VPN-2.ppt

1、虚拟专用网关键技术1内容简介VPN的相关知识VPN关键技术简介基于IPSec的VPN的体系结构IPSec的安全性评价及其改进VPN中的QoS研究一种新的分层IPSec的体系结构2第一部分 VPN的相关知识3内容简介专用网的产生及其分类专用网的挑战VPN的产生背景VPN的构成VPN的实现要求4专用网介绍产生背景：信息共享分类：-拨号专用网-租用专线专用网5基于拨号方式的专用网6租用专线专用网7专用网的挑战专用网存在弊端IP 技术蓬勃发展以Internet作为骨干网实现信息共享8VPN的定义VPN的定义：是指依靠ISP或其他NSP在公用网络基础设施之上构建的专用的数据通信网络，这里所指的公用网络有

2、多种，包括IP网络、帧中继网络和ATM网络。虚拟：专用网：IETF对基于IP的VPN定义：使用IP机制仿真出一个私有的广域网。9VPN的构成10VPN的实现要求专用网的特点：封闭的用户群 安全性高 服务质量保证 VPN的实现要求支持数据分组的透明传输 支持安全功能 提供服务质量保证11小结专用网的产生、分类、挑战VPN的产生背景VPN的构成VPN的实现要求12第二部分：VPN的关键技术13内容介绍VPN的隧道技术VPN的安全技术VPN的QoS机制VPN在发展中存在的问题14VPN的关键技术之一：隧道技术隧道的定义几种主要的隧道协议介绍隧道协议的比较15隧道的相关知识隧道的定义：实质上是一种封装

3、，将一种协议（协议X）封装在另一种协议（协议Y）中传输，从而实现协议X对公用传输网络(采用协议Y)的透明性 隧道协议内包括以下三种协议乘客协议（Passenger Protocol）封装协议（Encapsulating Protocol）运载协议（Carrier Protocol）隧道协议例子16隧道协议类型分类依据：被封装的数据在OSI/RM的层次第二层隧道：以PPTP，L2TP为代表第三层隧道：IPSec17第二层隧道：PPTP18PPTP的数据封装19第二层隧道：L2TP数据封装格式：特点：它综合了第二层转发协议（L2F）和PPTP两种协议各自的优点协议的额外开销较少 20第三层隧道技术

4、：IPSecIPSec：即IP层安全协议，是由Internet组织IETF的IPSec工作组制定的IP网络层安全标准。它通过对IP报文的封装以实现TCP/IP网络上数据的安全传送。数据封装格式：21几种隧道技术的比较应用范围：PPTP、L2TP：主要用在远程客户机访问局域网方案中；IPSec主要用在网关到网关或主机方案中，不支持远程拨号访问。安全性：PPTP提供认证和加密功能，但安全强度低L2TP提供认证和对控制报文的加密，但不能对传输中的数据加密。IPSec提供了完整的安全解决方案。QoS保证：都未提供对多协议的支持：IPSec不支持22VPN的关键技术之二：安全技术Internet的安全威

5、胁数据以明文形式传送；IP地址伪造；TCP序列号攻击VPN的安全性要求数据机密性数据的完整性数据的不可否认性身份鉴别23VPN的关键技术之三：服务质量保证技术QoS出现背景尽力而为服务模型用户对网络性能要求实时应用两种QoS服务模型IntServDiffServ在VPN中研究QoS的意义24VPN在发展中存在的问题VPN中的端到端的加密机制的影响FirewallIDSActive Networks如何解决？25小结VPN的隧道技术VPN的安全技术VPN的QoS机制VPN在发展中存在的问题26第三部分 基于IPSec的VPN的体系结构27内容简介IPSec的体系结构AH协议ESP协议IPSec工

6、作模式28IPSec体系结构29AH协议30ESP协议31IPSec工作模式分析传送模式隧道模式32IPSec传输模式33IPSec隧道模式34小结IPSec的体系结构AH协议ESP协议IPSec工作模式35第四部分 IPSec的安全性评价及其改进36内容简介IPSec的发展及其现状密码系统及其密码攻击的相关知识安全系统的特点及其设计原则对IPSec的安全性评价及其建议根本的解决方案37IPSec的发展及其现状IPSec的出现及发展IPSec的主要用途：构建VPN当前状况：停留在对IPSec的介绍及其实现上IPSec的安全性评论及其意义38密码学分析与攻击的背景知识密码系统模型密码分析与攻击3

7、9密码通信系统的基本模型40密码分析与攻击对密码算法的攻击对密码协议的攻击41对密码算法的攻击穷举法：搜索所有可能的密钥空间；在不变密钥下，尝试所有可能的明文；分析法：通过对截获的密文进行分析来推断明文确定性分析法：用函数关系推导未知量：如密钥；统计分析法：找出明文的统计规律；42密码协议协议(protocol)：由一系列步骤构成，包括两方或多方，设计的目的是为了完成某项任务。协议具有如下特点：协议中的每个人必须都了解协议，并且预先知道所要完成的所有步骤；协议中的每个人都必须同意遵循它；协议必须是清楚的，每一步都必须明确定义，并且不会引起误解；协议必须是完整的，对每种情况必须规定具体的动作。密

8、码协议：43对密码协议的攻击原因：对协议的需求定义得不完备；安全性分析不够充分；攻击类型：被动攻击主动攻击：44安全系统的设计及其实现设计安全系统的原则软件系统设计和开发过程设计安全系统的特殊性复杂性对安全系统的影响45设计安全系统的原则：简单至上，过于复杂是安全系统最大的敌人和陷阱。46设计软件系统的过程47设计安全系统的特殊性应用测试纠正的方法的困难；有效的测试方法：安全性分析系统的安全性取决于最薄弱的环节48复杂性对安全系统的影响实例假设：系统有n个不同的选项，每个选项存在两个选择；可能存在的两两交互的选项总数：n(n-1)/2=O(n2)可能存在的配置项总数：2n；每项交互操作及其都可

9、能存在安全漏洞；结论：系统潜在的安全漏洞急剧增加：文档规范、设计、实现、配置；对系统的安全分析难度急剧增加；复杂的系统（注定）不安全49对IPSec的安全性评价及其建议IPSec规范过于复杂对IPSec的改进建议50IPSec过于复杂举例说明。比如在IPSec中，存在两种模式，两种协议AH和ESP。若要对两台主机之间的数据包进行认证，存在以下六种方案：传送模式AH；隧道模式AH；传送模式ESP（无加密）；隧道模式ESP（无加密）；传送模式ESP（加密）；隧道模式ESP（加密）；51对IPSec的评价及其改进建议去掉传送模式；去掉AH协议；在ESP中，数据源认证是必须的，而加密功能是可选的；先加

10、密后认证的顺序存在问题52建议之一：去掉传送模式隧道模式比隧道模式提供更强的安全服务；降低复杂性；不必对主机和网关进行区分；53建议之二：去掉AH协议AH和ESP在功能上重叠AH的认证存在的问题隧道模式ESP提供和AH几乎同样强度的认证通过压缩机制来节省带宽54对先加密后认证顺序的评价IPSec中的加密和认证顺序；Horton定理：认证协议应当基于消息本身的含义进行认证；如果出于效率考虑，应当认证解密密钥55简化管理和配置SPD的对数据包的处理策略：配置容易导致安全漏洞简化需要用户和管理员作出的选择56对IPSec的总体评价优点安全性明显优于其它隧道协议缺点过于复杂存在安全漏洞安全性分析困难根

11、本的解决方案：对IPSec进行修补不能解决根本问题，必须彻底改变制定IPSec的委员会模式(committee process)57小结IPSec的发展及其现状密码系统及其密码攻击的相关知识安全系统的特点及其设计原则对IPSec的安全性评价及其建议对IPSec总体评价58第五部分 VPN中QoS机制的研究59内容简介研究QoS与安全性的意义QoS的概念及其实现机制IntServ模型和DiffServ模型基于IPSec的VPN中应用IntServ模型的困难及其解决方案基于IPSec的VPN中应用DiffServ模型的讨论及其建议60QoS与安全性研究现状下一代网络体系结构中的两项关键技术安全性Q

12、oS研究现状；在VPN中研究安全性和QoS的意义61QoS的概念及其实现机制QoS的相关性能参数实现机制62QoS的相关性能参数延迟/滞后 抖动 吞吐率 错误率 63QoS实现机制数据包分类机制 数据包处理机制 认证控制机制 资源保留机制 64两种QoS服务模型IntServ模型DiffServ模型65IntServ模型IntServ的基本思路RSVP协议66IntServ的基本思路资源预留：通过某种信令协议完成；流量控制：在网络设备（如主机、路由器或交换机）由特定的组件控制和管理为支持特定QoS所必需的网络资源；分类器（Classifier）：以分组头中特定字段的内容为基础鉴别和选择某种业务

13、类型。接纳控制部件(Admission Control)：调度器（Scheduler）：在设备的输出链路上提供所需的QoS服务类别。67RSVP协议特点：不是路由协议功能：沿着所选定的路由预留资源资源预留以数据流为单位，包括：目的IP地址协议类型：IP协议类型目的端口：如UDP/TCP目的端口68DiffServ模型DiffServ的工作原理DiffServ的组件结构69DiffServ的工作原理定义一组数量较少的服务类型和优先级；在网络的边缘对所有分组进行分类，并标记每个分组所属的服务类型；核心网络交换机或路由器依据分组头中标记比特的内容来对分组进行处理。70DiffServ的组件结构71基

14、于IPSec的VPN中应用IntServ模型的困难端到端的RSVP资源预留报文对于隧道两端点间的路由器来说变得不可见；由于数据报被封装，原始的IP报头(和TCP、UDP报头)，对于隧道两端点间的路由器来说变得不可见，使得RSVP中的滤子不可用 72解决方案扩展RSVP，提供对AH(值51)或ESP(值50)的支持；利用IPSec中的SPI来代替目的端口，通过（目的IP地址，IPSec协议，SPI）构成的三元组来进行资源预留和流量控制。73基于IPSec的VPN中应用DiffServ模型的问题AH的认证范围：不包括IP头中的DS字段网络中间节点修改DS不影响完整性检查无法抵抗中间人攻击：攻击者修

15、改DS解决方案：使用隧道模式（在前面的安全性分析中，建议去掉了AH和传送模式，自然而然解决了以上问题）74小结研究QoS与安全性的意义QoS的概念及其实现机制IntServ模型和DiffServ模型基于IPSec的VPN中应用IntServ模型的困难及其解决方案基于IPSec的VPN中应用DiffServ模型的研究75第五部分 一种新的分层IPSec的体系结构76内容简介IPSec端到端的安全机制所带来的限制几种解决方案基于Layered IPSec的解决方案77端到端的安全机制的限制业务流监控与分析业务流工程：如QoS，拥塞控制主动网络78业务流监控与分析RMON2IDS防火墙79IPSec

16、与RMON2RMON2用于网络远程监控的标准；通过定义被管理的对象来监控网络中业务流的配置、错误、以及性能IPSec与RMON2传送模式下使用ESP，RMON2无法对传送层数据进行分析隧道模式下使用ESP，RMON2无法对传送层数据进行分析和鉴别端到端的IP地址80IPSec与IDSIDS入侵检测技术是对入侵防御技术（如加密和认证）的一种补充；分类：Host-based IDS，Network-based IDS；基本的假设：用户和程序活动是可见的；IPSec对IDS的影响：若使用IP ESP，IDS将因为无法理解IP数据包而丧失能力81IPSec与防火墙防火墙的工作原理IPSec对防火墙的影响82防火墙的基本原理功能：对进出企业内部网的数据流进行控制；包过滤防火墙需要的过滤信息：IP源地址；IP目的地址；协议类型(TCP、UDP或ICMP)；TCP或UDP的源端口；TCP或UDP的目的端口；TCP报头中的ACK位；83IPSec对防火墙的影响84IPSec与业务流工程QoS拥塞控制85IPSec与主动网络主动网络：一种新的网络体系结构，具有如下特点：数据包格式：不仅包含数据，还带有可