（计算机应用技术专业论文）基于l2tp的虚拟私有网络技术实现与研究.pdf

摘要 虚拟私有网络v p n ( v i r t u a lp r i v a t en e t w o r k ) 是近年来兴起的网络热门技术。拥有 众多下级单位的政府部门和在全国各地开设了多家分支机构的大型企业都要通过w a n 来 联接分散的下属子网。以前基本上只能采用专线技术，专线安全、可靠，但价格十分昂 贵，使用部门都有不堪重负之感。进入9 0 年代以来，随着i n t e r n e t 网的高速发展，人 们期望用廉价的i n t e r n e t 资源来建立大型企业网络，但i n t e r n e t 安全性较差，不能满 足企业网的需求。也正是安全性问题使得企业不敢把关键的网络通信建立在i n t e r n e t 上。 v p n 技术正是在这样一种背景下产生并成为目前众人瞩目的焦点。它通过公共网络传 递私有数据，从而允许用户采用i n t e r n e t 作为主干网，来组建安全可靠的大型网络。它 综合应用认证技术、隧道技术和隧道加密等技术，最终可替代专用网络雨利用公共网络 进行安全的网络互联，使得企业和政府可以放心地在i n t e r n e t 上传播关键信息，降低企 业组建和维护专用信息网络的成本，增加网络连接的灵活性。因此，v p n 技术具有很高的 应用价值。目前己被西方国家政府、企业采用，国内对虚拟私有网络技术的使用剐刚开 始，但发展势头猛烈。 本文综合分析了v p n 中的各神关键技术，在此基础之上研究与开发了v p n 系统。并着 重介绍了v p n 技术中占有重要地位的两个协议：l 2 t p 和i p s e c 协议。在l i n u x 上根据 r f c 2 6 6 1 实现了l 2 t p 协议中关键的部分：l n s 服务器。使得处于公网的普通w i n d o w s 客户 端通过v p n 拨号直接连上安装于l i n u x 上的l n s 服务器，访问内部网络。用十分低廉的 代价实现了安全可靠高速的v p n 。整个系统主要完成三方面的功能，用l 2 t p 协议隧道封 装，i p s e c 进行隧道加密以及p a p ，c h a p ，r a d i u s 三种认证处理。整个系统开发完成后，在 实际环境中进行了测试，测试的结果表明v p n 系统可以满足通过t e r n e t 安全传递数据 的需要，有很大的实用价值。 【关键词】虚拟私有网络；网络安全；隧道；第二层隧道协议；lp 安全协议 a b s tt a c t v i r t u a lp r i v a t en e t w o r k ( v p n ) t e c h n o l o g yi sak i n do fd e v e l o p i n ga n dp o p u l a r n e t w o r kt e c h n o l o g yi nr e c e n ty e a r s w a ni su s e db y g o v e r n m e n td e p a r t m e n t sw i t h m a n ys u b s e c t i o n sa n dl a r g ee n t e r p r i s e sw i t hm a n yb r a n c h e st oc o n n e c tt h e s e , s u b n e t b u tt h es p e c i a l1 i n et e c h n o l o g yw a sa d o p t e di np a s tt i m e t h ea d v a n t a g e o ft h es p e c i a ll i n ei ss a f e t ya n dc o n v e n i e n t ，b u ti t sc o s t st o oe x p e n s i v et ob e b o r nb yu s e r s i n1 9 9 0 s ，w i t ht h e h i g hp r o g r e s so fi n t e r n e t ，w eh o p et os e tu p n e t w o r ko f l a r g ee n t e r p r i s e sw i t hc h e a pi n t e r n e ts o u r c e b u tt h es a f e t yo f i n t e r n e ti sv e r yl o w ，w h i c hc a n tm e e tt h er e q u i r e m e n to fe n t e r p r i s e sn e t w o r k ： s ot h e s ee n t e r p r i s e sd o n ts e tu pi m p o r t a n tn e t w o r kc o m m u n i c a t i o no nt h ei n t e r n e t f o rs a f e t yp r o b l e m s v p nt e c h n o l o g yc o m e si n t ob e i n gi nt h es i t u a t i o n ，w h i c hw e p a ym o r ea t t e n t i o n t o i tt r a n s m i t t i n sp r i r a t ed a t av i at h ep u b l i cn e t w o r k i n t e r n e tm a yb ea d o p t e d a sm a i nn e t w o r kt os e tu ps a f e t ya n dr e l i a b l e l a r g en e t w o r ki nv p nt e c h n o l o g y a u t h e n t i c a t i o n ，e n c r y p ta n dt u n n e l i n gt e c h n o l o g ya r ei n t e g r a t e di nv p nt e c h n o l o g y s ov p nw i l lb ei n s t e a do ft h es p e c i a l1 i n et op e r f o r mn e t w o r ki n t e r c o n n e c t i o n s a f e l y a n de n t e r p r is e sa n dg o v e r n m e n td e p a r t m e n t sc a nt r a n s m itt h e i m p o r t a n t i n f o r m a t i o nv i ai n t e r n e t s ot h ec o s ti sl o w ，w h i c hi su s e dt os e tu pa n dr e p a i r t h es p e c i a li n f o r m a t i o nn e t w o r k a tt h es a m e t i m e ，t h ea b 祉i t yo ff l e x i b i l i t y c o n n e c t i o no ft h en e t w o r ki si np r o g r e s s s ov p nt e c h n o l o g yi sak i n do fv a l u a b l e t e c h n o l o g y i t i s a d o p t e db yg o v e r n m e n td e p a r t m e n t sa n de n t e r p r i s e si nw e s ta t p r e s e n t a n di th e g i n st ob eu s e di no u rc o u n t r y ，b u ti th a saf a s t p r o g r e s s a l lk i n d so fk e yt e c h n o l o g ya r ea n a l y s i z e di nt h i sa r t i c l e o nt h eb a s i sv p n s y s t e mi sr e s e a r c h e da n dd e v e l o p e d a n dt w oi m p o r t a n ta g r e e m e n t so fv p n ( l 2 t p a n di p s e c ) a r ei n t r o d u c e d o nl i n u x ，a c c o r d i n gt or f c 2 6 6 1 ，o n e sh a v er e a l i z e dt h e k e yp a r ti nl 2 t pa g r e e m e n t ：l n ss e r v e r w h i c hm a k e st h eo r d i n a r yw i n d o w sc u s t o m e r w h oi s i np u b li cn e th o l dt h el n ss e r v e rt h a ti n s t a l l st h r o u g hv p ng r o u pn u m b e r o nd i r e c tc o m p a n yo nl i n u x ，v i s i tl a n o n e sh a v er e a l i z e dt h ev p no fs a f er e l i a b l e h i g hs p e e dw i t hv e r yc h e a pp r i c e a 1 1t h es y s t e mm a i n l yh a v et h r e ef u n c t i o n s ， t u n n e l i n gu s e d o f l 2 t p ，e n c r y p t i o nu s e do fi p s e oa n da u t h e n t i c a t i o nu s e do f p a p ，c h a p ，r a d i u s v p n w a st e s ti nr e a l e n v i r o n m e n ta f t e ri ti s d e v e l o p e d c o m p l e t e l y t h et e s tr e s u l ts h o w st h a tv p ns y s t e mm a ym e e tt r a n s m i td a t as a f e t y v i ai n t e r n e t s ov p ns y s t e mi so fg r e a tu s e 【k e y w o r d s1v p n ；n e t w o r ks e c u r i t y ；t u n n e l ；l 2 t p ：i p s e c 0 前言 v p n ( v i r t u a lp r i v a t en e t w o r k ) 虚拟私有网络，是指运用隧道技术、用户身份 认证、数据认证和加密技术构建在公共网络上的临时、安全的专用网络。这里所指的公 共网络有多种，其中最主要的就是基于t c p i p 的i n t e r n e t 。v p n 技术是近年来兴起的网 络新技术。v p n 技术一出现就引起了设备制造商、i s p ( i n t e r n e ts e r v i c ep r o v i d e r ， i n t e r n e t 服务提供商) 和企业用户的广泛关注，成为未来网络安全研究和i n t e r n e t 应用 的一个重要方面。 是什么原因使得虚拟私有网络技术受到如此重视? 我们将从网络技术的应用发展历 程来探讨其根源。1 9 8 7 年，美国国家科学基金会n s f 承担建立了骨干网络，此网络在世 界范围内得到应用，被称为i n t e r n e t 。这是i n t e r n e t 的正式诞生。此后随着网络的关键 应用技术的诞生，比如1 9 8 9 年w w w 网诞生，i n t e r n e t 逐步得到商业社会的接受。随着社 会的日益信息化，i n t e r n e t 与i n t r a n e t 在银行系统、商业系统、管理部门、政府和军事 领域的应用日益广泛。但是到了1 9 9 5 年以后，由于t c p i p 协议栈在安全性方面固有的 弱点给i n t e r n e t 带来的不安全性，公共通信网络中存储和传输的数据安全问题，成为人 们普遍关注和重点研究的领域。重要而敏感的信息如果被非法窃听、截取、篡改或毁坏 将会带来灾难性的和无法估计的损失，商业领域的i n t r a n e t 使用热潮开始减弱。导致一 个更为严重的后果是使得人们丧失对i n t e i n e t 和i n t r a n e t 及信息高速公路的信赖，因 此安全而且实用的网络安全系统研究与开发显然是十分必要的。绝大多数企业不敢把他 们的重要商务活动连到i n t e r n e t 上进行。虽然通过对特定的电子商务的简单加密， i n t e r n e t 的安全性在一定程度上得到了加强。客户的网上电子交易，例如存取款操作或 商品零售能够安全地进行。但是许多企业所要求的具有很强保密性的企业商务活动的安 全条件还没有实现。企业为了保护自己，于是开发了相对独立的网络设施，即专用网。 高性能、高速度、高安全性是专用网明显的优势。专用网支持多种形式的广域网w a n 协议，比如帧中继、a t m 异步传输模式和t c p i p ，而i n t e r n e t 仅仅支持t c p i p 协议。 但是专用网的费用十分昂贵。如果一个大型的企业要通过光纤网络把其遍布全球的各个 办公室连接起来，该企业就要为建立专用网付出上亿美金的投资。专用网具有严格的专 用性，不能轻易地实现扩展和升级。专用网一旦建立起来，要在专用网上引入新的地域、 商业伙伴、提供商的连接，还需要巨大的工程量和昂贵的投入。 i n t e r n e t 则与专用网正好相反。i n t e r n e t 是不安全的，但是i n t e r n e t 无所不在， 可以灵活、轻易地实现扩展，引进新的连接点，并且使用费用非常低廉。 由上所述，专用网和i n t e r n e t 各有所长，它们的长处都是用户所期望的。但是长期 以来用户不得不在两者之中选择其一。而v p n 正是结合了专用网和i n t e r n e t 的长处的新 技术，所以它一出现立即就受到业界的广泛重视。虚拟私有网络为企业重返i n t e r n e t 信 息高速公路铺设了一条道路。关键性的加密技术、认证以及隧道协议的无缝整合的进步， 使得在i n t e r n e t 的基础上建立安全的虚拟私有网络成为可能。其中起决定性作用的标准， 例如l 2 t p 和i p s e c 的成熟发挥了关键作用。 v p n 可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信 的安全连接，并保证数据的安全传输。通过将数据流转移到低成本的i p 网络上，一个企 业的v p n 解决方案将大幅度地减少用户花费在w a n 建设上和远程网络连接上的费用。同 时，这将简化网络的设计和管理，加速连接新的用户和网站。v p n 可用于不断增长的移动 用户的全球i n t e r n e t 接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟 专用线路；用于连接到商业伙伴和用户的安全“外部网v p n ”。 目前我国在这个领域的研究仍处于落后阶段。由于国外对加密技术的限制和保护， 国内无法得到急需的安全而实用的网络安全系统和数据加密软件。同时，由于政治、军 事、经济上的原圜，我国也应研制开发并采用自己的网络安全系统和数据加密软件以满 足用户和市场的巨大需求，这也是信息安全技术有别于其它技术的重要特征。 本课题来自于“东北电子技术研究所网络系统建设”项目中的虚拟私有网络部分， 是整个项目中最为关键的部分。在此课题中，我主要进行了远程访问v p n 系统的研究与 开发工作。在实际工作中，对与之相关的理论知识进行了初步的学习与探讨，主要承担 了l n s 服务器的程序设计，嘣s 服务器作为基于协p 协议的7 p n 服务器的接入端，用来 响应来自客户的v p n 拨号。在实际工作中，我还参与了l 2 t p 的安装和配置过程、从l 2 t p 内部机制探讨、从理论分析到安全网络通讯的实现。在这篇论文中，我着重阐述l n s 服 务器的实现，基于i p s e c 的l 2 t p 隧道以及基于用户身份认证的v p n 的实现，通过对这些 关键问题的描述，使得v p n 技术以一种方便、廉价、实用、可靠的形式展现在广大企业 用户面前。 这篇论文结合我所参与的研究开发工作及学习所得，并在理论上加以丰富，在这里 与大家研讨和共勉。不足之处，敬请多如指教。 1 网络安全基础 在i n t e r n e t 上构建v p n ，首先要保障的就是v p n 的安全性。众所周知，i n t e r n e t 建 立在t c p i p 协议之上。而t c p i p 协议在制订之初就没有把安全问题考虑在内，完全没 有安全可言。要想让企业把敏感信息通过在i n t e r n e t 上构建的v p n 来传输，首先就要解 决安全问题。下面我们将深入地理解网络安全的含义，并揭示t c p i p 在安全上的缺陷， 以便更好地理解v p n 是如何在不安全的i n t e r n e t 上实现安全性保障的。 1 1 网络安全的含义及特征 网络安全从本质上讲就是网络上的信息安全。它涉及的领域非常广泛。从广义上来 说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和 理论，都是网络安全所要研究的领域。下面是网络安全的一个通用定义“。： 网络安全是指网络系统的硬件、软件及系统中的数据受到保护，不受偶然的或者是 恶意的原因而遭到破坏、更改、泄露，系统连续、可靠、正常地运行，网络服务不中断。 从用户( 个人、企业等) 的角度来说，他们希望涉及个人隐私或商业利益的信息在网 络上传输时受到机密性、完整性和真实性的保护，避免其他人或对手利用窃听、冒充、 篡改、抵赖等手段对用户的利益和隐私造成损害和侵犯，同时也希望当用户的信息保存 在某个计算机系统上时，不受其它非法用户的非授权访问和破坏。 从网络运行和管理者的角度说，他们希望对本地网络信息的访问、读写等操作受到 保护和控制、避免出现后门、病毒、非法存取、拒绝服务和网络资源非法占用和非法控 制等威胁、制止和防御网络黑客的攻击。 对于安全保密部门来说，他们希望对非法的、有害的或涉及国家机密的信息进行过 滤和防堵，避免其通过网络泄露，避免由于这类信息的泄密对社会产生危害，对国家造 成巨大的经济损失。 因此，网络安全在不同的环境和应用中会得到不同的解释“。： ( 1 ) 运行系统安全，既保证信息处理和传输系统的安全。包括计算机系统机房环境 的保护，法律、政策的保护，计算机结构设计上的安全性考虑，硬件系统的可靠安全运 行，计算机操作系统和应用软件的安全，数据库系统的安全，电磁信息泄露的防护等。 它侧重于保证系统正常的运行，避免因为系统的崩溃和损坏而对系统存储、处理和传输 的信息造成破坏和损失，避免由于电磁泄露，产生信息泄露，干扰他人( 或受他人干扰) ， 本质上是保护系统的合法操作和正常运行； ( 2 ) 网络上系统信息的安全。包括用户口令鉴别，用户存取权限控制，数据存取权 限，安全审计，安全问题跟踪，计算机病毒防治，数据加密： ( 3 ) 网络上信息传播的安全，即信息传播后果的安全。包括信息过滤，不良信息的 过滤等。它侧重于防止和控制非法、有害的信息进行传播后的后果。避免公用通信网络 上大量自由传输的信息失控。本质上是维护道德、法规或国家利益； 基于四的嚆崮鼎有刚射期礴孤与研究 一_-_-_-_-_-_-_-_-_-_一 ( 4 ) 网络上信息内容的安全，即我们讨论的狭义的“信息安全”。它侧重于保护信息 的保密性、真实性和完整性。避免攻击者利用系统的安全漏洞进行窃听、冒充、诈骗等 有损于合法用户的行为。本质上是保护用户的利益和隐私。 由此可见，网络安全的本质是在信息的安全期内保证其在网络上流动时或者静态存 放时不被非授权用户非法访问，但授权用户却可以访问。显然，网络安全、信息安全和 系统安全的研究领域是相互交叉、紧密相连的。 网络安全的含义是通过各种计算机、网络、密码技术和信息安全技术，保护在公用 通信网络中传输、交换和存储的信息的机密性、完整性和真实性，并对信息的传播及内 容具有控制能力。网络安全应具有以下四个方面的特征“1 ： 保密性：信息不泄露给非授权的用户、实体或过程，或供其利用的特征。 完整性：数据未经授权不能进行改变的特性，即信息在存储或传输过程中保持 不被修改、不被破坏和丢失的特性。 可用性：可被授权实体访问并按需求使用的特性，即当需要时应能存取所需的 信息。网络环境下拒绝服务、破坏网络及有关系统的正常运行等都属于对可用 性的攻击。 可控性：对信息的传播及内容具有控制能力。 通过对网络安全的含义和特征进行分析后，我们明确了v p n 技术在安全方面的目标， 就是要通过各种计算机、网络、密码技术和信息安全技术，保护在虚拟私有网中传输、 交换和存储的信息的机密性、完整性和真实性。 下面我们将进一步研究t c p i p 协议的不安全方面，以及我们可以对它进行的改善。 1 2t c p i p 协议及其固有的安全缺陷 i n t e r n e t i n t r a n e t 是基于t c p i p 协议族的计算机网络“。尽管t c p i p 技术获得 了巨大成功，但也越来越暴露出它在安全上的不足之处，这是由于t c p i p 协议在设计 初期基本没有考虑至q 安全性问题。t c p i p 协议的安全缺陷主要表现在”。： ( 1 ) t c p i p 协议数据流采用明文传输。目前t c p i p 协议主要建立在以太网上，以 太网的一个基本特征是：当一个网络设备发送一个数据包，同网段上每个网络设备都会 收到这个数据包，然后检查其目的地址来决定是否处理这个数据包( 否就丢弃，是就接 收) 。如果以太网卡处于一种混杂工作模式下，此网卡会接收并处理所有的数据包。因此 数据信息很容易被在线窃听、篡改和伪造。特别是在使用f t p 和t e l n e t 时，用户的帐号、 口令是明文传输，所以攻击者可以截取含有用户帐号、口令的数据包，进行攻击。例如 使用s n i f f e r 程序、s n o o p 程序、网络分析仪、c i n c on e t w o r k s 公司的n e t x r a y 、a gg r o u p 公司的e t h e r p e e k 等都可以截取用户帐号和口令； ( 2 ) 源地址欺骗( s o u r c ea d d r e s ss p o o f i n g ) 或i p 欺骗( i ps p o o f i n g ) 。t c p i p 协议是用i p 地址来作为网络结点的唯一标识，但是结点的i p 地址又是不固定的，是一 个公共数据，因此攻击者可以直接修改结点的i p 地址，冒充某个可信任结点的i p 地址， 进行攻击。因此i p 地址是不能被当作一种可信的认证方法； 2 堑竺塑堑堕塑塑塑堕 ( 3 ) 源路由选择欺骗( s o u r c er o u t i n gs p o o f i n g ) 。t c p i p 协议中，为测试目的， i p 数据包设置了一个选项i ps o u r c er o u t i n g ，该选项可以直接指明到达结点的路由。 攻击者可以利用这个选项进行欺骗，进行非法连接。攻击者可以冒充某个可信任结点的 i p 地址，构造一个通往某个服务器的直接路径和返回的路径，利用可信用户作为通往服 务器的路由中的最后一站，就可以向服务器发请求，对其进行攻击。在t c p i p 协议的两 个传输层协议t c p 和u d p 中，由于u d p 是面向非连接的，因而没有初始化的连接建立过 程，所以u d p 更容易被欺骗； ( 4 ) 路由信息协议攻击( r i pa t t a c k s ) 。r i p 协议用来在局域网中发布动态路由信息。 它是为了在局域网中的结点提供一致路由选择和可达性信息而设计的。但是结点对收到 的信息是不检查它的真实性的( t c p i p 协议没有提供这个功能) ，因此攻击者可以在网上 发布假的路由信息，利用i c m p 的重定向信息欺骗路由器或主机，将正常的路由器定义为 失效路由器，从而达到非法存取的目的； ( 5 ) 鉴别攻击( a u t h e n t i c a t i o na t t a c k s ) 。t c p i p 协议只能以i p 地址进行鉴别， 而不能对结点上的用户进行有效的身份认证，因此服务器无法鉴别登陆用户的身份有效 性。目前主要依靠服务器软件平台提供用户控制机制，比如u n i x 系统采用用户名、口令。 虽然口令是密文存放在服务器上，但是由于口令是静态的、明文传输的，所以无法抵御 重传、窃听，而且在u n i x 系统中常常将加密后的口令文件存放在一个普通用户就可以读 的文件里，攻击者也可阻运行己准备好的口令破译程序来破译口令，对系统进行攻击； ( 6 ) t c p 序列号欺骗( t c ps e q u e n c en u m b e rs p o o f i n g ) 。由于t c p 序列号可以预测， 因此攻击者可以构造一个t c p 包序列，对网络中的某个可信结点进行攻击； ( 7 ) s y nf l o o d 是当前最流行的d o s ( 拒绝服务攻击) 与d d o s ( 分布式拒绝服务攻 击) 的方式之一，s y n 即同步( s y n c h r o n i z e ) ，简称s y n 攻击。对一个给定的应用服务， 比如w w w 服务，并发的t c p 连接请求有一个限度，如果达到了这个限度，别的请求将会 被拒绝。采用地址欺骗的方式可以轻松的达到攻击目的。 因为i n t e r n e t 是基于t c p i p 协议的，所以t c p i p 协议中存在的安全技术缺陷导致 了i n t e r n e t 的不安全性。要在不安全的i n t e r n e t 上构建安全的v p n ，首先就得克服这些 缺陷。 1 3t o p i p 协议的分层安全特性 前面描述了t c p i p 的安全缺陷。针对这些安全缺陷，我们就可以在不同的协议层 采取措施来提高安全性。在当今的i n t e r n e t 中，存在着大量特制的协议，专门用来保障 网络各个层次的安全。决定到底在协议堆栈的什么地方应用安全措施时，要依赖于应用 ( 程序) 对安全保密的要求，以及用户自己的一些需要。但无论在堆栈的什么地方采取安 全措施，下面这些基本服务都是必须要提供的“。： 密钥管理 机密性 不可抵赖 茎! 婴墅墅堕塑塑鎏婴 完整性身份验证 授权 基于堆栈的某个层实施安全措施，可以有选择性地提供上述部分或全部服务。在某 些情况下，我们有必要在某一层提供部分安全服务，而在另一层提供其它服务。 下面我们将讨论在堆栈各层提供安全保障的优点与缺点。 1 3 1 应用层 应用级的安全措施必须在端主机上实施。在应用层提供安全保障有下述几方面优点： 由于是以用户为背景执行，所以更容易访问用户凭据，比如私人密钥等。 对用户想保护的数据具有完整的访问权。这使简化了提供一些特殊的服务的任 务，比如不可抵赖。 一个应用可自由扩展，不必依赖操作系统来提供这些服务。通常，对于操作系统 上实施的东西没什么控制权。 应用程序对数据有着充分的理解，可据此采取相应的安全措施。 应用层安全的缺点在于针对每个应用，都要单独设计一套安全机制。这意味着对现 有的应用来说，必须对其进行改进，才能提供安全保障。由于每个应用都必须定义自己 的安全机制，所以犯错误的机率大增，有可能为黑客打开更多的安全漏洞。 在应用程序中实施安全机制时，程序要和一个特殊的系统集成到一起，建立起最终 的安全机制。此类系统的例子包括p 6 p 、k e r b e r o s 以及s e c u r es h e l l ( 安全外壳) 。这些 系统均属应用级的协议，可提供密钥协商以及其它安全服务。应用程序通过改进，可调 用这种系统，以使用它们的安全机制。一个典型的例子是e 一l a l l 客户端软件“3 ，它用 p g p 来保障电子邮件的安全。在这种情况下，e m a l l 客户端通过扩展，增加了下面这些 额外的功能； 可在一个本地数据库里查找与某位特定用户对应的公共密钥。 可提供多种安全服务，比如加密解密、不可抵赖( 信件加上了自己的签名，其 发件人不容抵赖) 以及对电子邮件发件人的身份进行验证等等。 对应用程序而言，应根据需要设计好自己的安全机制，并不可依赖较低的层来提供 这些服务。“不可抵赖”安全服务便是这样的一个例子。对低层服务来说，其实很难提供 “不可抵赖”服务，因为它们没有权利访问数据。 1 3 2 传输层 与应用层安全相比，在传输层提供安全服务具有一些弱显的好处因为它不会强制要 求每个应用都在安全方面作出相应的改进。即使现有的应用本身没有提供安全服务，也 能自然、“无缝”地获得安全服务。 然而，由于要取得用户背景( 或称“用户场景，) ，所以情况也变得复杂起来”。为 提供由具体用户决定的服务，我们假定只有一名用户使用系统，而且这种假定目前己成 4 耋要里! 型塑塑壁堂塑曼婴堕一 为一种标准的做法。与应用级的安全类似，传输层的安全只可在端系统( e n d s y s t e m ) 实现。 具体的传输层安全措施要取决于具体的协议。其中，称为“传输层安全”( t l s ) 的协 议在t c p 的顶部提供了如身份验证、完整性检验以及机密性保证这样的安全服务。t l s 需要为一个连接维持相应的场景，而且目前并未在u d p 上实现，因为u d p 并不维持任何 场景。由于安全机制与特定的传输协议有关，所以像密钥管理这样的安全服务可能在每 种传输协议中都要重复。 根据目前的定义，传输层安全的另一个限制是应用程序仍需进行修改，才能请求传 输层提供安全服务。 1 3 3 网络层 在这一层实现安全服务具有多方面的优点。首先，密钥协商的开销被大大地削减了。 这是由于多种传送协议和应用程序可共享由网络层提供的密钥管理架构。其次，假如安 全服务在较低层实现，那么需要改动的应用程序便要少得多。通过它，我们不必集中在 较高的层实现大量安全协议。假如安全协议在较高的层实现，那么每个应用都必须设计 自己的安全机制。这样做除极易产生安全漏洞以外，而且出现犯错误的机率也会大增“。 另外，对于任何传送协议，都可为其“无缝”地提供安全保障。 在网络层提供安全服务的缺点是很难解决象数据的“不可抵赖”之类的问题。这样 的问题最好还是在较高的层解决。若在网络层提供安全服务，很难在一部多用户的机器 上实现按用户进行的控制。然而，我们可在终端主机上提供相应的机制，实现以用户为 基础的安全保障。在路由器上，由于不存在用户“场景”，所以这个问题不会出现。 在网络层提供安全服务的一个例子就是i p s e c 协议。i p s e c 是目前唯一一种能为任 何形式的i n t e r n e t 通信提供安全保障的协议。此外，i p s e c 也允许提供逐个数据流或者 逐个连接的安全，所以能实现非常细致的安全控制。 1 3 4 数据链路层 假定两个主机或路由器之间存在一条专用通信链路，而且为避免有人“窥视”，所有 通信都需加密，便可用硬件设备来进行数据加密。 这样做最大的好处在于速度。然而，该方案不易扩展，而且仅在专用链路上才能很 好地工作。另外，进行通信的两个实体必须在物理上连接到一起。 这种安全模型在自动柜员机( a t h ) 上得到了广泛的应用。所有机器均通过专用线路连 接到中心办公室。假如a t m 连接到一个i p 网络，而不是采用专用的安全链路，那么数据 链路层的安全并不足以保证通信的安全，必须向上移动一层，以提供安全服务。 l 2 t p 协议是为利用i n t e r n e t 作为远程访问的基础设施而设计的隧道协议，工作在 o s i r m 体系结构的第二层。通过使用隧道协议，在v p n 节点之间建立逻辑上独立的隧道 以进行通信。隧道技术的应用，很好的解决了上述问题，受到广泛支持，成为v p n 的关 键技术之一。l 2 t p 协议将是本论文研究的重点。 2 虚拟私有网络概述 虚拟私有网络( v p n ) 被定义为通过一个公共网络( i n t e r n e t ) 建立的一个临时的、安全 的连接，是一条穿过混乱的公用网络的安全、稳定的隧道，它是对企业内部_ 网的扩展“。 2 1 从专用网到v p n 的发展 2 1 1 专用网的应用 现代企业的发展日益集团化、国际化，企业集团总部与遍布各地的分公司通过计算 机网络连接起来。通常情况下，企业总部，各地分公司都构建本地的局域网按传统方 式，这些局域网之间通过专线连接，形成企业的专用网，如图2 1 所示： 图2 1 专用网结构 f i g u r e2 一ls p e c i a ln e t w o r ks t r u c t u r e 为确保企业专网内部数据传输的安全性，一般都选用租用专线来进行固定连接，对 于远程移动用户，没有本地局域网的分公司、合作伙伴，则需拨号到总公司来存取企业 资源。利用专线构建专用网的优点是安全性能高，有带宽保证。但是它的缺点是不论是 租用电信部门的专线还是自己搭建的专线其费用都非常昂贵，还需要购买大量的专用网 络设备，例如为了让外地员工、分公司、合作伙伴通过远程拨号连接到总公司就需要构 建专用拨号接入系统，专用拨号接入系统包括通信服务器、调制解调器池。同时需要支 付昂贵的远程拨号通话费。还需要大量的专业人员来维护专用网。此外传统的专线专用 网灵活性差，不易于进行扩展。 2 1 2v p n 与专用网的比较 与传统的企业专用网构建方式不同，v p n 以公共网络i n t e r n e t 为基础平台来构建企 6 业的虚拟私有网，如图2 2 所示 图2 2v p n 虚拟私有网络结构 f i g u r e2 2v p ns t r u c t u r e 显然，v p n 方式无需租借费用昂贵的固定连接的专线，公司总部和各分公司只需与当 地的i n t e r n e t 服务商( i s p ) 连接。远程移动用户访问公司总部资源也无需拨打长途电话， 只需通过市话拨接当地的i s p ，通过i n t e r n e t 网建立一条通道与公司总部连接。相对于 传统的专线式网络连接，v p n 架构具有以下优点9 1 ： ( 1 ) 方便的扩充性。用户可以利用虚拟私有网络技术方便地重构企业的私用网络， 实现异地业务人员的远程接入，加强与客户、合作伙伴之间的联系，以进一步适应虚拟 企业的新型企业组织形式。 ( 2 ) 方便的管理。虚拟私有网络将大量的网络管理工作放到互联网络服务提供者 ( i s p ) 一端来统一实现，从而减轻了企业内部网络管理的负担。同时虚拟私有网络也提 供信息传输、路由等方面的智能特性以及与其他网络设备独立的特性，也便于用户进行 网络管理。 ( 3 ) 显著的成本效益。刹用现有的i n t e r n e t 网络构架组建企业内部专用网络，将专 用网络建立在公用网络之上，用户只需要投入用户端网络设各及只支付本地通信费用( 免 去长途通信费用) ，这将极大地降低网络建设、通信和维护成本，从而节省了大量的投资 成本及后续的运营维护成本。 ( 4 ) 网络覆盖面宽。利用i n t e r n e t 的广域特性，可将企业的业务范围延伸到世界的 每个角落。 ( 5 ) 理想的专用性。虽然虚拟私有网络是建立在开放的i n t e r n e t 之上，但由于综合 采用了隧道、加密和认证等安全技术，使虚拟私有网络的专用性和安全性几乎可与传统 的专用网媲美。 ( 6 ) 良好的灵活性。通过虚拟私有网络技术可以方便地重构i n t e r n e t 与e x t r a n e t 中的网络结构关系，移动用户也可在任何地点访问i n t e r n e t 和e x t r a n e t 中的网络资源， 这是传统专用网无法相比的。 总之，v p n 可以弥补现有企业局域网的局限性，将网络连线范围低成本地予以扩充， 基于哪的魁蝎砰积哟| j 盎术赛魄与研究 使异地分公司、移动工作者、远程用户、客户、合作伙伴都能连上企业内部网。它不但 可以降低服务成本，缩减长途通信费用，减少硬件投入，简化长期的广域网的维护、运 作，而且可以确保网络上数据传输的安全性。 根据i n f o n e tr e s e a r c hi n c s a n j o s e 的统计报告发现：虚拟私有网络产品、系统 集成和服务的市场将以每年超过1 0 0 的增长率发展，从1 9 9 7 年的$ 2 0 5 百万到2 0 0 1 年 的$ 1 1 9 亿。因此进行虚拟私有网络的研究与开发有非常广阔的市场前景。 2 1 3v p n 的现状及在我国的发展前景 由于v p n 技术包含的极大商业价值，所以该技术一经出现，就引起了业界的广泛关 注。国外3 c o m 、c i s c o 、b a y 、c a b l e t r o n 、c h e c kp o i n ts o f t w a r et e c h n o l o g i e sl t d 等厂商己纷纷推出各自的v p n 产品，急于抢占v p n 市场。 国际上的各个知名企业纷纷不失时机地推出自己的产品。c h e c kp o i n ts o f t w a r e t e c h n o l o g i e sl t d 的v p n l 是纯软件的v p n 产品。c i s c o 也推出了一系列支持v p n 的路 由器平台，包括用于企业和地区办公环境的c i s c o7 5 0 0 、7 2 0 0 v x r 和7 2 0 0 商端路由器， 以及用于小型地区、分支机构及远程个人的c i s e 0 3 6 0 0 、2 6 0 0 、1 7 2 0 和8 0 0 路由器，它 们具有可选的支持i p s e c 的硬件加密模块。原b a y 公司的外部网交换机c e s 4 0 0 3 、2 0 0 0 、 1 0 0 0 也支持i p s e c 隧道，可以用于组建v p n 。3 c o m 公司的p a t h b u i l d e rs 5 0 0 系列隧道交 换机也支持v p n 。而c a b l e t r o n 公司通过收购i n d u sr i v e r 网络公司，在v p n 领域具有了 较强实力。c a b l e t r o n 支持v p n 的产品有s s r 2 0 0 0 、8 0 0 0 和8 6 0 0 系列路由器以及s s r l 0 0 、 2 0 0 和5 0 0 系列分支办公室路由器，它们支持l 2 t p 隧道协议、i p s e c 、d e s 和3 d e s 加密 等”1 。其它还有一些公司相继推出自己的v p n 产品。但由于v p n 标准化程度不高，所以 各个公司产品的互操作性不高。这个问题的解决有待于v p n 技术的进一步研究及相关标 准的制定。国内厂商也有v p n 产品的问世，例如华为公司的a 8 0 1 0 接入服务器，能够支 持p p t p 、l 2 f 和l 2 t p 协议。 v p n 市场在我国虽然并不发达，但也开始出现，从2 0 0 0 年以来，吉通、广东省数据 局、中国电信相继推出v p n 业务。其中吉通和广东省数据局使用的是c i s c o 的产品。中 国电信用的是3 c o m 的产品。 应该看到，v p n 技术目前在国内的应用并不广泛，这是由于国内企业利用网络平台 来开展企业业务的应用并不广泛，网络资源不丰富，也就谈不上保护信息资源的需要。 但是随着企业网络应用的深入，以及政府上网力度的加大，对网络安全的重视，v p n 市场 的需求会越来越大。因此在v p n 市场真正来临之前，我们有必要对v p n 技术展开研究， 并且在加密等关键领域研发出自己的国有产品，不再受限于国外厂商，确保安全产品的 真正安全。 2 2 虚拟私有网络的分类 根据不同需要，可以构造不同类型的v p n 。不同环境对v p n 的要求各不相同，v p n 所 8 基于l 2 t p 的显托劓有网络白阿田瞄研究 。 。+ 一h r ，r 一 起的作用也各不相同。根据技术应用环境的特点，可将v p n 分为如下三类“。： ( 1 ) 在公司总部和分支机构之间建立v p n ，称为“内部网v p n ”。 ( 2 ) 在公司总部和远地雇员或旅行之中雇员之间建立v p n ，称为“远程访问v p n ”。 ( 3 ) 在公司与商业伙伴、顾客、供应商、投资者之间建立v p n ，称为“外部网v p n ”。 下面将详细介绍这三种类型的v p n 。 2 2 1 内部网v p n 内部网v p n 是通过公共网络将一个组织的各分支机构的局域网( l a n ) 连接而成的网 络，