VPN-2.ppt
- 文档编号:18024232
- 上传时间:2023-08-06
- 格式:PPT
- 页数:99
- 大小:1.44MB
VPN-2.ppt
《VPN-2.ppt》由会员分享,可在线阅读,更多相关《VPN-2.ppt(99页珍藏版)》请在冰点文库上搜索。
1,虚拟专用网关键技术,2,内容简介,VPN的相关知识VPN关键技术简介基于IPSec的VPN的体系结构IPSec的安全性评价及其改进VPN中的QoS研究一种新的分层IPSec的体系结构,3,第一部分VPN的相关知识,4,内容简介,专用网的产生及其分类专用网的挑战VPN的产生背景VPN的构成VPN的实现要求,5,专用网介绍,产生背景:
信息共享分类:
-拨号专用网-租用专线专用网,6,基于拨号方式的专用网,7,租用专线专用网,8,专用网的挑战,专用网存在弊端IP技术蓬勃发展以Internet作为骨干网实现信息共享,9,VPN的定义,VPN的定义:
是指依靠ISP或其他NSP在公用网络基础设施之上构建的专用的数据通信网络,这里所指的公用网络有多种,包括IP网络、帧中继网络和ATM网络。
虚拟:
专用网:
IETF对基于IP的VPN定义:
使用IP机制仿真出一个私有的广域网。
10,VPN的构成,11,VPN的实现要求,专用网的特点:
封闭的用户群安全性高服务质量保证VPN的实现要求支持数据分组的透明传输支持安全功能提供服务质量保证,12,小结,专用网的产生、分类、挑战VPN的产生背景VPN的构成VPN的实现要求,13,第二部分:
VPN的关键技术,14,内容介绍,VPN的隧道技术VPN的安全技术VPN的QoS机制VPN在发展中存在的问题,15,VPN的关键技术之一:
隧道技术,隧道的定义几种主要的隧道协议介绍隧道协议的比较,16,隧道的相关知识,隧道的定义:
实质上是一种封装,将一种协议(协议X)封装在另一种协议(协议Y)中传输,从而实现协议X对公用传输网络(采用协议Y)的透明性隧道协议内包括以下三种协议乘客协议(PassengerProtocol)封装协议(EncapsulatingProtocol)运载协议(CarrierProtocol)隧道协议例子,17,隧道协议类型,分类依据:
被封装的数据在OSI/RM的层次第二层隧道:
以PPTP,L2TP为代表第三层隧道:
IPSec,18,第二层隧道:
PPTP,19,PPTP的数据封装,20,第二层隧道:
L2TP,数据封装格式:
特点:
它综合了第二层转发协议(L2F)和PPTP两种协议各自的优点协议的额外开销较少,21,第三层隧道技术:
IPSec,IPSec:
即IP层安全协议,是由Internet组织IETF的IPSec工作组制定的IP网络层安全标准。
它通过对IP报文的封装以实现TCP/IP网络上数据的安全传送。
数据封装格式:
22,几种隧道技术的比较,应用范围:
PPTP、L2TP:
主要用在远程客户机访问局域网方案中;IPSec主要用在网关到网关或主机方案中,不支持远程拨号访问。
安全性:
PPTP提供认证和加密功能,但安全强度低L2TP提供认证和对控制报文的加密,但不能对传输中的数据加密。
IPSec提供了完整的安全解决方案。
QoS保证:
都未提供对多协议的支持:
IPSec不支持,23,VPN的关键技术之二:
安全技术,Internet的安全威胁数据以明文形式传送;IP地址伪造;TCP序列号攻击VPN的安全性要求数据机密性数据的完整性数据的不可否认性身份鉴别,24,VPN的关键技术之三:
服务质量保证技术,QoS出现背景尽力而为服务模型用户对网络性能要求实时应用两种QoS服务模型IntServDiffServ在VPN中研究QoS的意义,25,VPN在发展中存在的问题,VPN中的端到端的加密机制的影响FirewallIDSActiveNetworks如何解决?
26,小结,VPN的隧道技术VPN的安全技术VPN的QoS机制VPN在发展中存在的问题,27,第三部分基于IPSec的VPN的体系结构,28,内容简介,IPSec的体系结构AH协议ESP协议IPSec工作模式,29,IPSec体系结构,30,AH协议,31,ESP协议,32,IPSec工作模式分析,传送模式隧道模式,33,IPSec传输模式,34,IPSec隧道模式,35,小结,IPSec的体系结构AH协议ESP协议IPSec工作模式,36,第四部分IPSec的安全性评价及其改进,37,内容简介,IPSec的发展及其现状密码系统及其密码攻击的相关知识安全系统的特点及其设计原则对IPSec的安全性评价及其建议根本的解决方案,38,IPSec的发展及其现状,IPSec的出现及发展IPSec的主要用途:
构建VPN当前状况:
停留在对IPSec的介绍及其实现上IPSec的安全性评论及其意义,39,密码学分析与攻击的背景知识,密码系统模型密码分析与攻击,40,密码通信系统的基本模型,41,密码分析与攻击,对密码算法的攻击对密码协议的攻击,42,对密码算法的攻击,穷举法:
搜索所有可能的密钥空间;在不变密钥下,尝试所有可能的明文;分析法:
通过对截获的密文进行分析来推断明文确定性分析法:
用函数关系推导未知量:
如密钥;统计分析法:
找出明文的统计规律;,43,密码协议,协议(protocol):
由一系列步骤构成,包括两方或多方,设计的目的是为了完成某项任务。
协议具有如下特点:
协议中的每个人必须都了解协议,并且预先知道所要完成的所有步骤;协议中的每个人都必须同意遵循它;协议必须是清楚的,每一步都必须明确定义,并且不会引起误解;协议必须是完整的,对每种情况必须规定具体的动作。
密码协议:
44,对密码协议的攻击,原因:
对协议的需求定义得不完备;安全性分析不够充分;攻击类型:
被动攻击主动攻击:
45,安全系统的设计及其实现,设计安全系统的原则软件系统设计和开发过程设计安全系统的特殊性复杂性对安全系统的影响,46,设计安全系统的原则:
简单至上,过于复杂是安全系统最大的敌人和陷阱。
47,设计软件系统的过程,48,设计安全系统的特殊性,应用测试纠正的方法的困难;有效的测试方法:
安全性分析系统的安全性取决于最薄弱的环节,49,复杂性对安全系统的影响,实例假设:
系统有n个不同的选项,每个选项存在两个选择;可能存在的两两交互的选项总数:
n(n-1)/2=O(n2)可能存在的配置项总数:
2n;每项交互操作及其都可能存在安全漏洞;结论:
系统潜在的安全漏洞急剧增加:
文档规范、设计、实现、配置;对系统的安全分析难度急剧增加;复杂的系统(注定)不安全,50,对IPSec的安全性评价及其建议,IPSec规范过于复杂对IPSec的改进建议,51,IPSec过于复杂,举例说明。
比如在IPSec中,存在两种模式,两种协议AH和ESP。
若要对两台主机之间的数据包进行认证,存在以下六种方案:
传送模式AH;隧道模式AH;传送模式ESP(无加密);隧道模式ESP(无加密);传送模式ESP(加密);隧道模式ESP(加密);,52,对IPSec的评价及其改进建议,去掉传送模式;去掉AH协议;在ESP中,数据源认证是必须的,而加密功能是可选的;先加密后认证的顺序存在问题,53,建议之一:
去掉传送模式,隧道模式比隧道模式提供更强的安全服务;降低复杂性;不必对主机和网关进行区分;,54,建议之二:
去掉AH协议,AH和ESP在功能上重叠AH的认证存在的问题隧道模式ESP提供和AH几乎同样强度的认证通过压缩机制来节省带宽,55,对先加密后认证顺序的评价,IPSec中的加密和认证顺序;Horton定理:
认证协议应当基于消息本身的含义进行认证;如果出于效率考虑,应当认证解密密钥,56,简化管理和配置,SPD的对数据包的处理策略:
配置容易导致安全漏洞简化需要用户和管理员作出的选择,57,对IPSec的总体评价,优点安全性明显优于其它隧道协议缺点过于复杂存在安全漏洞安全性分析困难根本的解决方案:
对IPSec进行修补不能解决根本问题,必须彻底改变制定IPSec的委员会模式(committeeprocess),58,小结,IPSec的发展及其现状密码系统及其密码攻击的相关知识安全系统的特点及其设计原则对IPSec的安全性评价及其建议对IPSec总体评价,59,第五部分VPN中QoS机制的研究,60,内容简介,研究QoS与安全性的意义QoS的概念及其实现机制IntServ模型和DiffServ模型基于IPSec的VPN中应用IntServ模型的困难及其解决方案基于IPSec的VPN中应用DiffServ模型的讨论及其建议,61,QoS与安全性研究现状,下一代网络体系结构中的两项关键技术安全性QoS研究现状;在VPN中研究安全性和QoS的意义,62,QoS的概念及其实现机制,QoS的相关性能参数实现机制,63,QoS的相关性能参数,延迟/滞后抖动吞吐率错误率,64,QoS实现机制,数据包分类机制数据包处理机制认证控制机制资源保留机制,65,两种QoS服务模型,IntServ模型DiffServ模型,66,IntServ模型,IntServ的基本思路RSVP协议,67,IntServ的基本思路,资源预留:
通过某种信令协议完成;流量控制:
在网络设备(如主机、路由器或交换机)由特定的组件控制和管理为支持特定QoS所必需的网络资源;分类器(Classifier):
以分组头中特定字段的内容为基础鉴别和选择某种业务类型。
接纳控制部件(AdmissionControl):
调度器(Scheduler):
在设备的输出链路上提供所需的QoS服务类别。
68,RSVP协议,特点:
不是路由协议功能:
沿着所选定的路由预留资源资源预留以数据流为单位,包括:
目的IP地址协议类型:
IP协议类型目的端口:
如UDP/TCP目的端口,69,DiffServ模型,DiffServ的工作原理DiffServ的组件结构,70,DiffServ的工作原理,定义一组数量较少的服务类型和优先级;在网络的边缘对所有分组进行分类,并标记每个分组所属的服务类型;核心网络交换机或路由器依据分组头中标记比特的内容来对分组进行处理。
71,DiffServ的组件结构,72,基于IPSec的VPN中应用IntServ模型的困难,端到端的RSVP资源预留报文对于隧道两端点间的路由器来说变得不可见;由于数据报被封装,原始的IP报头(和TCP、UDP报头),对于隧道两端点间的路由器来说变得不可见,使得RSVP中的滤子不可用,73,解决方案,扩展RSVP,提供对AH(值51)或ESP(值50)的支持;利用IPSec中的SPI来代替目的端口,通过(目的IP地址,IPSec协议,SPI)构成的三元组来进行资源预留和流量控制。
74,基于IPSec的VPN中应用DiffServ模型的问题,AH的认证范围:
不包括IP头中的DS字段网络中间节点修改DS不影响完整性检查无法抵抗中间人攻击:
攻击者修改DS解决方案:
使用隧道模式(在前面的安全性分析中,建议去掉了AH和传送模式,自然而然解决了以上问题),75,小结,研究QoS与安全性的意义QoS的概念及其实现机制IntServ模型和DiffServ模型基于IPSec的VPN中应用IntServ模型的困难及其解决方案基于IPSec的VPN中应用DiffServ模型的研究,76,第五部分一种新的分层IPSec的体系结构,77,内容简介,IPSec端到端的安全机制所带来的限制几种解决方案基于LayeredIPSec的解决方案,78,端到端的安全机制的限制,业务流监控与分析业务流工程:
如QoS,拥塞控制主动网络,79,业务流监控与分析,RMON2IDS防火墙,80,IPSec与RMON2,RMON2用于网络远程监控的标准;通过定义被管理的对象来监控网络中业务流的配置、错误、以及性能IPSec与RMON2传送模式下使用ESP,RMON2无法对传送层数据进行分析隧道模式下使用ESP,RMON2无法对传送层数据进行分析和鉴别端到端的IP地址,81,IPSec与IDS,IDS入侵检测技术是对入侵防御技术(如加密和认证)的一种补充;分类:
Host-basedIDS,Network-basedIDS;基本的假设:
用户和程序活动是可见的;IPSec对IDS的影响:
若使用IPESP,IDS将因为无法理解IP数据包而丧失能力,82,IPSec与防火墙,防火墙的工作原理IPSec对防火墙的影响,83,防火墙的基本原理,功能:
对进出企业内部网的数据流进行控制;包过滤防火墙需要的过滤信息:
IP源地址;IP目的地址;协议类型(TCP、UDP或ICMP);TCP或UDP的源端口;TCP或UDP的目的端口;TCP报头中的ACK位;,84,IPSec对防火墙的影响,85,IPSec与业务流工程,QoS拥塞控制,86,IPSec与主动网络,主动网络:
一种新的网络体系结构,具有如下特点:
数据包格式:
不仅包含数据,还带有可执行方法;数据包转发:
中间授权的节点通过执行数据包携带的方法,以智能化方式处理数据包IPSec对主动网络的影响,87,几种解决方案,以一新的传输层安全机制来取代IPSec;使用传输层安全协议(TCPSEC);使用一个传输层友好的ESP协议格式;,88,采用新的传输层安全机制,思路:
只对TCP包中的负载部分进行加密和认证,TCP包头以明文形式出现在IP包中弊端:
IP数据报暴露在了各种TCP协议攻击之下;业务流分析,89,使用传输层安全协议(TCPSEC),思路:
修改现有传输层协议TCP,把经过IPSec处理的数据作为负载封装在TCP流中安全网关将IPSec包封装在另一TCP包后,还需要把一个新的未加密的传输层头增加到包中弊端:
要求修改IPSec协议;要求安全网关实现TCP封装功能;巨大的每包开销;安全性低。
90,采用传输层友好的ESP(TF-ESP),由AT&T实验室的SteveBellovin提出;TF-ESP的基本思想是:
确定中间节点需要访问的上层协议信息,并把它们单独分离出来,用明文表示和传输,对这些信息提供完整性保护;修改ESP头格式,增加相关的字段,并将单独分离出来的上层协议以明文形式出现在字段中。
最终的头必须是可由中间节点识别和理解的。
弊端:
不适合于需要访问并修改TCP状态信息的应用;受到业务流分析的威胁,91,基于分层IPSec的解决方案,LayeredIPSec设计思路LayeredIPSec特点LayeredIPSec中AH和ESP协议格式LayeredIPSec输入/输出处理,92,LayeredIPSec设计思路,将IP数据包划分为区,对不同的区进行分开的加密/认证;每一区有自己的安全关联集和访问控制规则集(定义网络中哪些中间节点可以访问此区);授权的网络中间节点可以对特定的区进行访问。
93,LayeredIPSec包格式举例,94,LayeredIPSec处理模型举例,95,LayeredIPSec特点,这种机制的优点如下:
安全性增强:
保留了数据字段的端到端安全性。
由于包头也被加密,能够更好地抵抗业务流分析和选择明文等攻击。
支持特定的应用:
通过有效的密钥分发机制,可以使授权的网络中间节点访问TCP状态信息,从而提供了对网络上特定应用的支持。
设计和实现并不复杂:
通过对IPSec作一定的修改就可实现。
96,改进的AH和ESP协议格式,97,小结,IPSec端到端的安全机制所带来的限制几种解决方案基于LayeredIPSec的解决方案,98,总结,VPN的相关知识VPN关键技术简介基于IPSec的VPN的体系结构IPSec的安全性评价及其改进VPN中的QoS研究一种新的分层IPSec的体系结构,99,谢谢大家,
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- VPN