2022年《网络测试与故障诊断》一体化教案——VPN安全技术.pdf

《2022年《网络测试与故障诊断》一体化教案——VPN安全技术.pdf》由会员分享，可在线阅读，更多相关《2022年《网络测试与故障诊断》一体化教案——VPN安全技术.pdf（18页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。

1、网络测试与故障诊断一体化教案VPN安全技术广东新里程旅游技工学校教 案 首 页课程名称网络测试与故障诊断项目课题VPN安全技术课型讲座授课班级12 计算机授课时间2015、3、21 课时2小时 30分授课教师学习目标知识目标理解 VPN 的安全性 ; 熟悉路由器端连接VPN, 防火墙端连接 VPN,专业设备连接 VPN;掌握构建虚拟专用网VPN 技能目标通过学习 , 学生学会构建虚拟专用网VPN 。情感目标通过学习培养学生计算机网络的兴趣。教学重点构建虚拟专用网 VPN教学难点路由器端连接 VPN,防火墙端连接 VPN,专业设备连接 VPN教学场景多媒体教学系统教学方法教授法 ,课文引导、结合

2、实例分析、习题练习,讲解教学教学回顾教 案 内 页精品资料 - - - 欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - - - - - - - - -第 1 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教学环节及时间分配教学过程 (教学内容与教学方法 ) 教学设计 : 让同学讨论回 答 ,并 抽取同学回答教师点评并归 纳 出 答案 ,最 后 简单分析。通 过 设 疑 ,吸引学生的注 意 力 , 激发 学 习 兴趣。学生回答操作方法【组织教学】 (约 3 分钟):整顿纪律 , 考勤, 填写教学日志 , 检查

3、课本与练习本的准备情况【复习旧课】 (约 5 分钟) 1 复习提问 : 在一台交换机上划分两个Vlan(Vlan2,Vlan3) 2. 参考答案给两台交换机划分vlan, 步骤如下 : 【新课导入】 (约 2 分钟)企业构建安全局域网后 , 如何才能实现在互联网中也能安全联网？“VPN安全技术”导入精品资料 - - - 欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - - - - - - - - -第 2 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教 案 内 页教学环节及时间分配教学过程 (教学内容与教学

4、方法 ) 课 件 演 示 ,讲 解VPN技 术 的 概念【讲授新课】一、VPN技术(约 15 分钟)( 一)VPN技术的介绍 :在网络互联世界中 , 企业为了各站点之间能够安全地传输数据, 往往选择从通信厂商处租用昂贵的专有链路来进行传送。为了降低成本, 我们可以在现有的Internet结构基础与其她用户共享通信链路上进行数据传输, 但同时如何保证数据传输的安全就成了最重要的问题。其中一种有效的解决方案就就是构建虚拟专用网 VPN 。( 二)VPN概述VPN就是将不同物理位置的组织与个人通过已有的公共网络建立一条点到点的虚拟链路 , 模拟专用网进行安全数据通信的网络技术, 其基本原理就是通过一

5、定的技术将互联网上每个VPN 用户的数据与其她数据加以区别, 避免未经授权的访问 , 从而确保数据的安全。 通过利用共享的公共网络设施实现VPN, 能够以极低的费用为远程用户提供性能与专用网络相媲美的保密通信服务。隧道技术隧道技术就是目前构建VPN 的基本方式。隧道技术就是指把一种类型的报文封装在另一种报文中在网络上进行传输, 如图所示。两个网络通过 VPN接入设备的一个端口 , 即一个 VPN端点, 建立的虚拟链路就叫隧道。发送给远程网络的数据要进行一定的封装处理 , 从发送方网络的一个VPN 端点进入 VPN, 经相关隧道穿越VPN( 物理上穿越不安全的互联网), 到达接收方、教 案 内

6、页精品资料 - - - 欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - - - - - - - - -第 3 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教学环节及时间分配教学过程 (教学内容与教学方法 ) 详细分析VPN隧道模式 , 来 突 出VPN技术的重要作用网络的另一个 VPN 端点, 再经过解封装处理 , 便得到原始数据 , 并且把加密后的原始数据发给目的主机。封装的数据在传送中, 不仅遵循指定的路径 , 避免经过不信任的节点而到达未授权接收方, 而且封装处理使得传送的中间节点不必也不会解析原始

7、数据 , 这在一定程度上防止了数据泄密。对主机来说, 不管就是发送主机还就是接收主机, 都不知道数据曾经被封装过, 也不知道数据就是在Internet网络上进行传输的 , 它只需要提供要传输的数据, 而不需要特殊的软件或配置 , 所有传送过程都由VPN设备来处理。仅仅通过隧道技术还不能建立适合所有安全要求的VPN,因为一般的隧道技术只能够满足在单个运营商网络上进行数据安全传输的需求。用户数据要跨越多个运营商网络时 , 在两个独立网络节点的封装数据要先解封处理后再封装, 可能在此过程中造成信息泄漏, 因此, 必须结合加密技术与密钥管理等精品资料 - - - 欢迎下载 - - - - - - -

8、- - - - 欢迎下载 名师归纳 - - - - - - - - - -第 4 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教 案 内 页教学环节及时间分配教学过程 (教学内容与教学方法 ) 具体分析VPN 的优点技术保证数据传输的机密性。同时,身份认证及访问控制等技术可以支持远程接入或动态建立隧道的VPN,通过对访问者身份的确认及对其访问资源的控制来保证信息安全。 所以 VPN 通信具有与专用网同等的通信安全性。VPN 的简单通信过程如下 : (1)客户机向 VPN 服务器发出请求。(2)VPN 服务器响应请求 ,并要求客户进行身份认

9、证。(3)客户机将机密的用户身份认证响应信息发给服务器。(4)VPN 服务器收到客户的认证响应信息,确认该帐户就是否有效 ,就是否具有远程访问权限。如果有访问权限,则接收此连接。(5)VPN 服务器利用在认证过程中产生的客户机与服务器的公有密钥对数据进行加密,然后通过 VPN 隧道技术进行封装、加密、传输到目的内部网络。总之,VPN 可以通过隧道技术、密码技术、身份认证及访问控制技术等在共享的互联网上实现低成本的安全数据传输。二、VPN 的优点 (约 10 分钟)VPN 的优点如下 : 1)费用低廉这就是使用 VPN的最主要的好处。通过使用VPN,我们可以在公共网络上尽可能安全地传输数据, 而

10、不需要再租用专线来组网。并且 , 多数 VPN都可以提供可靠的远程拨号服务, 如此便减少了管理、维护与操作拨号网络的人力成本, 节约了相关费用。2)安全可靠 VPN为数据安全传输提供了许多安全保证, 可以保证传输数据的机密性、完整性与对发送/ 接收者的认证。精品资料 - - - 欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - - - - - - - - -第 5 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教 案 内 页教学环节及时间分配教学过程 (教学内容与教学方法 ) 具体分析VPN 的缺点3) 部署

11、简单 VPN使用的就是已有的基础设施, 因此可以利用现有的基础设施快速建立VPN,从而降低工作量 , 节省时间 , 减少施工费用三、 VPN的缺点 (约 10 分钟)VPN 有如上所述的许多优点 , 但同时也有一些缺点 : 1)增加了处理开销为了保证数据传输安全 , 通常对传输的每一个报文都进行加密, 如此便增加了 VPN处理压力。虽然可以采取硬件技术来解决, 但同时也增加了构建VPN的成本。同时 , 由于 VPN对发送的报文进行了封装, 或者在原始报文上增加额外报文信息, 这些都增加了处理开销 , 对网络性能构成一定的影响。2)实现问题由于现有的网络基础情况一般比较复杂, 因此 VPN在设计

12、的时候必须考虑到实现的问题 , 包括 VPN通过、网络地址转换最大传输单元大小等问题。3)故障诊断与控制问题由于 VPN上传输的数据都进行了封装处理, 真实数据只能等解封后才能瞧见, 因此一旦发生故障 , 很难进行诊断。同时 , 如果远程用户通过 VPN接入的话 ,必须要考虑对其实施控制。 因为此时的远程接入客户作为进入网络的入口, 由于其自身主机的安全问题 , 可能会带来安全隐患。 并且,VPN毕竟就是构建在公共基础设施上 , 而一旦这些基础设施出现问题则会导致Internet服务故障 , 从而使VPN 的通信出现问题。教 案 内 页精品资料 - - - 欢迎下载 - - - - - - -

13、 - - - - 欢迎下载 名师归纳 - - - - - - - - - -第 6 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教学环节及时间分配教学过程 (教学内容与教学方法 ) 详细分析VPN隧道协议四、VPN 隧道协议 (约 50 分钟) ( 一) 按照用户数据就是在网络协议栈的第几层被封装, 即隧道协议就是工作在第二层数据链路层、 第三层网络层 , 还就是第四层应用层, 可以将 VPN 协议划分成第二层隧道协议、第三层隧道协议与第四层隧道协议。1） 第二层隧道协议 : 主要包括点到点隧道协议 (PPTP)、第二层转发协议 (L2F

14、), 第二层隧道协议(L2TP)、多协议标记交换 (MPLS) 等, 主要应用于构建接入VPN 。2） 第三层隧道协议 : 主要包括通用路由封装协议(GRE)与 IPSec, 它主要应用于构建内联网VPN与外联网 VPN 。3） 第四层隧道协议 : 如 SSL VPN 。SSL VPN与 IPSec VPN都就是实现 VPN的两大实现技术。 其中,IPSec VPN 工作在网络层 , 因此与上层的应用程序无关。采用隧道运行模式的IPSec 对原始的 IP 数据包进行封装 , 从而隐藏了所有的应用协议信息因此可以实现各种应用类型的一对多的连接, 如 Web 、电子邮 件、文件传输、 VoIP 等

15、连接。与 SSL相比,IPSec 只在一个客户程序与远程VPN 网关或主机之间建立一条连接, 所有应用程序的流量都通过该连接建立的隧道进行传输。而SSL VPN工作在应用层 ,对每一个附加的应用程序都不得不建立额外的连接与隧道。不过,SSL 除了具备与 IPSec VPN相当的安全性外 , 还增加了访问控制机制。而且客户端只需要拥有支持 SSL的浏览器即可 , 配置方便 , 使用简单 , 非常适合远程用户访问企业内部网。因此 , 现在第四层隧道协议最著名的便就是SSL 。教 案 内 页精品资料 - - - 欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - - -

16、 - - - - - -第 7 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教学环节及时间分配教学过程 (教学内容与教学方法 ) ( 二) PPTP 在了解点到点隧道协议 (PPTP)协议之前 , 必须先要了解 PPP与 GRE 两个协议。1) 点到点协议 (PPP) PPP协议主要就是为通过拨号或专线方式建立点对点连接的同等单元之间传输数据包而设计的链路层协议。 PPP协议将 IP、IPX 与 NETBEUI 包封装在 PPP帧内通过点对点的链路发送 , 主要应用于拨号连接用户与NAS 。2)GRE协议 GRE 协议由 Cisco 与

17、NetSmiths 等公司提交给 IETF的数据封装协议 , 它规定了如何用一种网络协议去封装另一种网络协议的方法, 由 RFC1701 与 RFC1702 详细定义。目前多数厂商的网络设备均支持GRE 隧道协议。 GRE 协议允许用户使用 IP 包封装 IP、 IPX、 AppleTalk 包, 并支持全部的路由协议 (如 RIP2、 OSPF 等)。不过,GRE协议只提供了数据包封装功能而没有加密功能, 所以在实际环境中为了保证用户数据安全 ,GRE协议经常与 IPSec结合使用 , 由 IPSec 提供用户数据的加密。 PPTP就是由微软、 Ascend、3COM 等公司支持的基于IP

18、的点对点隧道协议 ,它采用隧道技术 , 使用 IP 数据包通过 Internet传送 PPP数据帧 , 在 RFC2367 中有详细定义。该协议使用两种不同类型的数据包来管理隧道与发送数据包。PPTP通过 TCP端口 1723 建立 TCP连接并发送与接收所有控制命令。对于数据传输,PPTP先使用 PPP封装, 再将 PPP封装到一个 IP 类型为 47的 GRE 数据包中 ,最后 GRE 数据包再被封装到一个IP 数据包中通过隧道传输。如图所示。 PPTP协议的实现由 PPTP 接入集中器 (PAC)与 PPTP 网络服务器 (PNS)来分别执行, 从而实现因特网上的VPN 。 其中,ISP

19、 的 NAS将执行 PPTP协议中指定的 PAC的功能 , 企业 VPN中心服务器将执行PNS的功能。精品资料 - - - 欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - - - - - - - - -第 8 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教 案 内 页教学环节及时间分配教学过程 (教学内容与教学方法 ) 如图所示 , 远程拨号用户 ( 如远程用户 1) 首先采用拨号方式接入到ISPNAS(PAC)建立 PPP连接, 然后接入 Internet通过企业 VPN 服务器 (PNS)访问企业的网

20、络与应用, 而不再直接拨号至企业的网络。这样, 由 GRE 将 PPP报文封装成的 IP 报文就可以在 PAC-PNS 之间经由因特网传递 , 即在 PAC与 PNS之间为用户的 PPP会话建立了一条 PPTP隧道( 如 PPTP隧道 1)。由于所有的通信都将在IP 包内通过隧道 , 因此 PAC只起着通过 PPP连接进因特网的入口点的作用。对于直接连接到Internet上的客户 (如远程用户 2), 可以直接与企业 VPN服务器建立虚拟通道 (如 PPTP 隧道 2)而不需要与 ISP 建立 PPP连接。教 案 内 页精品资料 - - - 欢迎下载 - - - - - - - - - - -

21、 欢迎下载 名师归纳 - - - - - - - - - -第 9 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教学环节及时间分配教学过程 (教学内容与教学方法 ) 3)PPTP具有两种不同的工作模式, 即被动模式与主动模式。被动模式的 PPTP:ISP为用户提供其拨号连接到ISP 过程中所有的服务与帮助, 而客户端则不需要安装任何与PPTP相关的软件。此模式的好处就是降低了对客户的要求 , 缺点就是限制了客户对因特网其她部分的访问。主动模式的 PPTP: 由客户建立一个与企业网络服务器直接连接的PPTP 隧道,ISP 只提供透明的传输通

22、道而并不参与隧道的建立。此模式的优点就是客户拥有对 PPTP 的绝对控制 , 缺点就是对用户的要求较高, 并需要在客户端安装支持PPTP 的相应软件。如图从安全性上来说 , 对于加密 ,PPTP使用 Microsoft点对点加密算法 (MPPE),采用 RC4加密程序。对于认证 ,PPTP使用 Microsoft挑战握手认证协议(MS-CHAP) 、口令认证协议 (PAP)、挑战握手认证协议 (CHAP) 或扩展认证协议(EAP)来实现用户认证功能。 但就是 , 由于 MS-CHAP 就是不安全的 , 因此大都认为PPTP 不安全。后来,Microsoft在 PPTP实现中采用了 MS-CHA

23、P V2,解决了其存在的安全问题。教 案 内 页精品资料 - - - 欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - - - - - - - - -第 10 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教学环节及时间分配教学过程 (教学内容与教学方法 ) 详 细 介 绍 第二 层 隧 道 协议(L2TP)四、 L2TP (约 20 分钟)第二层隧道协议 (L2TP)就是 IETF 起草, 微软、Cisco、3COM 等公司参与的协议, 在 RFC 2661中对其进行了详细定义。该协议由PPTP与二层转发协

24、议 (L2F)的融合而形成 , 结合了两个协议的优点 , 就是目前 IETF 的标准。其中,L2F 就是由Cisco 公司提出的 , 可以在多种传输网络 (如 ATM 、帧中继、 IP 网) 上建立多协议的安全虚拟专用网的通信方式, 主要用于 Cisco 的路由器与拨号访问服务器, 能够将链路层的协议 (HDLC 、PPP等)封装起来传送。与 PPTP一样,L2TP 通过对数据加密与对目的地址加密隐藏, 在 Internet网络上建立隧道 , 从而创建一种安全的连接来传送信息。 L2TP消息可以分为两种类型, 一种就是控制信息 , 另一种就是数据信息。 控制信息用于隧道与呼叫的建立、维护与清除

25、。数据信息用于封装隧道传输的PPP数据帧。控制信息利用L2TP内部可靠的控制通道来保证传输, 而数据信息一旦数据包丢失则不再重传。如图所示。L2TP在 IP 网络上的隧道控制信息以及数据使用相类似, 通过 UDP 的 1701端口承载于 TCP/IP 之上进行传输。精品资料 - - - 欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - - - - - - - - -第 11 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教 案 内 页教学环节及时间分配教学过程 (教学内容与教学方法 ) 教 案 内 页精品资料

26、 - - - 欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - - - - - - - - -第 12 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教学环节及时间分配教学过程 (教学内容与教学方法 ) 叙述 L2TP 的建立过程分析 L2TP 协议的特性与 PPTP类似,L2TP 协议的实现也由两个设备来执行:一个就是 L2TP 访问集中器(LAC), 另一个就是 L2TP 网络服务器 (LNS)。L2TP 将隧道连接定义为一个LNS与 LAC 对,其中 LAC 用于发起呼叫、接收呼叫与建立隧道,而 LNS

27、 就是远程系统通过 L2TP 建立的隧道传送 PPP会话的逻辑终点。如图所示。1、 L2TP 的建立过程(1)远程用户通过 PSTN或 ISDN 拨号至本地接入服务器LAC(LAC 就是连接的终点); (2)LAC 接收呼叫 ,认证用户就是否合法 ,通过 Internet、帧中继或 ATM 网络建立一个通向内部网 (Home LAN)LNS 的 VPN 隧道; (3)在隧道上传输 PPP数据到达内部网络。在以上过程中 ,内部网提供地址分配、认证、计费等管理。LAC 客户端 (运行 L2TP 的主机 )可以直接接入内部网而不需要另外的LAC。在这种情况下 ,包含 LAC 客户端软件的主机必须已经

28、连接到公网上,然后建立一个“虚拟”PPP连接,使主机 L2TP LAC 客户端与 LNS 之间建立一个隧道。其地址分配、认证、授权与计费都由目标网络的管理域提供。LAC 与 LNS 功能一般由为用户通过 PSTN/ISDN 拨入网络提供服务的网络接入服务器NAS 提供。2、 L2TP 协议的特性(1)扩展性。为了在互通的基础上具有最大化扩展性,L2TP 使用了统一的格式来对消息类型与主体进行编码,用 AVP 值对来表示。(2)可靠性。 L2TP 在控制信息的传输过程中,应用消息丢失重传与定时检测通道连通性等机制来保证传输的可靠性。而其数据消息的传输由于不采用重传机制,所以它无法保证传输的可靠性

29、,但这一点可以通过上层协议如TCP 等得到保证。另外,L2TP 在所有的控制信息中都采用序号来保证可靠传输,而数据信息可用序号来进行数据包的重排或用来检测丢失的数据包。(3)身份认证及保密性。 L2TP 继承了 PPP 的所有安全特性 ,不仅可以选择多种身份认证机制 (CHAP、PAP 等),还可以对隧道端点进行认证。L2TP 定义了控制包的加密传输 ,对每个隧道生成一个独一无二的随机密钥,以抵御欺骗性的攻击,但就是它对传输中的数据不加密。根据特定的网络安全要求可以方便地在L2TP 之上采用隧道加密、 端对端数据加密或应用层数据加密等方案来提高数据的安全性。教 案 内 页精品资料 - - -

30、欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - - - - - - - - -第 13 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教学环节及时间分配教学过程 (教学内容与教学方法 ) 通过比较L2TP与PPTP 的区别 ,让 同 学 更 加了解 VPN 技术五、L2TP与 PPTP 的区别 (约 30 分钟 ) 虽然 L2TP就是由 PPTP发展起来的 , 都使用 PPP协议对数据进行封装 , 然后添加附加报头用于数据在互联网络上的传输, 但两者间仍有一定的区别 : (1) 从网络运行环境上来瞧 ,PP

31、TP要求互联网络为IP 网络, 而 L2TP可以在 IP、帧中继、 ATM 等网络上使用。(2) 从建立隧道的模式来瞧 ,PPTP只能在两端点间建立单一隧道, 而 L2TP支持在两端点间使用多隧道。因此, 用户可以针对不同的服务质量使用L2TP 创建不同的隧道。(3)从认证方式来瞧 ,L2TP 可以提供隧道认证 ,而 PPTP 则不支持隧道认证。但就是当 L2TP 或 PPTP与 IPSec共同使用时 ,可以由 IPSec提供隧道验证 ,而不需要在第二层协议上验证隧道。(4)从数据包传输效率来瞧 ,L2TP合并了控制通道与数据通道,使用 UDP协议来传输所有信息 ,因此,相对采用 TCP 协议

32、传输数据的PPTP来说,效率更高 ,更容易通过防火墙。另一方面 ,PPTP支持通过 NAT 防火墙的操作 ,而 L2TP 则不能支持1、MPLS 多协议标记交换 (MPLS)吸收了 ATM 的 VPI/VCI 交换思想 ,无缝集成了 IP 路由技术的灵活性与两层交换的简捷性,在面向无连接的 IP网络中增加了 MPLS 这种面向连接的属性。 通过采用 MPLS 建立“虚连接” 的方法 ,为 IP 网增加了一些管理与运营的手段。随着网络技术的迅速发展,MPLS 应用也逐步转向MPLS 流量工程与 MPLS VPN 等应用。MPLS 的主要原理就是为每个IP数据包提供一个标记 ,并由此标记决定数据包

33、的路径以及优先级 ,使与 MPLS 兼容的路由器在将数据包转送到其路径之前,只需读取数据包标记 ,而无需读取每个数据包的IP 地址与标头 ,然后将所传送的数据包置于帧中继或ATM 的虚拟电路上 ,从而将数据包快速传送至终点路由器,减少了数据包的延迟 ,增加了网络传输的速度。同时由帧中继及ATM 交换器所提供的服务质量 (QoS)对所传送的数据包加以分级,因而大幅提升网络服务品质及提供更多样化的服务。因此,MPLS 技术适合用于远程互联的大中型企业专用网络等对 QoS、服务级别 (CoS)、网络带宽、可靠性等要求高的VPN 业务。精品资料 - - - 欢迎下载 - - - - - - - - -

34、 - - 欢迎下载 名师归纳 - - - - - - - - - -第 14 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教 案 内 页教学环节及时间分配教学过程 (教学内容与教学方法 ) 详细分析VPN 的集成路 由 器 集 成VPN2、VPN集成 VPN在网络中的集成有很多方式, 最常见的有路由器集成VPN 、防火墙集成VPN 与专用 VPN 设备在三种方式。1)路由器集成 VPN 现在一些路由器中已经配备了VPN模块, 即路由器集成VPN,如下图所示。边缘路由器上集成VPN,访问过程如下 : 远程用户建立 VPN到路由器。路由器将请

35、求转发给NAS 。NAS认证远程用户就是否合法,若合法 ,则授权用户访问外部网。路由器集成VPN 的设备仅适合小型网络而不适合大型网络,因为路由器本身的性能有限 ,若再加上加密 /解密 VPN 信息带来的负担 ,则会使路由器超负荷。因此,一般对企业用户来说 ,路由器集成 VPN 并不就是一个很好的选取择。教 案 内 页精品资料 - - - 欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - - - - - - - - -第 15 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教学环节及时间分配教学过程 (教学内

36、容与教学方法 ) 防 火 墙 集 成VPN2)防火墙集成 VPN 防火墙集成 VPN就是应用广泛的模式 , 许多厂家的防火墙产品都具有VPN功能。由于防火墙本身具备较完善的记录功能, 因此, 在此基础上增加VPN记录不会给防火墙带来太大的额外负担。另外, 防火墙也就是网络的入口点, 在此增加VPN 功能将使用户能够访问网络而不用开放防火墙规则, 以免增加安全漏洞。防火墙集成 VPN如图所示。防火墙集成 VPN访问过程与路由器集成VPN类似: 远程用户建立 VPN到防火墙防火墙将认证请求转发给NAS 。NAS认证远程用户就是否合法, 若合法 , 则防火墙授权用户访问内部网。防火墙集成 VPN 的

37、模式可以获得设备中由防火墙部件提供的健壮的访问控制功能 ,给网络管理员提供了更多的控制权,使用户能够访问的网络资源部分被限定。但与路由器集成 VPN 一样,处理 VPN 加密/解密信息需要占用大量系统资源,如果防火墙本身负荷已经很重,则不适合选择此种模式。而且,防火墙集成VPN 方案还有一个缺陷 ,就就是在优化配置虚拟网与防火墙部件方面,选择余地非常小 ,因为最适合业务需要的防火墙产品可能与虚拟专用网不匹配。同时,集成方案还会使 VPN 与防火墙部件限制在一套系统上,使得配置方案不灵活。精品资料 - - - 欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - -

38、- - - - - - -第 16 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教 案 内 页教学环节及时间分配教学过程 (教学内容与教学方法 ) 专业 VPN 设备3)专用 VPN设备专用 VPN 设备最主要的优点就就是减轻了路由器与防火墙管理VPN 的负担,即使有再多的连接甚至过载,也不会影响网络的其她部分。专用VPN 设备的另一个优点就是增强了VPN 访问的安全性 ,即使 VPN 被攻破 ,也可以使攻击者引起的破坏降低到最低 ,相比路由器与防火墙集成VPN 而言,增强了网络安全性。专用 VPN 设备如图所示。专用 VPN 设备访问过

39、程如下 : ?远程用户建立 VPN 到专用设备。?专用设备处理用户认证请求,或将请求转发给NAS ?如果认证成功 ,则授权用户访问内部网,并且管理员还能够限定用户访问网络的哪部分资源。专用 VPN 设备与防火墙的组合主要有三种结构: 1)VPN 设备在非军事区内 ,位于防火墙与路由器之间此种模式最大的问题就就是网络地址转换 (NAT)。例如 ,用户发出的报文使用了IPSec的 AH 进行认证 ,在报文到达目标网络虚拟网设备时,由于还没通过防火墙进行地址转换, 精品资料 - - - 欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - - - - - - - - -第

40、 17 页，共 18 页 - - - - - - - - - - 网络测试与故障诊断一体化教案VPN安全技术教 案 内 页教学环节及时间分配教学过程 (教学内容与教学方法 ) 与 学 生 一 起回顾知识点。因此不能通过目标网络VPN 的完整性校验。这就是因为在发送端的NAT设备在对报文处理时修改了报文的源地址,从而导致接收端的VPN 连接不能通过消息摘要认证。2)VPN 设备在防火墙之后 ,位于屏蔽子网或网络内部此种模式的问题就是地址管理,有些虚拟专用网规范要求给虚拟专用网设备配置一个合法的 IP地址,如果 IP 地址被 NAT 地址改定后 ,可能会引起 IPSec的 IKE 阶段失败。3)V

41、PN 设备在防火墙之前 ,更靠近 Internet 一些,此种模式要以避免潜在的网络地址转换与地址管理上出现的问题,但由于不能得到防火墙的保护,如果 VPN 端点的系统受到损害 ,可能使攻击者访问到应该受VPN 保护的信息。总之,专用 VPN 设备为稳固与可升级方案的实现提供了很好的解决方法,而且不影响网络的其她部分 ,具备许多优点。但就是专用VPN 也有一些缺点 ,因为它就是额外的网络设备 ,所以也需要对它进行管理与监控。 另外,VPN 设备及软件的管理与漏洞也要加强防范 ,同时还要防止由于在防火墙中要通过VPN 而创建的连接可能引起的安全问题。 最后,专用 VPN 设备的使用也会使网络成本提高。 因此 ,选择哪一种VPN 端接方式需要对所有的方案及网络潜在流量进行彻底的评估,才能找到最适合的解决方案。【教学小结】 (约 3 分钟) 1、 构建虚拟专用网 VPN ; 2、 路由器端连接 VPN; 3、 防火墙端连接 VPN; 4、 专业设备连接 VPN; 【作业布置】 (约 2 分钟)1. 构建一个路由器端连接VPN。2.预习下次课的内容。审核: 年月日精品资料 - - - 欢迎下载 - - - - - - - - - - - 欢迎下载 名师归纳 - - - - - - - - - -第 18 页，共 18 页 - - - - - - - - - -