MoDulE-09虚拟私有网路.ppt

學習目的 在傳統網際網路時代，跨區域之大型公司為使各地分公司能與總公司連結以建立公司之內部網路（Intranet），通常需要向網際網路服務提供者（ISP）申請，架設一條專有線路以供企業體專門使用，但是線路建置之費用隨距離成倍數上升，而且每個月所需負擔之網路費用亦高的嚇人，每每令許多中小型企業不勝負荷。而VPN技術之發展即為解決該問題的方法。 VPN透過網際網路中利用協定建立專屬通道（tunnel），而達到傳統專有線路之功效。 本課程模組將探討如何建置安全的VPN環境及正確的使用管理，在便利與安全的天秤上做好權衡，不僅是MIS人員所應注重之課題，亦是主管單位所應好好考量的重點。 本模組共有二個小節包括(1)虛擬私有網路概念與類型(2)建置虛擬私有網路(3)專案實作， 共須三個鐘點。 Module 9 ：虛擬私有網路(VPN) Module 9-1：虛擬私有網路概念與類型(*) Module 9-2：建置虛擬私有網路(*) Module 9-3：專案實作(*) Module 9-1：虛擬私有網路概念與類型(*) 什麼是 VPN? VPN是私人網路的延伸 可透過Internet利用加密通道傳送資料 模擬點對點連線特性 封裝後資料標頭加入了路由資訊 建立通道後傳送的資料已被加密，無法竊聽破解 什麼是 VPN? Intranet VPN Remote Access VPN Site to Site VPN Intranet VPN Remote Access VPN Site to Site VPN 為什麼需要VPN? 透過Internet經由加密的VPN通道，可存取內部網路資源 美国VPN 公司與分公司間，利用Site to Site VPN節省電路費 公司內部存取內部重要資訊 VPN解決方案 使用者驗證(User Authentication) 位置管理(Address Management) 資料加密(Data Encryption) 金鑰管理(Key Management) VPN通道技術 通道(Tunnel) 使用中間網路基礎架構的方法 被傳送資料(payload)的檔頭(header)已重新封裝(encapsulate) 重新封裝後的內容提供路由資訊 VPN通道技術 PPTP (Point-to-Point Tunneling Protocol) L2TP (Layer Two Tunneling Protocol with Internet Protocol Security) L2TP/IPSec (Internet Protocol Security) PPTP RFC 2637 在IP資料段中封裝PPP框架 使用TCP連線作為通道管理 利用GRE (Generic Routing Encapsulation) 來封裝PPP框架 L2TP RFC 2661 L2TP由Cisco提出的L2TP是PPTP+L2F (Layer2 forwarding) 使用UDP連線作為通道管理 L2TP封裝PPP框架，以便透過IP/X.25/Frame relay/ATM網路來傳送 L2TP/IPSec RFC 3193 微軟的L2TP使用IPSec ESP (Encapsulating Security Payload)來加密L2TP的資料 L2TP/IPSec擁有PPTP的功能，也提供IPSec安全性與控制性 PPTP與L2TP/IPsec比較 PPTP 加密金鑰是以使用驗證程序的密碼所產生的雜湊(hash) 資料加密是在PPP連線程序 容易遭受字典攻擊(dictionary attack) 使用MPPE，以RSA RC4加密演算法與40/56/128位元的加密金鑰為基礎 連線時只需使用者層級的驗證 PPTP與L2TP/IPsec比較 L2TP/IPsec 透過憑證在取得密碼前便設定加密通道 資料加密是在PPP連線程序之前 需要憑證或是預先共用金鑰 (preshared secret key) 使用56位元的DES，或是3DES做為加密基礎 連線時需使用者層級與憑證的電腦層級驗證 VPN安全性 驗證安全性 認證採用使用者名稱與密碼 或是憑證的形式 授權安全性 連接限制 群組原則 VPN安全性 加密安全性 加密演算法 連線加密過程 封包過濾 過濾不必要的封包 驗證安全性-PAP 透過純文字密碼(clear-text)的證驗方法 可以截取 使用者密碼易被破解 驗證安全性-CHAP CHAP, (Challenge-Handshake Authentication Protocol) 加密驗證機制 可避免連線時實際密碼的傳輸 使用MD5加密回應傳輸 驗證安全性-MS-CHAP 類似CHAP Use M