VPND - 拨号业务的VPN


未知
未知

软件简介

VPDN是拨号业务的VPN,指利用公共网络的拨号及接入网实现的虚拟专用网,可为企业、小型ISP、移动办公人员提供接入服务。VPDN能够充分利用现有的网络资源,提供经济、灵活的联网方式,为客户节省设备、人员和管理所需要的投资,降低用户的费用,所以必将得到广泛的应用。下面就VPDN作一介绍。

一、VPDN基本原理
VPDN主要由网络接入服务器(NAS)、用户端设备(CPE)和管理工具组成。VPDN的构成如图1所示。其中NAS由大型ISP或电信部门提供,其
作用是作为VPDN的接入服务,提供广域网接口,负责与PSTN、ISDN的连接,并支持各种LAN的协议、安全管理和认证、隧道及相关技术;CPE是
VPDN的用户端设备,位于用户总部,根据网络功能的不同,可以是由NAS、路由器或防火墙等提供相关的设备来担任;VPDN管理工具对VPDN设备和用
户进行管理。属于电信部门或大型ISP来管理,属于用户的设备及用户管理功能由用户方进行管理。

二、VPDN隧道协议
VPDN隧道协议有点到点隧道协议(PPTP)、第二层转发协议(L2F)、第二层隧道协议(L2TP)等几种。

1、点到点隧道协议(PPTP)
PPTP是PPP(点到点协议)的一种扩展,提供了在IP网上建立多协议的安全VPN的通信方式,远端用户能够通过任何支持PPTP的ISP访问企业的专用网络。PPTP提供PPTP客户机及其服务器之间的保密通信。通过PPTP,客户可以采用拨号方式接入公共的IP网方法是:拨号客户首先按常规方式拨号到ISP的NAS,建立PPP连接;在此基础上,客户进行第二次拨号,建立到PPTP服务器的连接。

2、第二层转发协议(L2F)
L2F是可以在多种介质上建立多协方安全VPN的通信方式。它将链路层的协议封装起来传送,因此网络的链路层完全独立于用户的链路层协议。L2F远端用
户能够通过任何拨号方式接入公共IP网络,方法是:先按常规方式拨号到ISP和NAS,建立PPP连接;然后,NAS根据用户名等信息发起第二次连接,呼
叫用户网络的服务器。

3、第二层隧道协议(L2TP)
LETF建立将PPTP和L2F的最优秀部分组成一个标准,就称为L2TP。自
1999年5月以来,L2TP一直在开发中,某些部分正由Cisco和Microsoft开发实现。在L2TP协议中,规定了3个网络元素,即 LAC(L2TP
Access Concentrator),LNS(L2TP Network Server)和主局域网的管理域(Management Domain)。
LAC与LNS是对等的两个端点,隧道建立在它们之间。LAC对
用户端收到的PPP帧进行封装,通过隧道传送到LNS,由LNS将用户的PPP帧解封并传送到目的主机。主局域网中的管理域负责地址分配、认证、授权、记
费。L2TP使用两种类型的信息包:一种是控制信息包,用于建立、维护、清除隧道和呼叫,它使用可靠的控制信道来保证住信息的传送;另一种是数据信息包,
由于封装PPP信息帧,在传输过程中发生信息帧的丢失,不会有数据信息包的重传。从L2TP协议结构中可以看出,PPP帧是在一个不可靠的数据通道中传送
的,它首先被L2TP协议头封装,然后再被封装成相应传送网络的协议包进行传送;L2TP控制信息包与数据信息包是封装在同一个数据包中进行传送的,在所
有控制信息中都要求有序列号,以保证控制信息在控制信道中的可靠传送。

4、安全协议(IPSec)
IPSec是一组开放的网络安全检
查协议的总称,提供访问控制、无连接的完整性、数据来源验证、加密及数据流分类加密等服务。IPSec在IP层提供上述安全服务。IPSec包括3个基本
协议:认证头(AH)、报文安全封装协议(ESP)和安全密钥管理协议(ISAKMP)。AH提供的主要功能有数据来源验证、数据完整性验证和报文重放功
能。ESP主要是在AH协议的功能之外再提供对IP报文的加密功能。ISAKMP提供双方交流时的共享安全信息。IPSec可用两种方式对数据流进行加
密:隧道方式和传输方式,如图2所示。隧道方式对整个IP包进行加密,使用一个新的IPSec包打包。传输方式仅对数据净荷进行加密,源IP包的地址部分
不处理。IPSec支持的组网方式包括:主机与主机、主机与网关、网关与网关。IPSec可提供对远程访问用户的支持,还可以和L2TP、GRE等隧道协
议一起使用,给用户提供更大的灵活性和可靠性。

三、VPDN实施方式
VPDN的实施方式有两种:一种是通过NAS与VPDN网关建立
隧道;另一种是客户机与VPDN网关建立隧道。前者是NAS通过隧道协议与VPDN网关建立通道,将客户的PPP连接直接连到企业网关上,目前可以使用的
协议有L2F和L2TP。后者是由客户机首先建立与因特网的连接,再通过专用的客户软件与网关建立通道连接,一般使用PPTP和IPSec协议。

四、VPDN业务分类
VPDN业务可分为全国范围的VPDN业务和省内的VPDN业务。全国范围的VPDN业务指申请了该业务的用户能在全国范围内使用该业务。省内的
VPDN业务指申请了该业务的用户能在本省内使用该业务,出省后无法使用。全国业务和省内业务采用不同的用户域名体系结构来标志。

五、VPDN业务认证功能
拨号用户使用VPDN业务时有两种认证情况:一种是一次认证;另一种是二次认证。一般情况下,为了保证VPN的安全性,通常需要采用二次认证。所谓二次
认证是指在接入服务器和企业安全服务器上分别进行用户认证。接入服务器进行初步认证,确定该用户是否为合法的VPDN用户以及是否建立IP隧道。隧道建立
后,企业安全服务器对用户进行第二次认证,再次确认用户是否为企业的合法用户。一般来说,二次认证方式要比一次认证方式的安全性高。但在企业的人力、物力
资源匮乏,又有较大的业务量时,通常也可采用一次认证,即仅在接入服务器上作认证。