关于VPN隧道技术在使用中的优势

　　关于VPN隧道技术在使用中的优势，对于VPN隧道技术破解问题，大家都很感兴趣。在向大家详细介绍如何VPN隧道技术之前，首先让大家了解下一般密码的基本流程，然后比较下面几种方法的优劣。

　　VPN隧道技术已经成为越来越多企业使用的网络连接方式了，为了进一步了解VPN，本篇将对它的隧道技术进行深入解释。为了使得远程的企业员工可以与总部实时的交换数据信息。企业得向ISP租用网络提供服务。但公用网容易遭受各种安全攻击(比如拒绝服务攻击来堵塞正常的网络服务，或窃取重要的企业内部信息)

　　VPN隧道技术这个概念的引进就是用来解决这个问题。它是利用公用网络来连接到企业私有网络。但在VPN中，用安全机制来保障机密型，真实可靠行，完整性严格的访问控制。这样就建立了一个逻辑上虚拟的私有网络。虚拟局域网提供了一个经济有效的手段来解决通过公用网络安全的交换私有信息。

　　VPN隧道技术有何优势?

　　一般VPN隧道技术所具备的优点有以下几点：

　　◆最小成本：无须购买网络设备和专用线路覆盖所有远程用户

　　◆责任共享：通过购买公用网的资源，部分维护责任迁移至provider(更专业，有经验，是操作，维护成本降低)。

　　◆安全性：

　　◆保障Qos

　　◆可靠性：如果一个VPN节点坏了，可以一个替换VPN建立起来绕过他，这种恢复工作是得VPN操作可以尽可能的延续

　　◆可扩展性：可以通过从公用网申请更多得资源达到非常容易的扩展VPN,或者协商重构VPN

　　◆其中安全性是vpn最重要的一个特性，也是各类vpn产品所必须具备和支持的要素。

　　VPN隧道技术的安全技术剖析

　　目前VPN主要采用四项技术来保证安全，这四项技术分别是隧道技术(Tunneling)、加解密技术(Encryption & Decryption)、密钥管理技术(Key Management)、使用者与设备身份认证技术(Authentication)。

　　加解密技术是数据通信中一项较成熟的技术，VPN可直接利用现有技术。

　　密钥管理技术的主要任务是如何在公用数据网上安全地传递密钥而不被窃取。现行密钥管理技术又分为SKIP与ISAKMP/OAKLEY两种。SKIP主要是利用Diffie-Hellman的演算法则，在网络上传输密钥;在ISAKMP中，双方都有两把密钥，分别用于公用、私用。

　　身份认证技术最常用的是使用者名称与密码或卡片式认证等方式。

　　隧道指的是利用一种网络协议来传输另一种网络协议，它主要利用网络隧道协议来实现这种功能。网络隧道技术涉及了三种网络协议，即网络隧道协议、隧道协议下面的承载协议和隧道协议所承载的被承载协议。网络隧道技术是个关键技术，这项vpn的基本技术也是本文要详细和阐述的。

　　VPN隧道技术网络隧道协议深入解析

　　网络隧道是指在公用网建立一条数据通道(隧道)，让数据包通过这条隧道传输。现有两种类型的网络隧道协议，一种是二层隧道协议，用于传输二层网络协议，它主要应用于构建远程访问虚拟专网(AccessVPN);另一种是三层隧道协议，用于传输三层网络协议，它主要应用于构建企业内部虚拟专网(IntranetVPN)和扩展的企业内部虚拟专网(Extranet VPN)。

　　二层隧道协议第二层隧道协议是先把各种网络协议封装到PPP中，再把整个数据包装入隧道协议中。这种双层封装方法形成的数据包靠第二层协议进行传输。第二层隧道协议主要有以下三种：第一种是由微软、Ascend、3COM 等公司支持的 PPTP(Point to Point Tunneling Protocol，点对点隧道协议)，在WindowsNT4.0以上版本中即有支持。

　　第二种是Cisco、北方电信等公司支持的L2F(Layer2Forwarding，二层转发协议)，在 Cisco 路由器中有支持。第三种由 IETF 起草，微软 Ascend 、Cisco、 3COM 等公司参与的 L2TP(Layer 2TunnelingProtocol，二层隧道协议)结合了上述两个协议的优点，L2TP协议是目前IETF的标准，由IETF融合PPTP与L2F而形成。这里就主要介绍一下 L2TP 网络协议。

　　其中，LAC 表示 L2TP 访问集中器(L2TPAccessConcentrator)，是附属在交换网络上的具有 PPP 端系统和 L2TP 协议处理能力的设备，LAC 一般就是一个网络接入服务器 NAS(Network Access Server)它用于为用户通过 PSTN/ISDN 提供网络接入服务;LNS 表示 L2TP 网络服务器(L2TP Network Server)，是 PPP 端系统上用于处理 L2TP 协议服务器端部分的软件。

　　在一个LNS和LAC对之间存在着两种类型的连接，一种是隧道(tunnel)连接，它定义了一个LNS和LAC对;另一种是会话(session)连接，它复用在隧道连接之上，用于表示承载在隧道连接中的每个 PPP 会话过程。

　　L2TP连接的维护以及PPP数据的传送都是通过L2TP消息的交换来完成的，这些消息再通过 UDP的1701端口承载于TCP/IP之上。L2TP消息可以分为两种类型，一种是控制消息，另一种是数据消息。

　　控制消息用于隧道连接和会话连接的建立与维护。数据消息用于承载用户的 PPP 会话数据包。 L2TP 连接的维护以及 PPP 数据的传送都是通过 L2TP 消息的交换来完成的，这些消息再通过UDP的1701端口承载于 TCP/IP 之上。

　　控制消息中的参数用AVP值对(AttributeValuePair)来表示，使得协议具有很好的扩展性;在控制消息的传输过程中还应用了消息丢失重传和定时检测通道连通性等机制来保证了 L2TP 层传输的可靠性。

　　数据消息用于承载用户的 PPP 会话数据包。L2TP 数据消息的传输不采用重传机制，所以它无法保证传输的可靠性，但这一点可以通过上层协议如TCP等得到保证;数据消息的传输可以根据应用的需要灵活地采用流控或不流控机制，甚至可以在传输过程中动态地使用消息序列号从而动态地激活消息顺序检测和流量控制功能;在采用流量控制的过程中，对于失序消息的处理采用了缓存重排序的方法来提高数据传输的有效性。