VPN的分類：應用層：SSL VPN等
傳輸層：Sangfor VPN
網絡層：IPSec VPN、GRE等
網絡接口層:L2F/L2TP、PPTP等
VPN常用技術：隧道技術、加解密技術、身份認證技術、數據認證技術、密鑰管理技術
多種隧道技術比較：
| 隧道協議 | 保護範圍 | 用戶身份認證 | 加密和驗證 |
| GRE | IP層及以上數據 | 不支持 | 支持簡單的關鍵字驗證 |
| L2TP | IP層及以上數據 | 支持基於PPP的CHAP\PAP\EAP認證 | 不支持 |
| IPSec | IP層及以上數據 | 支持預共享密鑰或證書認證，支持IKEv2的EAP認證 | 支持 |
| Sangfor VPN | IP層及以上數據 | 支持多種身份認證 | 支持 |
| SSL VPN | 應用層特定數據 | 支持多種身份認證 |
支持 |
加解密技術：
目的:即使信息被竊聽或者盜取，攻擊者也無法知曉信息的真實內容。可以對抗網絡攻擊中的被動攻擊。
對稱算法的缺陷：1、密鑰傳輸風險：①Alice和Bob必須要使用一個安全的信道建立密鑰；②但是消息傳遞的通信鏈路是不安全的；
2、密鑰多 難管理；
非對稱加密算法：加密和解密使用的是不同的密鑰（公鑰、私鑰），兩個密鑰之間存在着相互依存關係：用其中任一把密鑰加密的信息只能用另一個密鑰進行解密；即用公鑰加密，用私鑰解密就可以得到明文；這使得通信雙方無需事先交換密鑰就可進行保密通信。
對稱算法VS非對稱算法：
| 對稱加密 | 非對稱加密 | |
| 安全性 | 較低 | 較高 |
| 速度 | 較快 | 較慢 |
| 密鑰數量 | N取2的組合 | N |
綜上所述：①數據傳輸採用對稱加密算法；②對稱加密的密鑰通過非對稱加密算法進行加解密。
身份認證技術：是在網絡中確認操作者身份的過程而產生的有效解決方法。
身份認證：通過標識和鑑別用戶的身份，防止攻擊者假冒合法用戶來獲取訪問權限。
PKI體系：PKI是創建、頒發、管理、註銷公鑰證書所涉及到的所有軟件、硬件的集合體，其核心元素是數字證書，核心執行者是CA認證機構。PKI採用證書管理公鑰，通過第三方的可信任機構——CA認證中心把用戶的公鑰和用戶的其他標識信息捆綁在一起放在用戶證書中，在互聯網上驗證用戶的身份。
CA中心：作用：簽發證書，規定證書的有效期和通過發佈證書廢除列表確保必要時可以廢除證書，以及對證書和密鑰進行管理。
CA中心爲每個使用公開密鑰的用戶發放一個數字證書，數字證書的作用是證明證書中列出的用戶合法擁有證書中列出的公鑰。使得攻擊者不能僞造和篡改證書。
數字證書的內容包含：用戶身份信息，用戶公鑰信息，身份驗證機構數字簽名的數據
可分爲簽名證書和加密證書：
簽名證書：主要用於對用戶信息進行簽名，以保證信息的真實性和不可否認性；
加密證書：主要用於對用戶傳送的信息進行加密，以保證信息的機密性和完整性。
-------------------------------------------------------------------------------------------------------------------------------------------------------------------------
IPSec VPN：是基於IPSec協議族構建的在IP層實現的安全虛擬局域網。通過在數據包中插入一個預定義頭部的方式，來保障OSI上層協議數據的安全，主要用於保護TCP\UDP\ICMP和隧道的IP數據包。
IPSec提供的安全服務：機密性、完整性、數據源鑑別、重傳攻擊保護、不可否認性、訪問控制、有限的流量保密等其他安全服務。
傳輸模式：經常用於主機和主機之間端到端通信的數據保護。
封裝模式：不改變原有的IP包頭，在原數據包頭後面插入IPSec包頭，將原來的數據封裝成被保護的數據。
隧道模式：經常用於私網與私網之間通過公網進行通信，建立安全VPN通道。
封裝模式：增加新的IP（外網IP）頭，其後是IPSec包頭，之後再將原來的整個數據包封裝。
IPSec通信協議：
AH（認證報頭）：協議號51
提供的安全服務：①無連接數據完整性；②數據源認證；③抗重放服務
AH不提供任何保密性服務：它不加密所保護的數據包；
不論是傳輸模式還是隧道模式下，AH提供對數據包的保護時，它保護的是整個IP數據包。（不支持NAT）
ESP(封裝安全有效載荷)：協議號50
提供的安全服務：①無連接數據完整性；②數據源認證；③抗重放服務；④數據保密；⑤有限的數據流保護
ESP在傳輸模式下封裝：
ESP在隧道模式下封裝：
ESP封裝支持NAT穿越。
安全聯盟SA：是通信對等體間對某些要素的約定，通信的雙方符合SA約定的內容，就可以建立SA。
SA由三元組來唯一標識：安全參數索引、目的IP地址、安全協議號；
IKE（Internet 密鑰交換）用途：IKE爲IPSec協商生成密鑰，AH/ESP加密和驗證使用；在IPSec通信雙方之間，動態的建立安全 關聯SA，對SA進行管理和維護。
IKE工作過程：IKE經過兩個階段爲IPSec進行密鑰協商並建立安全聯盟：
第一階段交換：通信各方彼此間建立一個已通過身份驗證和安全保護的通道，此階段的交換建立了一個IKE SA。 第一階段交換有兩種協商模式： ◆主模式協商 ◆野蠻模式協商
第二階段交換：用已經建立的安全聯盟（IKE SA）爲IPSec協商安全服務，即爲IPSec協商具體的安全聯盟，建 立 IPSec SA，產生真正可以用來加密數據流的密鑰，IPSec SA用於最終的IP數據安全傳送。
IKE階段一：
主模式：默認使用IP地址作爲身份標識，默認是傳遞自己的出口地址作身份標識，校驗對端的公網IP作對端身份標 識。（自動生成雙方身份ID）
主模式過程：1、協商建立IKE安全通道所使用的參數
2、交換DH密鑰數據 （三次交換過程，6個消息交互包）
3、雙方身份認證
4、建立IKE安全通道
野蠻模式：可以使用用戶名或IP等作爲雙方身份標識，即可以手動配置身份ID。
野蠻模式 過程同樣三個步驟，但僅通過3個包進行傳輸：
1、第一個交互包發起方建議SA，發起DH密鑰交換
2、第二個交互包接收方接受SA
3、第三個交互包發起方認證接收方
野蠻模式交互過程少，所以在傳輸過程中，其傳輸的數據比較多，並且前兩個數據爲明文傳輸，僅消息3爲加密傳輸。
兩種模式對比：
| 主模式 | 野蠻模式 | |
| 消息交互 | 交互6個消息（以IP地址作爲身份ID，自動生成本端身份ID和對端身份ID） | 交互3個消息（可以以多種形式生成本端和對端的身份ID） |
| 域共享密鑰 | 只能基於IP地址來確定預共享密鑰 | 基於ID信息（主機名和IP地址）來確定預共享密鑰 |
| 安全性 | 較高（前4個消息以明文傳輸，最後兩個消息加密，對對端身份進行了保護） | 較低（前兩個消息以明文傳輸，最後一個消息進行加密，不保護對端身份） |
| 速度 | 較慢 | 較快 |
IKE階段2：雙方協商IPSec安全參數，包括：加密算法、Hash算法，安全協議，封裝模式，存活時間（密鑰更新時間）；
信息交換模式爲快速模式：定義了受保護數據連接是如何在兩個IPSec對等體之間構成的。
主要的兩個功能：1、協商安全參數來保護數據連接
2、週期性的對數據連接更新密鑰信息
第二階段的效果爲協商出IPSec單向SA，爲保護IPSec數據流而創建。第二階段整個協商過程受第一階段IKE SA保 護。
數據傳輸階段：是通過AH或ESP通信協議進行數據的傳輸，建立在網絡層；
VPN隧道黑洞：
DPD：死亡對等體檢測，檢查對端的IKE SA是否存在。當VPN隧道異常的時候，能檢測到並重新發起協商，來維持 VPN隧道。
DPD概述：DPD包並不是連續發送，而是採用計時器機制。每收到一個IPSec加密的包後就重置這個包對應IKE SA的 空閒定時器；如果空閒定時器計時開始到結束過程都沒有收到該SA對應的加密包，那麼下一次有IP包要被這個 SA加密發送或接收到加密包之前就需要使用DPD來檢測對方是否存活。