×××（虛擬專用網）學習 5
|
（五）×××技術詳解
隧道技術如何實現
對於象PPTP和L2TP這樣的第2層隧道協議，創建隧道的過程類似於在雙方之間建立會話；隧道的兩個端點必須同意創建隧道並協商隧道各種配置變量，如地址分配，加密或壓縮等參數。絕大多數情況下，通過隧道傳輸的數據都使用基於數據報的協議發送。隧道維護協議被用來作爲管理隧道的機制。 第3層隧道技術通常假定所有配置問題已經通過手工過程完成。這些協議不對隧道進行維護。與第3層隧道協議不同，第2層隧道協議（PPTP和L2TP）必須包括對隧道的創建，維護和終止。 隧道一旦建立，數據就可以通過隧道發送。隧道客戶端和服務器使用隧道數據傳輸協議準備傳輸數據。例如，當隧道客戶端向服務器端發送數據時，客戶端首先給負載數據加上一個隧道數據傳送協議包頭，然後把封裝的數據通過互聯網絡發送，並由互聯網絡將數據路由到隧道的服務器端。隧道服務器端收到數據包之後，去除隧道數據傳輸協議包頭，然後將負載數據轉發到目標網絡。 隧道協議和基本隧道要求 本文出自 51CTO.COM技術博客因爲第2層隧道協議（PPTP和L2TP）以完善的PPP協議爲基礎，因此繼承了一整套的特性。 1.用戶驗證 第2層隧道協議繼承了PPP協議的用戶驗證方式。許多第3層隧道技術都假定在創建隧道之前，隧道的兩個端點相互之間已經瞭解或已經經過驗證。一個例外情況是IPSec協議的ISAKMP協商提供了隧道端點之間進行的相互驗證。 2.令牌卡（Tokencard）支持 通過使用擴展驗證協議（EAP），第2層隧道協議能夠支持多種驗證方法，包括一次性口令（one-timepassword)，加密計算器（cryptographic calculator）和智能卡等。第3層隧道協議也支持使用類似的方法，例如，IPSec協議通過ISAKMP/Oakley協商確定公共密鑰證書驗證。 3.動態地址分配 第2層隧道協議支持在網絡控制協議（NCP）協商機制的基礎上動態分配客戶地址。第3層隧道協議通常假定隧道建立之前已經進行了地址分配。目前IPSec隧道模式下的地址分配方案仍在開發之中。 4.數據壓縮 第2層隧道協議支持基於PPP的數據壓縮方式。例如，微軟的PPTP和L2TP方案使用微軟點對點加密協議（MPPE）。IETP正在開發應用於第3層隧道協議的類似數據壓縮機制。 5.數據加密 第2層隧道協議支持基於PPP的數據加密機制。微軟的PPTP方案支持在RSA/RC4算法的基礎上選擇使用MPPE。第3層隧道協議可以使用類似方法，例如，IPSec通過ISAKMP/Oakley協商確定幾種可選的數據加密方法。微軟的L2TP協議使用IPSec加密保障隧道客戶端和服務器之間數據流的安全。 6.密鑰管理 作爲第2層協議的MPPE依靠驗證用戶時生成的密鑰，定期對其更新。IPSec在ISAKMP交換過程中公開協商公用密鑰，同樣對其進行定期更新。 7.多協議支持 第2層隧道協議支持多種負載數據協議，從而使隧道客戶能夠訪問使用IP，IPX，或NetBEUI等多種協議企業網絡。相反，第3層隧道協議，如IPSec隧道模式只能支持使用IP協議的目標網絡。 |