用3Com防火墻實現VPN功能

2019-11-05 01:57:31

字體：大中小

來源：轉載

供稿：網友

　　VPN技術是指在公共的網絡平臺上傳輸用戶私有的數據，實現方式是在公網如Internet上搭建隧道，從而使得在不安全的互聯網上傳輸私有數據得到保證。這種技術的效果類似于傳統的租用專線聯網方式，但其費用遠比采用專線方式聯網要便宜。

目前與企業相關的VPN隧道協議分三種：點到點隧道協議PPTP，第二層隧道協議L2TP，網絡層隧道協議ipSec。而VPN在企業中的組網方式分四種：遠程訪問（客戶端到網關），分支機構互連（網關到網關），Extranet VPN（網關到網關，用于合作伙伴/客戶等），Intranet VPN。在各種組網方式下要仔細選用不同的隧道協議。

支持VPN的產品種類很多，包括路由器，主機網關，撥號接入設備，隧道加密機，隧道交換機等等。但利用防火墻支持VPN越來越流行，因為它既能提供VPN實現網絡互連，又能保護企業內部的資源免受外部網絡的攻擊。因此，帶VPN功能的防火墻可以提供更全面的安全解決方案。

3Com公司防火墻VPN產品

目前，3Com公司的防火墻產品包括兩種型號：

SuperStack 3防火墻

OfficeConnect DMZ防火墻

SuperStack 3防火墻主要用于企業中心以及大型分支辦公室，OfficeConnect DMZ防火墻只要用于小型分支辦公室。

這兩種VPN防火墻都采用實時操作系統，并經過修剪，專門用于網絡安全功能，徹底避免了傳統軟件防火墻由于依靠UNIX和Windows NT操作系統而帶來的潛在漏洞。同時，采用高性能安全防火墻引擎，提供狀態包檢測保護，屬于專用硬件防火墻，能夠為大中小企業提供高性能價格比的解決方案。

為了提供高性能，高安全性的VPN，3Com公司防火墻采用專用硬件加速引擎，并采用標準的網絡層IPsec 協議。下面介紹IPsec VPN與其它兩種VPN協議的比較。

點到點隧道協議-PPTP

PPTP協議在一個已存在的IP連接上封裝PPP會話，只要網絡層是連通的，就可以運行PPTP協議。PPTP協議將控制包與數據包分開，控制包采用TCP控制，用于嚴格的狀態查詢以及信令信息；數據包部分先封裝在PPP協議中，然后封裝到GRE V2協議中.GRE是通用路由封裝協議，用于在標準IP包中封裝任何形式的數據包，因此PPTP可以支持所有的協議，包括IP，IPX，NetBEUI等等。除了搭建隧道，PPTP本身沒有定義加密機制，但它繼續了PPP的認證和加密機制，包括認證機制PAP/CHAP/MS-CHAP以及加密機制MPPE。

第二層隧道協議-L2TP

L2TP是一個國際標準隧道協議，它結合了PPTP協議以及第二層轉發L2F協議的優點。L2TP與PPTP的最大不同在于L2TP將控制包和數據包合二為一，并運行在UDP上，而不是TCP上。UDP省去了TCP中同步、檢錯、重傳等機制，因此L2TP速度很快。與PPTP類似，L2TP也可支持多種協議。L2TP協議本身并沒有提供任何加密功能。

IPsec協議

IPsec是標準的第三層安全協議，用于保護IP數據包或上層數據，它可以定義哪些數據流需要保護，怎樣保護以及應該將這些受保護的數據流轉發給誰。由于它工作在網絡層，因此可以用于兩臺主機之間，網絡安全網關之間（如防火墻，路由器），或主機與網關之間。

IPsec協議分兩種：ESP和AH，這兩種協議都可以提供網絡安全，如數據源認證（確保接收到的數據是來自發送方），數據完整性（確保數據沒有被更改）以及防中繼保護（確保數據到達次序的完整性）。除此之外，ESP協議還支持數據的保密性，能夠確保其它人無法讀取傳送的數據，這實際上是采用加密算法來實現的。

IPsec的安全服務要求支持共享鑰匙完成認證和/或保密。在IPsec協議中引入了一個鑰匙治理協議，稱Internet鑰匙交換協議-IKE，該協議可以動態認證IPsec對等體，協商安全服務，并自動生成共享鑰匙。

IPsec協議（AH或ESP）保護整個IP包或IP包中的上層協議。IPsec有兩種工作方式：傳輸方式保護上層協議如TCP；隧道方式保護整個IP包。在傳輸方式下，IPsec包頭加在IP包頭和上層協議包頭之間；而在隧道方式下，整個IP包都封裝在一個新的IP包中，并在新的IP包頭和原來的IP包頭之間插入IPsec頭。兩種IPsec協議AH 和ESP都可以工作在傳輸方式下或隧道方式下。

L2TP與IPsec傳輸方式的集成

鑒于IPsec缺少用戶認證，只支持IP協議，目前有一種趨勢將L2TP和IPsec結合起來使用，采用L2TP作為隧道協議，而用IPsec協議保護數據。

PPTP和L2TP都支持多協議，但要記住L2TP協議缺少數據保密性的保護。PPTP和L2TP都不具有機器認證的能力，而必須依靠于用戶認證。

在所有的VPN協議中，IPsec提供最好的安全性，但IPsec無法提供用戶認證，也不支持多協議。許多廠家都采用的附加的特性來支持用戶認證，比如支持Radius協議。IPsec協議十分靈活，可以滿足所有網關到網關的VPN連接。

3Com防火墻VPN解決方案

通過前面幾種VPN協議的分析比較，可以看出3Com公司防火墻VPN采用IPsec協議的優勢。同時基于防火墻的VPN還可以充分利用防火墻安全機制的優勢。3Com防火墻采用專用硬件加密處理器來加密和解密VPN數據流，而主核心處理器只負責狀態包檢測功能。因此3Com公司防火墻的VPN性能極高，比如SuperStack 3防火墻可以提供45Mbps的3DES吞吐量，21Mbps 的ARC4吞吐量。

3Com防火墻采用IPsec隧道方式提供網關到網關以及客戶端到網關的VPN連接，用于分支機構，遠程工作人員，客戶以及合作伙伴對企業網絡的訪問。拓撲結構見附圖。

對于網關到網關VPN，SuperStack 3防火墻支持1000個并發VPN隧道，支持手工密鑰方式以及IKE動態密鑰方式；對于客戶端到網關VPN，SuperStack 3防火墻支持64000個并發VPN客戶端;3Com防火墻支持14種認證/加密算法.

由于IPsec協議不支持用戶認證，因此在遠程用戶訪問VPN環境下，3Com公司防火墻VPN支持Radius協議，通過Radius服務器提供客戶端VPN的用戶認證。

為簡化遠程用戶訪問VPN在防火墻中的配置，3Com 防火墻支持GroupVPN配置功能，一個Group VPN答應100個使用IKE方式的VPN客戶端接入。3Com防火墻還提供客戶端VPN軟件SafeNet/IRE VPN。

上一篇：深信服VPN成就樂山市地稅局移動辦公應用

下一篇：VPN硬件網關SINFOR M5100-S