基于隧道技术的ＶＰＮ技术初探软件毕业(2)
2013-04-29 01:14
导读：（AH：Authmentication Header）和封装化安全净荷（ESP：Encapsnlating Security Paylamd）。 IPSEC隧道模式允许对IP负载数据进行加密，然后封装在IP包头中，通过企业I
（AH：Authmentication Header）和封装化安全净荷（ESP：Encapsnlating Security Paylamd）。
IPSEC隧道模式允许对IP负载数据进行加密，然后封装在IP包头中，通过企业IP网络或公共IP互联网络如INTERNET发送。
从以上的隧道协议，我们可以看出隧道机制的分类是根据虚拟数据链络层的网络，DSI七层网络中的位置，将自己定义为第二层的隧道分类技术。按照这种划分方法，从此产生了"二层VPN "与"三层VPN"的区别。但是随着技术的发展，这样的划分出现了不足，比如基于会话加密的SSLVPN技术[2]、基于端口转发的HTTPTunnel[1]技术等等。如果继续使用这样的分类，将出现"四层VPN"、"五层VPN"，分类教为冗余。因此，目前出现了其他的隧道机制的分类。
2.2 改进后的几种隧道机制的分类
⑴ J.Heinanen等人提出的根据隧道建立时采用的接入方式不同来分类，将隧道分成四类。分别是使用拨号方式的VPN，使用路由方式的VPN，使用专线方式的VPN和使用局域网仿真方式的VPLS。
例如同样是以太网的技术，根据实际情况的不同，可能存在PPPOE、MPLSYBGP、MSIP、或者IPSEC等多种VPN组网方式所提供的网络性能将大有区别，因此按照接入方式不同来分类也无法表示这几种方式在网络性能上的差异，由此将引起在实际应用中对VPN技术选型造成误导。
⑵ 由于网络性能是所有网络技术的重要评价标准。根据隧道建立的机制对网络性能的影响不同，可以将隧道分成封装型隧道和隔离型隧道的VPN分类方法。封装型隧道技术是利用封装的思想，将原本工作在某一层的数据包在包头提供了控制信息与网络信息，从而使重新封装的数据包仍能够通过公众网络传递。例如L2TP就是典型的封装型隧道。
隔离型隧道的建立，则是参考了数据交换的原理，根据不同的标记，直接将数据分发到不同的设备上去。由于不同标记的数据包在进入网络边缘时已经相互隔离，如果接入网络的数据包也是相互隔离的就保证了数据的安全性，例如LSVPN。从性能上看，使用封装型隧道技术一般只能提供点对点的通道，而点对多点的业务支持能力教差，但是可扩展性，灵活性具有优势。
采用隔离型隧道技术，则不存在以上问题，可以根据实际需要，提供点对点，点对多点，多点对多点的网络拓扑。
3. 诸种安全与加密技术
IPVPN技术，由于利用了Internet网络传输总部局域网的内部信息，使得低成本，远距离。但随之而来的是由于Internet技术的标准化和开放性，导致威胁网络的安全。虽然可采取安全对策的访问控制来提高网络的安全性，但黑客仍可以从世界上任何地方对网络进行攻击，使得在IPVPN的网点A和网点B之间安全通信受到威胁。因此，利用IPVPN通信时，应比专线更加注意Internet接入点的安全。为此，IPVPN采用了以下诸种安全与加密技术。[2]
⑴ 防火墙技术
防火墙技术，主要用于抵御来自黑客的攻击。
⑵ 加密及防止数据被篡改技术
加密技术可以分为对称加密和非对称加密（专用密钥号与公用密钥）。对称加密（或专用加密）也称常规加密，由通信双方共享一个秘密密钥。
非对称加密，或公用密钥，通信双方使用两个不同的密钥，一个是只有发送方知道的专用密钥，另一个则是对应的公用密钥。任何一方都可以得到公用密钥。基于隧道技术的VPN虚拟专用网，只有采用了以上诸种技术以后，才能够发挥其良好的通信功能。
（转载自http://www.ＮＳＥＡＣ.com中国科教评价网）
参考文献
[1] E Rescorla, A Schiffman. The secure hypertext trausfer protocol. Draft-wes-shttp-06[R]. text 1998,6.
[2] 徐国爱. 网络安全[M].
北京邮电大学出版社, 2004,5.
