VPN 介紹：（VPN工作于第3層）
概述：隨著企業(yè)網(wǎng)應用的不斷發(fā)展，企業(yè)網(wǎng)的范圍也不斷擴大，從一個本地網(wǎng)絡發(fā)展到跨地區(qū)跨城市甚至是跨國家的網(wǎng)絡。與此同時隨著互聯(lián)網(wǎng)絡的迅猛發(fā)展，Internet已經(jīng)遍布世界各地，從物理上講Internet把世界各地的資源相互連通。正因為Internet是對全世界開放的，如果企業(yè)的信息要通過Internet進行傳輸，在安全性上可能存在著很多問題。但如果采用專用線路構建企業(yè)專網(wǎng)，往往需要租用昂貴的跨地區(qū)數(shù)據(jù)專線。如何能夠利用現(xiàn)有的Internet來建立企業(yè)的安全的專有網(wǎng)絡呢？虛擬專用網(wǎng)（VPN）技術就成為一個很好的解決方案。虛擬專用網(wǎng)（VPN）是指在公共網(wǎng)絡中建立專用網(wǎng)絡，數(shù)據(jù)通過安全的"加密通道"在公共網(wǎng)絡中傳播。企業(yè)只需要租用本地的數(shù)據(jù)專線，連接上本地的Internet，各地的機構就可以互相傳遞信息；同時，企業(yè)還可以利用Internet的撥號接入設備，讓自己的用戶撥號到Internet上，就可以連接進入企業(yè)網(wǎng)中。使用VPN有節(jié)省成本、提供遠程訪問、擴展性強、便于管理和實現(xiàn)全面控制等優(yōu)點，將會成為今后企業(yè)網(wǎng)絡發(fā)展的趨勢。
虛擬專用網(wǎng)的本質(zhì)實際上涉及到密碼的問題。在無法保證電路安全、信道安全、網(wǎng)絡安全、應用安全的情況下，或者也不相信其他安全措施的情況下，一種行之有效的辦法就是加密，而加密就是必須考慮加密算法和密碼的問題。考慮到我國對密碼管理的體制情況，密碼是一個單獨的領域。對防火墻而言，是否防火墻支持對其他密碼體制的支持，支持提供API來調(diào)用第三方的加密算法和密碼，非常重要。
VPN通常采用的加密標準是3DES，然而它的算法相當復雜，加密過程需要很多計算處理步驟，這會影響到系統(tǒng)性能，增加加密設備的帶寬開銷。
另一類新型加密標準是AES（增強加密標準），它采用的算法要簡單些，但目前還只有Check Point和Nortel支持。AES具備較大的密鑰空間，不易攻破，AES有望在不遠的將來取代3DES。對大多數(shù)公司來說，主要是選擇加密標準（3DES或AES），至于與加密相關的其它功能，如IKE（Internet密鑰交換）會話、加密密鑰生成、通道協(xié)議以及安全機制組合都易于設置，一般運用產(chǎn)品的默認設置也就可以了。
VPN的安全協(xié)議：
PPTP－Point to Point Tunnel Protocal(點對點隧道協(xié)議)
這是一個最流行的Internet協(xié)議，它提供PPTP客戶機 與PPTP服務器之間的加密通信，它允許公司使用專用的“ 隧道”，通過公共Internet來擴展公司的網(wǎng)絡。通過Internet的數(shù)據(jù)通信，需要對數(shù)據(jù)流進行封裝和加密，PPTP就可以實現(xiàn)這兩個功能，從而可以通過Internet實現(xiàn)多功能通信。這就是說，通過PPTP的封裝或“隧道”服務，使非IP網(wǎng)絡可以獲得進行Internet通信的優(yōu)點。但是PPTP會話不可通過代理器進行，PPTP是Microsoft和其它廠家支持的標準，它是PPTP協(xié)議的擴展，它可以通過Internet建立多協(xié)議VPN。
L2TP－Layer2 Tunneling Protocol(第二層隧道協(xié)議)
除Microsft外，另有一些廠家也做了許多開發(fā)工作，PPTP能支持Macintosh和Unix，Cisco的L2F（Layer2 Forwarding）就是又一個隧道協(xié)議。Microsoft、Cisco和其它一些網(wǎng)絡廠商正一起努力使L2F與PPTP融合，產(chǎn)生一個新的L2TP協(xié)議。PPTP和L2TP十分相似，因為L2TP有一部分就是采用PPTP協(xié)議，兩個協(xié)議都允許客戶通過其間的網(wǎng)絡建立隧道，L2TP正在由包括Microsoft在內(nèi)的幾家廠商開發(fā)。L2TP還支持信道認證，但它沒有規(guī)定信道保護的方法。
IPSEC—Internet Portocol Security(因特網(wǎng)協(xié)議安全性)
該協(xié)議正在IETF（因特網(wǎng)工程任務組）的指導下開發(fā)。開發(fā)這個協(xié)議的目的是要解決當前協(xié)議中存在的一些缺點，這個標準開發(fā)完成最快也要在一年以后。Microsoft承諾支持L2TP和IPSEC。IPSEC是由IETFIP安全性工作組定義的協(xié)議集，它用于確保網(wǎng)絡層之間的安全通信。該協(xié)議草案建議使用IPSEC協(xié)議集保護IP網(wǎng)和非IP網(wǎng)上的L2TP業(yè)務，以及如何將IPSEC和L2FP一起使用，但它并未試圖將端對端的安全性標準化。
SOCKs
SOCKs是一個網(wǎng)絡連接的代理協(xié)議，它使SOCKs一端的主機完全訪問SOCKs；而另一端的主機不要求IP直接可達。SOCKs能將連接請求進行鑒別和授權，并建立代理連接和傳送數(shù)據(jù)。SOCKs通常用作網(wǎng)絡防火墻，它使SOCKs后面的主機能通過Internet取得完全的訪問權，而避免了通過Internet對內(nèi)部主機進行未授權訪問。目前，有SOCKsV4和SOCKsV5二個版本，SOCKsV5可以處理UDP，而SOCKsV4則不能。
VPN在網(wǎng)絡中拓撲示意圖如1-1所示。
圖1-1 VPN網(wǎng)絡拓撲圖
VLAN技術：
VLAN具有以下優(yōu)點：
① 控制網(wǎng)絡的廣播風暴
② 確保網(wǎng)絡安全
③ 簡化網(wǎng)絡管理
1 、VLAN概述
VLAN（Virtual Local Area Network）即虛擬局域網(wǎng)，是一種通過將局域網(wǎng)內(nèi)的設備邏輯地而不是物理地劃分成一個個網(wǎng)段從而實現(xiàn)虛擬工作組的新興技術。IEEE于1999年頒布了用以標準化VLAN實現(xiàn)方案的802.1Q協(xié)議標準草案。
VLAN（虛擬局域網(wǎng)）是對連接到的第二層交換機端口的網(wǎng)絡用戶的邏輯分段，不受網(wǎng)絡用戶的物理位置限制而根據(jù)用戶需求進行網(wǎng)絡分段。一個VLAN可以在一個交換機或者跨交換機實現(xiàn)。VLAN可以根據(jù)網(wǎng)絡用戶的位置、作用、部門或者根據(jù)網(wǎng)絡用戶所使用的應用程序和協(xié)議來進行分組。基于交換機的虛擬局域網(wǎng)能夠為局域網(wǎng)解決沖突域、廣播域、帶寬問題。
VLAN技術允許網(wǎng)絡管理者將一個物理的LAN邏輯地劃分成不同的廣播域（或稱虛擬LAN，即VLAN），每一個VLAN都包含一組有著相同需求的計算機工作站，與物理上形成的LAN有著相同的屬性。但由于它是邏輯地而不是物理地劃分，所以同一個VLAN內(nèi)的各個工作站無須被放置在同一個物理空間里，即這些工作站不一定屬于同一個物理LAN網(wǎng)段。一個VLAN內(nèi)部的廣播和單播流量都不會轉(zhuǎn)發(fā)到其他VLAN中，從而有助于控制流量、減少設備投資、簡化網(wǎng)絡管理、提高網(wǎng)絡的安全性。
VLAN是為解決以太網(wǎng)的廣播問題和安全性而提出的一種協(xié)議，它在以太網(wǎng)幀的基礎上增加了VLAN頭，用VLAN ID把用戶劃分為更小的工作組，限制不同工作組間的用戶二層互訪，每個工作組就是一個虛擬局域網(wǎng)。虛擬局域網(wǎng)的好處是可以限制廣播范圍，并能夠形成虛擬工作組，動態(tài)管理網(wǎng)絡。
VLAN在交換機上的實現(xiàn)方法，可以大致劃分為4類：
1、 基于端口劃分的VLAN
這種劃分VLAN的方法是根據(jù)以太網(wǎng)交換機的端口來劃分，比如Quidway S3526的1~4端口為VLAN 10，5~17為VLAN 20，18~24為VLAN 30，當然，這些屬于同一VLAN的端口可以不連續(xù)，如何配置，由管理員決定，如果有多個交換機，例如，可以指定交換機 1 的1~6端口和交換機 2 的1~4端口為同一VLAN，即同一VLAN可以跨越數(shù)個以太網(wǎng)交換機，根據(jù)端口劃分是目前定義VLAN的最廣泛的方法，IEEE 802.1Q規(guī)定了依據(jù)以太網(wǎng)交換機的端口來劃分VLAN的國際標準。
這種劃分的方法的優(yōu)點是定義VLAN成員時非常簡單，只要將所有的端口都指定義一下就可以了。它的缺點是如果VLAN A的用戶離開了原來的端口，到了一個新的交換機的某個端口，那么就必須重新定義。
2、 基于MAC地址劃分VLAN
這種劃分VLAN的方法是根據(jù)每個主機的MAC地址來劃分，即對每個MAC地址的主機都配置他屬于哪個組。這種劃分VLAN的方法的最大優(yōu)點就是當用戶物理位置移動時，即從一個交換機換到其他的交換機時，VLAN不用重新配置，所以，可以認為這種根據(jù)MAC地址的劃分方法是基于用戶的VLAN，這種方法的缺點是初始化時，所有的用戶都必須進行配置，如果有幾百個甚至上千個用戶的話，配置是非常累的。而且這種劃分的方法也導致了交換機執(zhí)行效率的降低，因為在每一個交換機的端口都可能存在很多個VLAN組的成員，這樣就無法限制廣播包了。另外，對于使用筆記本電腦的用戶來說，他們的網(wǎng)卡可能經(jīng)常更換，這樣，VLAN就必須不停的配置。
3、 基于網(wǎng)絡層劃分VLAN
這種劃分VLAN的方法是根據(jù)每個主機的網(wǎng)絡層地址或協(xié)議類型(如果支持多協(xié)議)劃分的，雖然這種劃分方法是根據(jù)網(wǎng)絡地址，比如IP地址，但它不是路由，與網(wǎng)絡層的路由毫無關系。它雖然查看每個數(shù)據(jù)包的IP地址，但由于不是路由，所以，沒有RIP，OSPF等路由協(xié)議，而是根據(jù)生成樹算法進行橋交換，
這種方法的優(yōu)點是用戶的物理位置改變了，不需要重新配置所屬的VLAN，而且可以根據(jù)協(xié)議類型來劃分VLAN，這對網(wǎng)絡管理者來說很重要，還有，這種方法不需要附加的幀標簽來識別VLAN，這樣可以減少網(wǎng)絡的通信量。
這種方法的缺點是效率低，因為檢查每一個數(shù)據(jù)包的網(wǎng)絡層地址是需要消耗處理時間的(相對于前面兩種方法)，一般的交換機芯片都可以自動檢查網(wǎng)絡上數(shù)據(jù)包的以太網(wǎng)禎頭，但要讓芯片能檢查IP幀頭，需要更高的技術，同時也更費時。當然，這與各個廠商的實現(xiàn)方法有關。
4、 根據(jù)IP組播劃分VLAN
IP 組播實際上也是一種VLAN的定義，即認為一個組播組就是一個VLAN，這種劃分的方法將VLAN擴大到了廣域網(wǎng)，因此這種方法具有更大的靈活性，而且也很容易通過路由器進行擴展，當然這種方法不適合局域網(wǎng)，主要是效率不高。
鑒于當前業(yè)界VLAN發(fā)展的趨勢，考慮到各種VLAN劃分方式的優(yōu)缺點，為了最大程度上地滿足用戶在具體使用過程中需求，減輕用戶在VLAN的具體使用和維護中的工作量，Quidway S系列交換機采用根據(jù)端口來劃分VLAN的方法。
TPC基準程序：是一個專門負責計算機事務處理能力的測試標準。
|
|
資源大小：741.92 KB 
