VPN虚拟专用网毕业论文.docx
《VPN虚拟专用网毕业论文.docx》由会员分享，可在线阅读，更多相关《VPN虚拟专用网毕业论文.docx（28页珍藏版）》请在冰豆网上搜索。
VPN虚拟专用网毕业论文
毕业设计〔论文〕诚信声明书
本人郑重声明：
在毕业设计〔论文〕工作中严格遵守学校有关规定，恪守学术标准；我所提交的毕业设计〔论文〕是本人在指导教师的指导下独立研究、撰写的成果，设计〔论文〕中所引用他人的文字、研究成果，均已在设计〔论文〕中加以说明；在本人的毕业设计〔论文〕中未剽窃、抄袭他人的学术观点、思想和成果，未篡改实验数据。
本设计〔论文〕和资料假设有不实之处，本人愿承当一切相关责任。
学生签名：
年月日
摘要
本文首先介绍了VPN的定义和研究意义，接着介绍了实现VPN的关键技术〔包括隧道技术,加解密认证技术，密钥管理技术，访问控制技术〕以及实现VPN的主要平安协议，PPTP/L2TP协议、IPSec协议，为VPN组网提供了理论指导。
最后通过构建中小企业的虚拟专用网，全面介绍了在Windowsserver2003ISA2004环境下站点到站点和站点到客户端的VPN的配置，为企业的VPN构建提供参考和借鉴。
关键词：
隧道，L2TP，PPTP，IPSec
Abstract
ThispaperfirstintroducesthedefinitionofVPNanditsstudyimplications.AndthenintroducesthekeytechnologiesforimplementingaVPNwhichincludestheTunneltechnologyanditsmainsecureprotocols,PPTP/L2TPprotocol,IPSECprotocol,SOCKSv5protocol,AllthesetechnologiesprovidethetheoreticalbasesforbuildingaVPNnetwork.Finally,byconstructinganenterprisevirtualprivatenetwork,IintroducedtheconfigurationofsitetositeandsitetoclientVPNundertheWindowsserver2003ISA2004environment,itprovidesthereferentialguidelinetotheVPNconstructioninenterprises.
Keywords:
Tunnel,L2TP,PPTP,IPSec
3.1实现VPN的关键技术7
1绪论
VPN的定义
VPN〔VirtualPrivateNetwork〕被定义为通过一个公共网络〔通常是因特网〕建立一个临时的、平安的连接，是一条穿过混乱的公共网络的平安、稳定的隧道。
虚拟专用网是对企业内部网的扩展。
虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供给商同公司的内部网络建立可信的平安连接，并保证数据的平安传输。
通过将数据流转移到低本钱的网络上，一个企业的虚拟专用网解决方案也将大幅度的减少用户花费在城域网和远程网络连接上的费用。
同时，这将简化网络的设计和管理，加速连接新的用户和网站。
另外，虚拟专用网还可以保护现有的网络投资。
随着用户的商业效劳不断开展，企业的虚拟专用网解决方案可以使用户将精力集中到自己的生意上，而不是网络上。
虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现平安连接；可用于实现企业网站之间平安通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的平安外联网虚拟专用网。
1.2VPN的工作原理
把因特网用作专用广域网，就要克服两个主要障碍。
首先，网络经常使用多种协议如IPX和NetBEUI进行通信，但因特网只能处理IP流量。
所以，VPN就需要提供一种方法，将非IP的协议从一个网络传送到另一个网络。
其次，网上传输的数据包以明文格式传输，因而，只要看得到因特网的流量，就能读取包内所含的数据。
如果公司希望利用因特网传输重要的商业机密信息，这显然是一个问题。
VPN克服这些障碍的方法就是采用了隧道技术：
数据包不是公开在网上传输，而是首先进行加密以确保平安，然后由VPN封装成IP包的形式，通过隧道在网上传输，如图1-1所示：
图1-1VPN工作原理图
源网络的VPN隧道发起器与目标网络上的VPN隧道发起器进行通信。
两者就加密方案达成一致，然后隧道发起器对包进行加密，确保平安〔为了加强平安，应采用验证过程，以确保连接用户拥有进入目标网络的相应的权限。
大多数现有的VPN产品支持多种验证方式〕。
最后，VPN发起器将整个加密包封装成IP包。
现在不管原先传输的是何种协议，它都能在纯IP因特网上传输。
又因为包进行了加密，所以谁也无法读取原始数据。
在目标网络这头，VPN隧道终结器收到包后去掉IP信息，然后根据达成一致的加密方案对包进行解密，将随后获得的包发给远程接入效劳器或本地路由器，他们在把隐藏的IPX包发到网络，最终发往相应目的地。
1.3VPN的研究背景和意义
随着网络，尤其是网络经济的开展，企业日益扩张，客户分布日益广泛，合作伙伴日益增多，这种情况促使了企业的效益日益增长，另一方面也越来越凸现传统企业网的功能缺陷：
传统企业网基于固定物理地点的专线连接方式已难以适应现代企业的需求。
于是企业对于自身的网络建设提出了更高的需求，主要表现在网络的灵活性、平安性、经济性、扩展性等方面。
在这样的背景下，VPN以其独具特色的优势赢得了越来越多的企业的青睐，令企业可以较少地关注网络的运行与维护，而更多地致力于企业的商业目标的实现。
虽然VPN在理解和应用方面都是高度复杂的技术，甚至确定其是否适用于本公司也一件复杂的事件，但在大多数情况下VPN的各种实现方法都可以应用于每个公司。
即使不需要使用加密数据，也可节省开支。
因此，在未来几年里，客户和厂商很可能会使用VPN，从而使电子商务重又获得生机，毕竟全球化、信息化、电子化是大势所趋。
2VPN的应用领域和设计目标
2.1VPN的主要应用领域
利用VPN技术几乎可以解决所有利用公共通信网络进行通信的虚拟专用网络连接的问题。
归纳起来，有以下几种主要应用领域。
〔1〕远程访问
远程移动用户通过VPN技术可以在任何时间、任何地点采用拨号、ISDN、DSL、移动IP和电缆技术与公司总部、公司内联网的VPN设备建立起隧道或密道信，实现访问连接，此时的远程用户终端设备上必须加装相应的VPN软件。
推而广之，远程用户可与任何一台主机或网络在相同策略下利用公共通信网络设施实现远程VPN访问。
这种应用类型也叫AccessVPN（或访问型VPN），这是根本的VPN应用类型。
不难证明，其他类型的VPN都是AccessVPN的组合、延伸和扩展。
〔2〕组建内联网
一个组织机构的总部或中心网络与跨地域的分支机构网络在公共通信根底设施上采用的隧道技术等VPN技术构成组织机构“内部〞的虚拟专用网络，当其将公司所有权的VPN设备配置在各个公司网络与公共网络之间〔即连接边界处〕时，这样的内联网还具有管理上的自主可控、策略集中配置和分布式平安控制的平安特性。
利用VPN组建的内联网也叫IntranetVPN。
IntranetVPN是解决内联网结构平安和连接平安、传输平安的主要方法。
〔3〕组建外联网
使用虚拟专用网络技术在公共通信根底设施上将合作伙伴和有共同利益的主机或网络与内联网连接起来，根据平安策略、资源共享约定规那么实施内联网内的特定主机和网络资源与外部特定的主机和网络资源相互共享，这在业务机构和具有相互协作关系的内联网之间具有广泛的应用价值。
这样组建的外联网也叫ExtranetVPN。
ExtranetVPN是解决外联网结构平安和连接平安、传输平安的主要方法。
假设外联网VPN的连接和传输中使用了加密技术，必须解决其中的密码分发、管理的一致性问题。
2.2VPN的设计目标
在实际应用中，一般来说一个高效、成功的VPN应具备以下几个特点：
〔1〕平安保障
虽然实现VPN的技术和方式很多，但所有的VPN均应保证通过公用网络平台传输数据的专用性和平安性。
在非面向连接的公用IP网络上建立一个逻辑的、点对点的连接，称之为建立一个隧道，可以利用加密技术对经过隧道传输的数据进行加密，以保证数据仅被指定的发送者和接收者了解，从而保证了数据的私有性和平安性。
在平安性方面，由于VPN直接构建在公用网上，实现简单、方便、灵活，但同时其平安问题也更为突出。
企业必须确保其VPN上传送的数据不被攻击者窥视和篡改，并且要防止非法用户对网络资源或私有信息的访问。
ExtranetVPN将企业网扩展到合作伙伴和客户，对平安性提出了更高的要求。
〔2〕效劳质量保证〔QoS〕
VPN网络应当为企业数据提供不同等级的效劳质量保证。
不同的用户和业务对效劳质量保证的要求差异较大。
如移动办公用户，提供广泛的连接和覆盖性是保证VPN效劳的一个主要因素；而对于拥有众多分支机构的专线VPN网络，交互式的内部企业网应用那么要求网络能提供良好的稳定性；对于其它应用〔如视频等〕那么对网络提出了更明确的要求，如网络时延及误码率等。
所有以上网络应用均要求网络根据需要提供不同等级的效劳质量。
在网络优化方面，构建VPN的另一重要需求是充分有效地利用有限的广域网资源，为重要数据提供可靠的带宽。
广域网流量的不确定性使其带宽的利用率很低，在流量顶峰时引起网络阻塞，产生网络瓶颈，使实时性要求高的数据得不到及时发送；而在流量低谷时又造成大量的网络带宽空闲。
QoS通过流量预测与流量控制策略，可以按照优先级分配带宽资源，实现带宽管理，使得各类数据能够被合理地先后发送，并预防阻塞的发生。
〔3〕可扩充性和灵活性
VPN必须能够支持通过Intranet和Extranet的任何类型的数据流，方便增加新的节点，支持多种类型的传输媒介，可以满足同时传输语音、图像和数据等新应用对高质量传输以及带宽增加的需求。
〔4〕可管理性
从用户角度和运营商的角度应可方便地进行管理、维护。
在VPN管理方面，VPN要求企业将其网络管理功能从局域网无缝地延伸到公用网，甚至是客户和合作伙伴。
虽然可以将一些次要的网络管理任务交给效劳提供商去完成，企业自己仍需要完成许多网络管理任务。
所以，一个完善的VPN管理系统是必不可少的。
VPN管理的目标为：
减小网络风险、具有高扩展性、经济性、高可靠性等优点。
事实上，VPN管理主要包括平安管理、设备管理、配置管理、访问控制列表管理、QoS管理等内容。
3实现VPN的关键技术和主要协议
3.1实现VPN的关键技术
〔1〕隧道技术
隧道技术（Tunneling）是VPN的底层支撑技术，所谓隧道，实际上是一种封装，就是将一种协议〔协议X〕封装在另一种协议〔协议Y〕中传输，从而实现协议X对公用网络的透明性。
这里协议X被称为被封装协议，协议Y被称为封装协议，封装时一般还要加上特定的隧道控制信息，因此隧道协议的一般形式为〔〔协议Y〕隧道头〔协议X〕〕。
在公用网络〔一般指因特网〕上传输过程中，只有VPN端口或网关的IP地址暴露在外边。
隧道解决了专网与公网的兼容问题，其优点是能够隐藏发送者、接受者的IP地址以及其它协议信息。
VPN采用隧道技术向用户提供了无缝的、平安的、端到端的连接效劳，以确保信息资源的平安。
隧道是由隧道协议形成的。
隧道协议分为第二、第三层隧道协议，第二层隧道协议如L2TP、PPTP、L2F等，他们工作在OSI体系结构的第二层〔即数据链路层〕；第三层隧道协议如IPSec，GRE等，工作在OSI体系结构的第三层〔即网络层〕。
第二层隧道和第三层隧道的本质区别在于：
用户的IP数据包被封装在不同的数据包中在隧道中传输。
第二层隧道协议是建立在点对点协议PPP的根底上，充分利用PPP协议支持多协议的特点，先把各种网络协议〔如IP、IPX等〕封装到PPP帧中，再把整个数据包装入隧道协议。
PPTP和L2TP协议主要用于远程访问虚拟专用网。
第三层隧道协议是把各种网络协议直接装入隧道协议中，形成的数据包依靠网络层协议进行传输。
无论从可扩充性，还是平安性、可靠性方面，第三层隧道协议均优于第二层隧道协议。
IPSec即IP平安协议是目前实现VPN功能的最正确选择。
〔2〕加解密认证技术
加解密技术是VPN的另一核心技术。
为了保证数据在传输过程中的平安性，不被非法的用户窃取或篡改，一般都在传输之前进行加密，在接受方再对其进行解密。
密码技术是保证数据平安传输的关键技术，以密钥为标准，可将密码系统分为单钥密码〔又称为对称密码或私钥密码〕和双钥密码〔又称为非对称密码或公钥密码〕。
单钥密码的特点是加密和解密都使用同一个密钥，因此，单钥密码体制的平安性就是密钥的平安。
其优点是加解密速度快。
最有影响的单钥密码就是美国国家标准局公布的DES算法〔56比特密钥〕。
而3DES〔112比特密钥〕被认为是目前不可破译的。
双钥密码体制下，加密密钥与解密密钥不同，加密密钥公开，而解密密钥保密，相比单钥体制，其算法复杂且加密速度慢。
所以现在的VPN大都采用单钥的DES和3DES作为加解密的主要技术，而以公钥和单钥的混合加密体制（即加解密采用单钥密码，而密钥传送采用双钥密码）来进行网络上密钥交换和管理，不但可以提高了传输速度，还具有良好的保密功能。
认证技术可以防止来自第三方的主动攻击。
一般用户和设备双方在交换数据之前，先核对证书，如果准确无误，双方才开始交换数据。
用户身份认证最常用的技术是用户名和密码方式。
而设备认证那么需要依赖由CA所颁发的电子证书。
目前主要有的认证方式有：
简单口令如质询握手验证协议CHAP和密码身份验证协议PAP等；动态口令如动态令牌和X.509数字证书等。
简单口令认证方式的优点是实施简单、技术成熟、互操作性好，且支持动态地加载VPN设备，可扩展性强。
〔3〕密钥管理技术
密钥管理的主要任务就是保证在开放的网络环境中平安地传递密钥，而不被窃取。
目前密钥管理的协议包括ISAKMP、SKIP、MKMP等。
Internet密钥交换协议IKE是Internet平安关联和密钥管理协议ISAKMP语言来定义密钥的交换，综合了Oakley和SKEME的密钥交换方案，通过协商平安策略，形成各自的验证加密参数。
IKE交换的最终目的是提供一个通过验证的密钥以及建立在双方同意根底上的平安效劳。
SKIP主要是利用Diffie-Hellman的演算法那么，在网络上传输密钥。
IKE协议是目前首选的密钥管理标准，较SKIP而言，其主要优势在于定义更灵活，能适应不同的加密密钥。
IKE协议的缺点是它虽然提供了强大的主机级身份认证，但同时却只能支持有限的用户级身份认证，并且不支持非对称的用户认证。
〔4〕访问控制技术
虚拟专用网的根本功能就是不同的用户对不同的主机或效劳器的访问权限是不一样的。
由VPN效劳的提供者与最终网络信息资源的提供者共同来协商确定特定用户对特定资源的访问权限，以此实现基于用户的细粒度访问控制，以实现对信息资源的最大限度的保护。
访问控制策略可以细分为选择性访问控制和强制性访问控制。
选择性访问控制是基于主体或主体所在组的身份，一般被内置于许多操作系统当中。
强制性访问控制是基于被访问信息的敏感性。
3.2VPN的主要平安协议
在实施信息平安的过程中，为了给通过非信任网络的私有数据提供平安保护，通讯的双方首先进行身份认证，这中间要经过大量的协商，在此根底上，发送方将数据加密后发出，接受端先对数据进行完整性检查，然后解密，使用。
这要求双方事先确定要使用的加密和完整性检查算法。
由此可见，整个过程必须在双方共同遵守的标准（协议）下进行。
VPN区别于一般网络互联的关键是隧道的建立，数据包经过加密后，按隧道协议进行封装、传送以保证平安性。
一般，在数据链路层实现数据封装的协议叫第二层隧道协议，常用的有PPTP,L2TP等;在网络层实现数据封装的协议叫第三层隧道协议，如IPSec。
另外，SOCKSv5协议那么在TCP层实现数据平安。
3 PPTP/L2TP
1996年，Microsoft和Ascend等在PPP协议的根底上开发了PPTP，它集成于WindowsNTServer4.0中，WindowsNTWorkstation和Windows9.X也提供相应的客户端软件。
PPP支持多种网络协议，可把IP、IPX、AppleTalk或NetBEUI的数据包封装在PPP包中，再将整个报文封装在PPTP隧道协议包中，最后，再嵌入IP报文或帧中继或ATM中进行传输。
PPTP提供流量控制，减少拥塞的可能性，防止由于包丢弃而引发包重传的数量。
PPTP的加密方法采用Microsoft点对点加密（MPPE:
MicrosoftPoint-to-Point）算法，可以选用较弱的40位密钥或强度较大的128位密钥。
1996年，Cisco提出L2F（Layer2Forwarding）隧道协议，它也支持多协议，但其主要用于Cisco的路由器和拨号访问效劳器。
1997年底，Microsoft和Cisco公司把PPTP协议和L2F协议的优点结合在一起，形成了L2TP协议。
L2TP支持多协议，利用公共网络封装PPP帧，可以实现和企业原有非IP网的兼容。
还继承了PPTP的流量控制，支持MP（MultilinkProtocol），把多个物理通道捆绑为单一逻辑信道。
L2TP使用PPP可靠性发送（RFC1663）实现数据包的可靠发送。
L2TP隧道在两端的VPN效劳器之间采用口令握手协议CHAP来验证对方的身份.L2TP受到了许多大公司的支持.
PPTP/L2TP协议的优点:
PPTP/L2TP对用微软操作系统的用户来说很方便，因为微软己把它作为路由软件的一局部。
PPTP/L2TP支持其它网络协议。
如NOWELL的IPX,NETBEUI和APPLETALK协议,还支持流量控制。
它通过减少丢弃包来改善网络性能，这样可减少重传。
PPTP/L2TP协议的缺点:
PM和L2TP将不平安的IP包封装在平安的IP包内，它们用IP帧在两台计算机之间创立和翻开数据通道，一旦通道翻开，源和目的用户身份就不再需要，这样可能带来问题，它不对两个节点间的信息传输进行监视或控制。
PPTP和L2TP限制同时最多只能连接255个用户，端点用户需要在连接前手工建立加密信道，认证和加密受到限制，没有强加密和认证支持。
PPTP/L2TP最适合于远程访问VPN.
3.2.2 IPSec协议
IPSec是IETF（InternetEngineerTaskForce）正在完善的平安标准，它把几种平安技术结合在一起形成一个较为完整的体系，受到了众多厂商的关注和支持。
通过对数据加密、认证、完整性检查来保证数据传输的可靠性、私有性和保密性。
IPSec由IP认证头AH（AuthenticationHeader）、IP平安载荷封载ESP（EncapsulatedSecurityPayload）和密钥管理协议组成。
IPSec协议是一个范围广泛、开放的虚拟专用网平安协议。
IPSec适应向IPv6迁移，它提供所有在网络层上的数据保护，提供透明的平安通信。
IPSec用密码技术从三个方面来保证数据的平安。
即:
认证：
用于对主机和端点进行身份鉴别。
完整性检查：
用于保证数据在通过网络传输时没有被修改。
加密：
加密IP地址和数据以保证私有性。
IPSec协议可以设置成在两种模式下运行:
一种是隧道模式，一种是传输模式。
在隧道模式下，IPSec把IPv4数据包封装在平安的IP帧中,这样保护从一个防火墙到另一个防火墙时的平安性。
在隧道模式下，信息封装是为了保护端到端的平安性，即在这种模式下不会隐藏路由信息。
隧道模式是最平安的，但会带来较大的系统开销。
IPSec现在还不完全成熟，但它得到了一些路由器厂商和硬件厂商的大力支持。
预计它今后将成为虚拟专用网的主要标准。
IPSec有扩展能力以适应未来商业的需要。
在1997年底，IETF平安工作组完成了IPSec的扩展，在IPSec协议中加上ISAKMP（InternetSecurityAssociationandKayManagementProtocol）协议，其中还包括一个密钥分配协议Oakley。
ISAKMP/Oakley支持自动建立加密信道，密钥的自动平安分发和更新。
IPSec也可用于连接其它层己存在的通信协议，如支持平安电子交易（SET:
SecureElectronicTransaction）协议和SSL〔SecureSocketlayer〕协议。
即使不用SET或SSL,IPSec都能提供认证和加密手段以保证信息的传输。
4实例分析
VPN的具体实现方案有很多，实际应用中应根据用户的需求、用户资源现状、承载网络资源现状、投资效益以及相关技术比拟等多种因素综合考虑，选择一种主流的方案。
在本文中就以一个中小型企业为例模拟实际环境建立一个基于ISA的企业VPN网络以满足远程办公、分公司和合作伙伴远程访问的要求。
这个实验在理论的指导下实现了一种VPN的实际应用，为中小企业设计VPN网络提供参考和借鉴。
4.1需求分析
随着公司的开展壮大，厦门某公司在上海开办了分公司来进一步开展业务，公司希望总部和分公司、总部与合作伙伴可以随时的进行平安的信息沟通，而外出办公人员可以访问到企业内部关键数据，随时随地共享商业信息，提高工作效率。
一些大型跨国公司解决这个问题的方法，就是在各个公司之间租用运营商的专用线路。
这个方法虽然能解决问题，但是费用昂贵，对于中小企业来说是无法负担的，而VPN技术能解决这个问题。
根据该公司用户的需求，遵循着方便实用、高效低本钱、平安可靠、网络架构弹性大等相关原那么决定采用ISAServerVPN平安方案，以ISA作为网络访问的平安控制。
ISAServer集成了WindowsserverVPN效劳，提供一个完善的防火墙和VPN解决方案。
以ISAVPN作为连接Internet的平安网关，并使用双网卡，隔开内外网，增加网络平安性。
ISA具备了基于策略的平安性，并且能够加速和管理对Internet的访问。
防火墙能对数据包层、链路层和应用层进行数据过滤、对穿过防火墙的数据进行状态检查、对访问策略进行控制并对网络通信进行路由。
对于各种规模的企业来说，ISAServer都可以增强网络平安性、贯彻一致的Internet使用策略、加速Internet访问并实现员工工作效率最大化。
在ISA中可以使用以下三种协议来建立VPN连接：
●∙IPSEC隧道模式；
●∙L2TPoverIPSec模式；
●∙PPTP；
下表比拟了这三种协议：
表4-1ISA中三种协议比照表
协议
何时使用
平安等级
备注
IPSec隧道模式
连接到第三方的VPN效劳器
高
这是唯一一种可以连接到非微软VPN效劳器的方式
L2TPoverIPSec
连接到ISAServer2000、ISAServer2004或者WindowsVPN效劳器
高
使用RRAS。
比IPSec隧道模式更容易理解，但是要求远程VPN效劳器是ISAServer或者WindowsVPN效劳器。
PPTP
连接到ISAServer2000、ISAServer2004或者WindowsVPN效劳器
中等
使用RRAS，和L2TP具有同样的限制，但是更容易配置。
因为使用IPSec加密，L2TP更认为更平安。
三个站点都采用ISAVPN作为平安网关，且L2TPoverIPSec结合了L2TP和IPSec的优点，所以在这里采用L2TPoverIPSec作为VPN实施方
升级会员 