利用防火墙构建VPN设计和应用 许琛捷
利用防火墙构建VPN设计和应用
第一章绪论
1.1 VPN技术以及防火墙技术概述
Internet的发展给政府结构、企事业单位、个人用户带来了革命性的改革和开放。他们正努力通过利用Internet来提高办事效率和反应速度，以便更具竞争力。通过Internet，用户可以从异地取回重要数据，同时又要面对Internet开放带来的数据安全的新挑战和新危险：通过一个公用网络建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的“隧道”使客户、销售商、移动用户、远程用户和内部用户的安全访问；以及保护企业的机密信息不受黑客和工业间谍的入侵。因此企业必须加筑安全的“战壕”和“隧道”，而这个\战壕\就是防火墙，“隧道”就是VPN（虚拟专用网）。
根据国际著名的网络安全研究公司Hurwitz Group的结论，在考虑网络安全问题的过程中 ，有五个方面的问题：网络的安全问题，操作系统的安全问题，用户的安全问题，应用程序的安全问题，以及数据的安全问题。 ● 网络层的安全性（Network Integrity）
网络层的安全性问题即对网络的控制，即对进入网络的用户的地址进行检查和控制。每一个用户都会通过一个独立的IP地址对网络进行访问，这一IP地址能够大致表明用户的来源所在地和来源系统。目标网站通过对来源IP进行分析，便能够初步判断来自这一IP的数据是否安全。
防火墙产品和VPN——虚拟专用网就是用于解决网络层安全性问题的。防火墙的主要目的在于判断来源IP，阻止危险或未经授权的IP的访问和交换数据。 VPN主要解决的是数据传输的安全问题，其目的在于内部的敏感关键数据能够安全地借助公共网络进行频繁地交换。后面将对VPN作具体的介绍。 ●操作系统的安全性（System Integrity）
在系统安全性问题中，主要防止：一、病毒的威胁；二、黑客的破坏和侵入。 ●用户的安全性（User Integrity）
对于用户的安全性问题，考虑的是用户的合法性。认证和密码就是用于这个问题的。通常根据不同的安全等级对用户进行分组管理。不同等级的用户只能访问与其等级相对应的系统资源和数据。然后采用强有力的身份认证，并确保密码难以被他人猜测到。 ●应用程序的安全性（Application Integrity）
即只有合法的用户才能够对特定的数据进行合法的操作。包括应用程序对数据的合法权限和应用程序对用户的合法权限。 ●数据的安全性（Application Confidentiality）
既用加密的方法保护机密数据。在数据的保存过程中，机密的数据即使处于安全的空间，也要对其进行加密处理，以保证万一数据失窃，他人也读不懂其中的内容。这是一种比较被动的安全手段，但往往能够收到最好的效果。
上述的五层安全体系并非孤立分散，它们是互相影响，互有关联的。尤其是加密和认证技
第3页
利用防火墙构建VPN设计和应用 许琛捷
术，在各个层次都有所应用，是网络安全的基础之一。下面就应用了许多这些技术的网络层的安全技术VNP—虚拟专用网络及防火墙技术做具体的讨论。
1.1.1 VPN技术概述
以前，要想实现两个远地网络的互联，主要是采用专线连接方式。这种方式虽然安全性 高，也有一定的效率，成本太高。随着Internet的兴起，产生了利用Internet网络模拟安全性较好的局域网的技术—虚拟专用网技术。这种技术具有成本低的优势，还克服了 Internet 不安全的弱点。其实，简单来说就是在数据传送过程中加上了加密和认证的网络安全技术。
在VPN网络中，位于Internet两端的网络在Internet上传输信息时，其信息都是经过RSA 非对称加密算法的Private/Public Key加密处理的，它的密钥（Key）则是通过Diffie-Hellman算法计算得出。如，假设Ａ、Ｂ在Internet网络的两端，在Ａ端得到一个随机数，由VPN通过Diffie-Hellman算法算出一组密钥值，将这组密钥值存储在硬盘上，并发送随机数到B端，B端收到后，向A端确认，如果验证无误则在B端再由此产生一组密钥值，并将这组值送回A端，注册到Novell的目录服务中。这样，双方在传递信息时便会依据约定的密钥随机数产生的密钥来加密数据。
确切来说，虚拟专用网络(Virtual Private Network ,VPN)是利用不可靠的公用互联网络 作为信息传输媒介，通过附加的安全隧道、用户认证和访问控制等技术实现与专用网络 相类似的安全性能，从而实现对重要信息的安全传输。根据技术应用环境的特点，VPN大致包括三种典型的应用环境，即Intranet VPN， Remote Access VPN和Extranet VPN。其中Intranet VPN主要是在内部专用网络上提供虚拟子 网和用户管理认证功能；Remote Access VPN侧重远程用户接入访问过程中对信息资源的保护；而Extranet VPN则需要将不同的用户子网扩展成虚拟的企业网络。这三种方式中 Extranet VPN应用的功能最完善，而其他两种均可在它的基础上生成，这里主要是针对Extranet VPN来谈。
VPN技术的优点主要有：
(1) 信息的安全性。虚拟专用网络采用安全隧道(Secure Tunnel)技术安全的端到端的连接服务，确保信息资源的安全。
(2) 方便的扩充性。用户可以利用虚拟专用网络技术方便地重构企业专用网络(Private Network)，实现异地业务人员的远程接入。
(3) 方便的管理。VPN将大量的网络管理工作放到互联网络服务提供者(ISP)一端来统一实现，从而减轻了企业内部网络管理的负担。同时VPN也提供信息传输、路由等方面的智能特性及其与其他网络设备相独立的特性，也便于用户进行网络管理。
(4) 显著的成本效益。利用现有互联网络发达的网络构架组建企业内部专用网络，从而 节省了大量的投资成本及后续的运营维护成本。
实现VPN的关键技术有：
(1) 安全隧道技术(Secure Tunneling Technology)。通过将待传输的原始信息经过加密和协议封装处理后再嵌套装入另一种协议的数据包送入网络中，像普通数据包一样进行传输.经过这样的处理，只有源端和目标端的用户对隧道中的嵌套信息能进行解释和处理，而对于其他用户而言只是无意义的信息。
隧道技术的基本过程是在源局域网与 公网的接口处将数据(可以是ISO 七层模型中的数据链路层或网络层数据)作为负载封装在一种可以在公网上传输的数据格式中，在目的局域网与公网的接口处将数据解封装，取出负载。被封装的数据包在互联网上传递时所经过的逻辑路径被称为“隧道”。
第4页
利用防火墙构建VPN设计和应用 许琛捷
要使数据顺利地被封装、传送及解封装，通信协议是保证的核心。目前VPN隧道协议有4种：点到点隧道协议PPTP、第二层隧道协议L2TP、网络层隧道协议IPSec以及SOCKS v5，它们在OSI 七层模型中的位置如表所示。各协议工作在不同层次，无所谓谁更有优势。但我们应该注意，不同的网络环境适合不同的协议，在选择VPN产品时，应该注意选择。
1．点到点隧道协议—PPTP
PPTP协议将控制包与数据包分开，控制包采用TCP控制，用于严格的状态查询及信令信息；数据包部分先封装在PPP协议中，然后封装到GRE V2协议中。目前，PPTP协议基本已被淘汰，不再使用在VPN产品中。
2．第二层隧道协议—L2TP L2TP是国际标准隧道协议，它结合了PPTP协议以及第二层转发L2F协议的优点，能以隧道方式使PPP包通过各种网络协议，包括ATM、SONET和帧中继。但是L2TP没有任何加密措施，更多是和IPSec协议结合使用，提供隧道验证。
3．IPSec协议
IPSec协议是一个范围广泛、开放的VPN安全协议，工作在OSI模型中的第三层——网络层。它提供所有在网络层上的数据保护和透明的安全通信。IPSec协议可以设置成在两种模式下运行：一种是隧道模式，一种是传输模式。在隧道模式下，IPSec把IPv4数据包封装在安全的IP帧中。传输模式是为了保护端到端的安全性，不会隐藏路由信息。1999年底，IETF安全工作组完成了IPSec的扩展，在IPSec协议中加上了ISAKMP协议，其中还包括密钥分配协议IKE和Oakley。
一种趋势是将L2TP和IPSec结合起来: 用L2TP作为隧道协议，用IPSec协议保护数据。目前，市场上大部分VPN采用这类技术。
优点：它定义了一套用于保护私有性和完整性的标准协议，可确保运行在TCP/IP协议上的VPN之间的互操作性。
缺点：除了包过滤外，它没有指定其他访问控制方法，对于采用NAT方式访问公共网络的情况难以处理。
适用场合：最适合可信LAN到LAN之间的VPN。
4．SOCKS v5协议
SOCKS v5工作在OSI模型中的第五层——会话层，可作为建立高度
安全的VPN的基础。SOCKS v5协议的优势在访问控制，因此适用于安全性较高的VPN。 SOCKS v5现在被IETF建议作为建立VPN的标准。
优点：非常详细的访问控制。在网络层只能根据源目的的IP地址允许或拒绝被通过，在会话层控制手段更多一些；由于工作在会话层，能同低层协议如IPV4、IPSec、PPTP、L2TP一起使用；用SOCKS v5的代理服务器可隐藏网络地址结构；能为认证、加密和密钥管理提供“插件”模块，让用户自由地采用所需要的技术。SOCKS v5可根据规则过滤数据流，包括Java Applet和Actives控制。
缺点：其性能比低层次协议差，必须制定更复杂的安全管理策略。
适用场合：最适合用于客户机到服务器的连接模式，适用于外部网VPN和远程访问VPN。
(2) 用户认证技术(User Authentication Technology)。在正式的隧道连接开始之前需
第5页
利用防火墙构建VPN设计和应用 许琛捷
要确认用户的身份，以便系统进一步实施资源访问控制或用户授权。
(3) 访问控制技术(Access Control Technology)。由VPN服务的提供者与最终网络信息资源的提供者共同协商确定特定用户对特定资源的访问权限，以此实现基于用户的访问 控制，以实现对信息资源的最大限度的保护。
1.1.2 防火墙技术概述
Internet 的发展给政府结构、企事业单位带来了革命性的改革和开放。他们正努力通过利用 Internet 来提高办事效率和市场反应速度，以便更具竞争力。通过 Internet ，企业可以从异地取回重要数据，同时又要面对 Internet 开放带来的数据安全的新挑战和新危险：即客户、销售商、移动用户、异地员工和内部员工的安全访问；以及保护企业的机密信息不受黑客和工业间谍的入侵。因此企业必须加筑安全的 \战壕 \，而这个 \战壕 \就是防火墙。
防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用网络与公用网络的互联环境之中，尤其以接入 Internet 网络为最甚。
1.1.2.1什么是防火墙？
防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。
在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和 Internet 之间的任何活动，保证了内部网络的安全。
1.1.2.2 防火墙能做什么？ 防火墙是网络安全的屏障：
一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的 NFS 协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如 IP 选项中的源路由攻击和 ICMP 重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。 防火墙可以强化网络安全策略：
通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。 对网络存取和访问进行监控审计：
如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并做出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。
防止内部信息的外泄：
通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部
第6页