的IPVPN技术。MPLSVPN的优点是全网统一管理的能力很强，由于MPLSVPN是基于网络的，全部的VPN网络配置和VPN策略配置都在网络端完成，可以大大降低管理维护的开销。7.3VPN的类型7.3.2按VPN的应用平台分类

VPN的应用平台分为三类：软件平台、专用硬件平台及辅助硬件平台。

(1)软件平台VPN

当对数据连接速率要求不高，对性能和安全性需求不强时，可以利用一些软件公司所提供的完全基于软件的VPN产品来实现简单的VPN功能。

(2)专用硬件平台VPN

使用专用硬件平台的VPN设备可以满足企业和个人用户对提高数据安全及通信性能的需求，尤其是从通信性能的角度来看，指定的硬件平台可以完成数据加密及数据乱码等对CPU处理能力需求很高的功能。提供这些平台的硬件厂商比较多，如川大能士、Nortel、Cisco、3Com等。

(3)辅助硬件平台VPN

这类VPN介于软件平台和指定硬件平台之间，辅助硬件平台的VPN主要是指以现有网络设备为基础，再增添适当的VPN软件以实现VPN的功能。7.3VPN的类型7.3.3按VPN的协议分类

按VPN协议方面来分类主要是指构建VPN的隧道协议。VPN的隧道协议可分为第二层隧道协议、第三层隧道协议。第二层隧道协议最为典型的有PPTP、L2F、L2TP等，第三层隧道协议有GRE、IPSec等。

第二层隧道和第三层隧道的本质区别在于，在隧道里传输的用户数据包是被封装在哪一层的数据包中。第二层隧道协议和第三层隧道协议一般来说分别使用，但合理的运用两层协议，将具有更好的安全性。

7.3VPN的类型7.3.4按VPN的服务类型分类

根据服务类型，VPN业务按用户需求定义以下三种：InternetVPN、AccessVPN与ExtranetVPN。1）IntranetVPN（内部网VPN）。即企业的总部与分支机构间通过公网构筑的虚拟网。这种类型的连接带来的风险最小，因为公司通常认为他们的分支机构是可信的，并将它作为公司网络的扩展。内部网VPN的安全性取决于两个VPN服务器之间加密和验证手段上。7.3VPN的类型7.3.4按VPN的服务类型分类

2）AccessVPN（远程访问VPN）

又称为拨号VPN(即VPDN)，是指企业员工或企业的小分支机构通过公网远程拨号的方式构筑的虚拟网。典型的远程访问VPN是用户通过本地的信息服务提供商(ISP)登录到因特网上，并在现在的办公室和公司内部网之间建立一条加密信道。7.3VPN的类型7.3.4按VPN的服务类型分类

3）ExtranetVPN（外联网VPN）

即企业间发生收购、兼并或企业间建立战略联盟后，使不同企业网通过公网来构筑的虚拟网。它能保证包括TCP和UDP服务在内的各种应用服务的安全，如Email、HTTP、FTP、RealAudio、数据库的安全以及一些应用程序如Java、ActiveX的安全。7.3VPN的类型7.3.5按VPN的部署模式分类

VPN可以通过部署模式来区分，部署模式从本质上描述了VPN的通道是如何建立和终止的，一般有四种VPN部署模式。Host对HostHost对VPN网关VPN对VPN网关RemoteUser对VPN网关Host对HostHost对VPN网关VPN对VPN网关RemoteUser对VPN网关Internet公司BVPN网关AVPN网关B公司BHosttoHost模式：该模式要求两边主机都支持IPSecVPN网关可支持也可不支持IPSec安全通道安全通道安全通道主机必须支持IPSec主机必须支持IPSecGateway可支持也可不支持IPSecGateway可支持也可不支持IPSecHosttoHostHosttoHostInternet公司BVPN网关AVPN网关B公司BHosttoVPN模式：该模式要求一边的主机都支持IPSec另一边的VPN网关必须支持IPSec安全通道安全通道主机必须支持IPSec主机可以不支持IPSecGateway可支持也可不支持IPSecGateway必须支持IPSec非安全通道HosttoVPNHosttoVPNGatewayInternet公司BVPN网关AVPN网关B公司BVPNtoVPN模式：该模式不要求主机支持IPSec两边的VPN网关必须都支持IPSec非安全通道安全通道主机可以不支持IPSec主机可以不支持IPSecGateway必须支持IPSecGateway必须支持IPSec非安全通道VPNtoVPNVPNGatewaytoVPNGatewayInternet公司BISP接入服务器VPN网关B安全通道安全通道主机必须支持IPSecGateway必须支持IPSec非安全通道PSTNRemoteUsertoVPNGatewayInternetVPN网关B公司AAH4258ESP4259ESP5257AH5256SecurityProtocolDestinationAddressSPI5公司BSPD中的数据项类似于防火墙的配置规则45SourceAddress…………Others绕过、丢弃安全SecureService54DestinationAddress双方使用ISAKMP/Oakley密钥交换协议建立安全关联，产生或者刷新密钥内IP头ESP尾负载ESP头AH头外IP头负载IP头4SAD中包含每一个SA的参数信息，如算法、密钥等ESPAHESPAHSecurityProtocol……………………Others110001101010Key加密SHA-12583DESCBC259DESCBC4257加密MD5256AlgorithmSPI负载IP头VPN网关A查找SPD数据库决定为流入的IP数据提供那些安全服务查找对应SA的参数要求建立安全相应的关联对原有数据包进行相应的安全处理建立SAD建立相应的SA一个完整的VPN工作原理图7.4SSLVPN简介

SSLVPN使用SSL和代理技术，向终端用户提供对超文本传送协议（HTTP）、客户/服务器和文件共享等应用授权安全访问的一种远程访问技术，因此不需要安装专门客户端软件。SSL协议是在网络传输层上提供的基于RSA加密算法和保密密钥的用于浏览器与Web服务器之间的安全连接技术。

SSLVPN部署和管理费用低，在安全性和为用户提供更多便利性方面，明显优于传统IPSecVPN。SSLVPN是建立用户和服务器之间的一条专用通道，在这条通道中传输的数据是不公开的数据，因此必须要在安全的前提下进行远程连接。

SSLVPN其安全性包含三层含义：一是客户端接入的安全性；二是数据传输的安全性；三是内部资源访问的安全性。SSLVPN支持Web应用的远程连接，包括基于TCP协议的B/S和C/S应用，UDP应用。SSLVPN的关键技术有代理和转发技术、访问控制、身份验证、审计日志。7.4.1SSLVPN的安全技术1．信息传输安全

1）通过浏览器对任何Internet可以连接的地方到远程应用或数据间的所有通信进行即时的SSL加密。

2）安全客户端检测，有效保护您的网络免受特洛伊、病毒、蠕虫或黑客的攻击。含防火墙、反病毒防护、Windows升级、Windows服务、文件数字签名、管理员选择注册表、IP地址等多方面的检测功能。2．用户认证与授权

1）认证。谁被允许登录系统，在远程用户被允许登录前进行身份确认。包括标准的用户名＋密码方式、智能卡、RSA，还可使用CA证书。

2）授权。按角色划分的权限访问应用程序、数据和其他一些资源，在服务器端通过划分组、角色和应用程序进行集中管理。

3）审计。随时了解用户做了什么访问。对每位用户的活动进行追踪、监视并记录日志。7.4SSLVPN简介7.4.2SSLVPN的功能与特点1．SSLVPN的基本功能

SSLVPN是一款专门针对B/S和C/S应用的SSLVPN产品，具有以下完善实用的功能：

1）提供了基于SSL协议和数字证书的强身份认证和安全传输通道。

2）提供了先进的基于URL的访问控制。

3）提供了SSL硬件加速的处理和后端应用服务的负载平衡。

4）提供了基于加固的系统平台和IDS技术的安全功能。7.4SSLVPN简介2．SSLVPN系统协议

由SSL、HTTPS、SOCKS这3个协议相互协作共同实现。3．SSLVPN的特点

1）安装简单、易于操作，无需安装客户端软件。

2）具有认证加密、访问控制、安全信息备份、负载平衡等功能。

3）使用标准的HTTPS协议传输数据，可以穿越防火墙，不存在地址转换的问题，而且不改变用户网络结构，适合复杂应用环境。

7.4.3SSLVPN的工作原理SSLVPN的工作原理可用以下几个步骤来描述：

1）SSLVPN生成自己的根证书和服务器操作证书。

2）客户端浏览器下载并导入SSLVPN的根证书。

3）通过管理界面对后端网站服务器设置访问控制。

4）客户端通过浏览器使用HTTPS协议访问网站时，SSLVPN接受请求，客户端实现对SSLVPN服务器的认证。

5）服务器端通过口令方式认证客户端。

6）客户端浏览器和SSLVPN服务器端之间所有通信建立了SSL安全通道。7.4SSLVPN简介7.4.4SSLVPN的应用模式及特点

SSLVPN的解决方案包括三种模式：◆Web浏览器模式◆SSLVPN客户端模式◆LAN到LAN模式

WEB浏览器模式是SSLVPN的最大优势，它充分利用了当前Web浏览器的内置功能，来保护远程接入的安全，配置和使用都非常方便。SSLVPN已逐渐成为远程接入的主要手段之一。7.4SSLVPN简介7.4.4SSLVPN的应用模式及特点7.4SSLVPN简介1．Web浏览器模式的解决方案由于Web浏览器的广泛部署，而且Web浏览器内置了SSL协议，使得SSLVPN在这种模式下只要在SSLVPN服务器上集中配置安全策略，几乎不用为客户端做什么配置就可使用，大大减少了管理的工作量，方便用户的使用。缺点是仅能保护Web通信传输安全。远程计算机使用Web浏览器通过SSLVPN服务器来访问企业内部网中的资源。

这种模式目前已广泛使用于校园网、电子政务网中!7.4.4SSLVPN的应用模式及特点7.4SSLVPN简介2．SSLVPN客户端模式的解决方案SSLVPN客户端模式为远程访问提供安全保护，用户需要在客户端安装一个客户端软件，并做一些简单的配置即可使用，不需对系统做改动。这种模式的优点是支持所有建立在TCP/IP和UDP/IP上的应用通信传输的安全，Web浏览器也可以在这种模式下正常工作。这种模式的缺点是客户端需要额外的开销。

7.4.4SSLVPN的应用模式及特点7.4SSLVPN简介3．LAN到LAN模式的解决方案LAN到LAN模式对LAN（局域网）与LAN（局域网）间的通信传输进行安全保护。与基于IPSec协议的LAN到LAN的VPN相比，它的优点就是拥有更多的访问控制的方式,缺点是仅能保护应用数据的安全，并且性能较低。

7.5VPN的具体应用用VPN连接分支机构用VPN连接业务伙伴用VPN连接远程用户7.5.1用VPN连接分支机构Internet分支机构VPN网关AVPN网关B总部通道只需定义在两边的网关上Gateway必须支持IPSecGateway必须支持IPSec数据在这一段是认证的数据在这一段是加密的ISPISP7.5.2用VPN连接合作伙伴Internet业务伙伴VPN网关AVPN网关B公司A主机必须支持IPSec主机必须支持IPSec通道建立在两边的主机之间，因为业务伙伴内的主机不是都可以信任的数据在这一段是加密的数据在这一段是认证的数据在这一段是认证的数据在这一段是加密的数据在这一段是认证的数据在这一段是加密的ISPISP7.5.3用VPN连接远程用户Internet公司BISP接入服务器VPN网关B主机必须支持IPSecGateway必须支持IPSecPSTN数据在这一段是加密的数据在这一段是认证的数据在这一段是加密的数据在这一段是认证的通道建立在移动用户与公司内部网的网关处7.6.1能士NesecSVPN的解决方案7.6应用案例某系统网络已建设完成，但因国家-省-市地-区县四级网络采用