經典實用技術詳解-VPN（五）

2019-11-05 01:57:55

字體：大中小

來源：轉載

供稿：網友

隧道技術如何實現

對于象PPTP和L2TP這樣的第2層隧道協議，創建隧道的過程類似于在雙方之間建立會話；隧道的兩個端點必須同意創建隧道并協商隧道各種配置變量，如地址分配，加密或壓縮等參數。絕大多數情況下，通過隧道傳輸的數據都使用基于數據報的協議發送。隧道維護協議被用來作為治理隧道的機制。

第3層隧道技術通常假定所有配置問題已經通過手工過程完成。這些協議不對隧道進行維護。與第3層隧道協議不同，第2層隧道協議（PPTP和L2TP）必須包括對隧道的創建，維護和終止。

隧道一旦建立，數據就可以通過隧道發送。隧道客戶端和服務器使用隧道數據傳輸協議預備傳輸數據。例如，當隧道客戶端向服務器端發送數據時，客戶端首先給負載數據加上一個隧道數據傳送協議包頭，然后把封裝的數據通過互聯網絡發送，并由互聯網絡將數據路由到隧道的服務器端。隧道服務器端收到數據包之后，去除隧道數據傳輸協議包頭，然后將負載數據轉發到目標網絡。

隧道協議和基本隧道要求

因為第2層隧道協議（PPTP和L2TP）以完善的PPP協議為基礎，因此繼續了一整套的特性。

1.用戶驗證

第2層隧道協議繼續了PPP協議的用戶驗證方式。許多第3層隧道技術都假定在創建隧道之前，隧道的兩個端點相互之間已經了解或已經經過驗證。一個例外情況是ipSec協議的ISAKMP協商提供了隧道端點之間進行的相互驗證。

2.令牌卡（Tokencard）支持

通過使用擴展驗證協議（EAP），第2層隧道協議能夠支持多種驗證方法，包括一次性口令（one-timepassWord)，加密計算器（cryptographic calculator）和智能卡等。第3層隧道協議也支持使用類似的方法，例如，IPSec協議通過ISAKMP/Oakley協商確定公共密鑰證書驗證。

3.動態地址分配

第2層隧道協議支持在網絡控制協議（NCP）協商機制的基礎上動態分配客戶地址。第3層隧道協議通常假定隧道建立之前已經進行了地址分配。目前IPSec隧道模式下的地址分配方案仍在開發之中。

4.數據壓縮

第2層隧道協議支持基于PPP的數據壓縮方式。例如，微軟的PPTP和L2TP方案使用微軟點對點加密協議（MPPE）。IETP正在開發應用于第3層隧道協議的類似數據壓縮機制。

5.數據加密

第2層隧道協議支持基于PPP的數據加密機制。微軟的PPTP方案支持在RSA/RC4算法的基礎上選擇使用MPPE。第3層隧道協議可以使用類似方法，例如，IPSec通過ISAKMP/Oakley協商確定幾種可選的數據加密方法。微軟的L2TP協議使用IPSec加密保障隧道客戶端和服務器之間數據流的安全。

6.密鑰治理

作為第2層協議的MPPE依靠驗證用戶時生成的密鑰，定期對其更新。IPSec在ISAKMP交換過程中公開協商公用密鑰，同樣對其進行定期更新。

7.多協議支持

第2層隧道協議支持多種負載數據協議，從而使隧道客戶能夠訪問使用IP，IPX，或NetBEUI等多種協議企業網絡。相反，第3層隧道協議，如IPSec隧道模式只能支持使用IP協議的目標網絡。

上一篇：經典實用技術詳解-VPN（四）

下一篇：經典實用技術詳解-VPN（八）