當(dāng)移動(dòng)用戶或遠(yuǎn)程用戶通過撥號(hào)方式遠(yuǎn)程訪問公司或企業(yè)內(nèi)部專用網(wǎng)絡(luò)的時(shí)候，采用傳統(tǒng)的遠(yuǎn)程訪問方式不但通訊費(fèi)用比較高，而且在與內(nèi)部專用網(wǎng)絡(luò)中的計(jì)算機(jī)進(jìn)行數(shù)據(jù)傳輸時(shí)，不能保證通信的安全性。為了避免以上的問題，通過撥號(hào)與企業(yè)內(nèi)部專用網(wǎng)絡(luò)建立VPN連接是一個(gè)理想的選擇。
何為VPN
VPN（Virtual Private Network）：虛擬專用網(wǎng)絡(luò)，是一門網(wǎng)絡(luò)新技術(shù)，為我們提供了一種通過公用網(wǎng)絡(luò)安全地對(duì)企業(yè)內(nèi)部專用網(wǎng)絡(luò)進(jìn)行遠(yuǎn)程訪問的連接方式。我們知道一個(gè)網(wǎng)絡(luò)連接通常由三個(gè)部分組成：客戶機(jī)、傳輸介質(zhì)和服務(wù)器。VPN同樣也由這三部分組成，不同的是VPN連接使用隧道作為傳輸通道，這個(gè)隧道是建立在公共網(wǎng)絡(luò)或?qū)Ｓ镁W(wǎng)絡(luò)基礎(chǔ)之上的，如：Internet或Intranet。
要實(shí)現(xiàn)VPN連接，企業(yè)內(nèi)部網(wǎng)絡(luò)中必須配置有一臺(tái)基于Windows NT或Windows2000 Server的VPN服務(wù)器，VPN服務(wù)器一方面連接企業(yè)內(nèi)部專用網(wǎng)絡(luò)，另一方面要連接到Internet，也就是說VPN服務(wù)器必須擁有一個(gè)公用的IP地址。當(dāng)客戶機(jī)通過VPN連接與專用網(wǎng)絡(luò)中的計(jì)算機(jī)進(jìn)行通信時(shí)，先由ISP（Internet服務(wù)提供商）將所有的數(shù)據(jù)傳送到VPN服務(wù)器，然后再由VPN服務(wù)器負(fù)責(zé)將所有的數(shù)據(jù)傳送到目標(biāo)計(jì)算機(jī)。VPN使用三個(gè)方面的技術(shù)保證了通信的安全性：隧道協(xié)議、身份驗(yàn)證和數(shù)據(jù)加密?？蛻魴C(jī)向VPN服務(wù)器發(fā)出請(qǐng)求，VPN服務(wù)器響應(yīng)請(qǐng)求并向客戶機(jī)發(fā)出身份質(zhì)詢，客戶機(jī)將加密的響應(yīng)信息發(fā)送到VPN服務(wù)器，VPN服務(wù)器根據(jù)用戶數(shù)據(jù)庫檢查該響應(yīng)，如果賬戶有效，VPN服務(wù)器將檢查該用戶是否具有遠(yuǎn)程訪問權(quán)限，如果該用戶擁有遠(yuǎn)程訪問的權(quán)限，VPN服務(wù)器接受此連接。在身份驗(yàn)證過程中產(chǎn)生的客戶機(jī)和服務(wù)器公有密鑰將用來對(duì)數(shù)據(jù)進(jìn)行加密。
VPN帶來的好處
降低費(fèi)用：首先遠(yuǎn)程用戶可以通過向當(dāng)?shù)氐腎SP申請(qǐng)賬戶登錄到Internet，以Internet作為隧道與企業(yè)內(nèi)部專用網(wǎng)絡(luò)相連，通信費(fèi)用大幅度降低；其次企業(yè)可以節(jié)省購買和維護(hù)通訊設(shè)備的費(fèi)用。
增強(qiáng)的安全性VPN通過使用點(diǎn)到點(diǎn)協(xié)議（PPP）用戶級(jí)身份驗(yàn)證的方法進(jìn)行驗(yàn)證，這些驗(yàn)證方法包括：密碼身份驗(yàn)證協(xié)議（PAP）、質(zhì)詢握手身份驗(yàn)證協(xié)議（CHAP）、Shiva密碼身份驗(yàn)證協(xié)議（SPAP）、Microsoft質(zhì)詢握手身份驗(yàn)證協(xié)議（MS-CHAP）和可選的可擴(kuò)展身份驗(yàn)證協(xié)議（EAP）；并且采用微軟點(diǎn)對(duì)點(diǎn)加密算法（MPPE）和網(wǎng)際協(xié)議安全（IPSec）機(jī)制對(duì)數(shù)據(jù)進(jìn)行加密。以上的身份驗(yàn)證和加密手段由遠(yuǎn)程VPN服務(wù)器強(qiáng)制執(zhí)行。對(duì)于敏感的數(shù)據(jù)，可以使用VPN連接通過VPN服務(wù)器將高度敏感的數(shù)據(jù)服務(wù)器物理地進(jìn)行分隔，只有企業(yè)Intranet上擁有適當(dāng)權(quán)限的用戶才能通過遠(yuǎn)程訪問建立與VPN服務(wù)器的VPN連接，并且可以訪問敏感部門網(wǎng)絡(luò)中受到保護(hù)的資源。
網(wǎng)絡(luò)協(xié)議支持：VPN支持最常用的網(wǎng)絡(luò)協(xié)議，基于IP、IPX和NetBEUI協(xié)議網(wǎng)絡(luò)中的客戶機(jī)都可以很容易地使用VPN。這意味著通過VPN連接可以遠(yuǎn)程運(yùn)行依賴于特殊網(wǎng)絡(luò)協(xié)議的應(yīng)用程序。
IP地址安全：因?yàn)閂PN是加密的，VPN數(shù)據(jù)包在Internet中傳輸時(shí)，Internet上的用戶只看到公用的IP地址，看不到數(shù)據(jù)包內(nèi)包含的專有網(wǎng)絡(luò)地址。因此遠(yuǎn)程專用網(wǎng)絡(luò)上指定的地址是受到保護(hù)的?！ PN使用的協(xié)議
VPN使用兩種隧道協(xié)議：點(diǎn)到點(diǎn)隧道協(xié)議（PPTP）和第二層隧道協(xié)議（L2TP）。
PPTP：PPTP是PPP的擴(kuò)展，它增加了一個(gè)新的安全等級(jí)，并且可以通過Internet進(jìn)行多協(xié)議通信，它支持通過公共網(wǎng)絡(luò)（如Internet）建立按需的、多協(xié)議的、虛擬專用網(wǎng)絡(luò)。PPTP可以建立隧道或?qū)P、IPX或NetBEUI協(xié)議封裝在PPP數(shù)據(jù)包內(nèi)，因此允許用戶遠(yuǎn)程運(yùn)行依賴特定網(wǎng)絡(luò)協(xié)議的應(yīng)用程序。PPTP在基于TCP/IP協(xié)議的數(shù)據(jù)網(wǎng)絡(luò)上創(chuàng)建VPN連接，實(shí)現(xiàn)從遠(yuǎn)程計(jì)算機(jī)到專用服務(wù)器的安全數(shù)據(jù)傳輸。VPN服務(wù)器執(zhí)行所有的安全檢查和驗(yàn)證，并啟用數(shù)據(jù)加密，使得在不安全的網(wǎng)絡(luò)上發(fā)送信息變得更加安全。尤其是使用EAP后，通過啟用PPTP的VPN傳輸數(shù)據(jù)就象在企業(yè)的一個(gè)局域網(wǎng)內(nèi)那樣安全。另外還可以使用PPTP建立專用LAN到LAN的網(wǎng)絡(luò)。
L2TP：L2TP是一個(gè)工業(yè)標(biāo)準(zhǔn)的Internet隧道協(xié)議，它和PPTP的功能大致相同。L2TP也會(huì)壓縮PPP的幀，從而壓縮IP、IPX或NetBEUI協(xié)議，同樣允許用戶遠(yuǎn)程運(yùn)行依賴特定網(wǎng)絡(luò)協(xié)議的應(yīng)用程序。與PPTP不同的是，L2TP使用新的網(wǎng)際協(xié)議安全（IPSec）機(jī)制來進(jìn)行身份驗(yàn)證和數(shù)據(jù)加密。目前L2TP只支持通過IP網(wǎng)絡(luò)建立隧道，不支持通過X.25、幀中繼或ATM網(wǎng)絡(luò)的本地隧道。
VPN的身份驗(yàn)證方法
前面已經(jīng)提到VPN的身份驗(yàn)證采用PPP的身份驗(yàn)證方法，下面介紹一下VPN進(jìn)行身份驗(yàn)證的幾種方法。
CHAP：CHAP通過使用MD5（一種工業(yè)標(biāo)準(zhǔn)的散列方案）來協(xié)商一種加密身份驗(yàn)證的安全形式。CHAP在響應(yīng)時(shí)使用質(zhì)詢-響應(yīng)機(jī)制和單向MD5散列。用這種方法，可以向服務(wù)器證明客戶機(jī)知道密碼，但不必實(shí)際地將密碼發(fā)送到網(wǎng)絡(luò)上。
MS-CHAP：同CHAP相似，微軟開發(fā)MS-CHAP是為了對(duì)遠(yuǎn)程Windows工作站進(jìn)行身份驗(yàn)證，它在響應(yīng)時(shí)使用質(zhì)詢-響應(yīng)機(jī)制和單向加密。而且MS-CHAP不要求使用原文或可逆加密密碼。
MS-CHAP v2：MS-CHAP v2是微軟開發(fā)的第二版的質(zhì)詢握手身份驗(yàn)證協(xié)議，它提供了相互身份驗(yàn)證和更強(qiáng)大的初始數(shù)據(jù)密鑰，而且發(fā)送和接收分別使用不同的密鑰。如果將VPN連接配置為用MS-CHAP v2作為的身份驗(yàn)證方法，那么客戶端和服務(wù)器端都要證明其身份，如果所連接的服務(wù)器不提供對(duì)自己身份的驗(yàn)證，則連接將被斷開。
EAP：EAP的開發(fā)是為了適應(yīng)對(duì)使用其他安全設(shè)備的遠(yuǎn)程訪問用戶進(jìn)行身份驗(yàn)證的日益增長的需求。通過使用EAP，可以增加對(duì)許多身份驗(yàn)證方案的支持，其中包括令牌卡、一次性密碼、使用智能卡的公鑰身份驗(yàn)證、證書及其他身份驗(yàn)證。對(duì)于VPN來說，使用EAP可以防止暴力或詞典攻擊及密碼猜測，提供比其他身份驗(yàn)證方法（例如CHAP）更高的安全性。
在Windows系統(tǒng)中，對(duì)于采用智能卡進(jìn)行身份驗(yàn)證，將采用EAP驗(yàn)證方法；對(duì)于通過密碼進(jìn)行身份驗(yàn)證，將采用CHAP、MS-CHAP或MS-CHAP v2驗(yàn)證方法。
VPN的加密技術(shù)
VPN采用何種加密技術(shù)依賴于VPN服務(wù)器的類型，因此可以分為兩種情況。
對(duì)于PPTP服務(wù)器，將采用MPPE加密技術(shù)MPPE可以支持40位密鑰的標(biāo)準(zhǔn)加密方案和128位密鑰的增強(qiáng)加密方案。只有在MS-CHAP、MS-CHAP v2或EAP/TLS身份驗(yàn)證被協(xié)商之后，數(shù)據(jù)才由MPPE進(jìn)行加密，MPPE需要這些類型的身份驗(yàn)證生成的公用客戶和服務(wù)器密鑰。
對(duì)于L2TP服務(wù)器，將使用IPSec機(jī)制對(duì)數(shù)據(jù)進(jìn)行加密IPSec是基于密碼學(xué)的保護(hù)服務(wù)和安全協(xié)議的套件。IPSec對(duì)使用L2TP協(xié)議的VPN連接提供機(jī)器級(jí)身份驗(yàn)證和數(shù)據(jù)加密。在保護(hù)密碼和數(shù)據(jù)的L2TP連接建立之前，IPSec在計(jì)算機(jī)及其遠(yuǎn)程VPN服務(wù)器之間進(jìn)行協(xié)商。IPSec可用的加密包括56位密鑰的數(shù)據(jù)加密標(biāo)準(zhǔn)DES和56位密鑰的三倍DES（3DES）。
何為VPN
VPN（Virtual Private Network）：虛擬專用網(wǎng)絡(luò)，是一門網(wǎng)絡(luò)新技術(shù)，為我們提供了一種通過公用網(wǎng)絡(luò)安全地對(duì)企業(yè)內(nèi)部專用網(wǎng)絡(luò)進(jìn)行遠(yuǎn)程訪問的連接方式。我們知道一個(gè)網(wǎng)絡(luò)連接通常由三個(gè)部分組成：客戶機(jī)、傳輸介質(zhì)和服務(wù)器。VPN同樣也由這三部分組成，不同的是VPN連接使用隧道作為傳輸通道，這個(gè)隧道是建立在公共網(wǎng)絡(luò)或?qū)Ｓ镁W(wǎng)絡(luò)基礎(chǔ)之上的，如：Internet或Intranet。
要實(shí)現(xiàn)VPN連接，企業(yè)內(nèi)部網(wǎng)絡(luò)中必須配置有一臺(tái)基于Windows NT或Windows2000 Server的VPN服務(wù)器，VPN服務(wù)器一方面連接企業(yè)內(nèi)部專用網(wǎng)絡(luò)，另一方面要連接到Internet，也就是說VPN服務(wù)器必須擁有一個(gè)公用的IP地址。當(dāng)客戶機(jī)通過VPN連接與專用網(wǎng)絡(luò)中的計(jì)算機(jī)進(jìn)行通信時(shí)，先由ISP（Internet服務(wù)提供商）將所有的數(shù)據(jù)傳送到VPN服務(wù)器，然后再由VPN服務(wù)器負(fù)責(zé)將所有的數(shù)據(jù)傳送到目標(biāo)計(jì)算機(jī)。VPN使用三個(gè)方面的技術(shù)保證了通信的安全性：隧道協(xié)議、身份驗(yàn)證和數(shù)據(jù)加密?？蛻魴C(jī)向VPN服務(wù)器發(fā)出請(qǐng)求，VPN服務(wù)器響應(yīng)請(qǐng)求并向客戶機(jī)發(fā)出身份質(zhì)詢，客戶機(jī)將加密的響應(yīng)信息發(fā)送到VPN服務(wù)器，VPN服務(wù)器根據(jù)用戶數(shù)據(jù)庫檢查該響應(yīng)，如果賬戶有效，VPN服務(wù)器將檢查該用戶是否具有遠(yuǎn)程訪問權(quán)限，如果該用戶擁有遠(yuǎn)程訪問的權(quán)限，VPN服務(wù)器接受此連接。在身份驗(yàn)證過程中產(chǎn)生的客戶機(jī)和服務(wù)器公有密鑰將用來對(duì)數(shù)據(jù)進(jìn)行加密。
VPN帶來的好處
降低費(fèi)用：首先遠(yuǎn)程用戶可以通過向當(dāng)?shù)氐腎SP申請(qǐng)賬戶登錄到Internet，以Internet作為隧道與企業(yè)內(nèi)部專用網(wǎng)絡(luò)相連，通信費(fèi)用大幅度降低；其次企業(yè)可以節(jié)省購買和維護(hù)通訊設(shè)備的費(fèi)用。
增強(qiáng)的安全性VPN通過使用點(diǎn)到點(diǎn)協(xié)議（PPP）用戶級(jí)身份驗(yàn)證的方法進(jìn)行驗(yàn)證，這些驗(yàn)證方法包括：密碼身份驗(yàn)證協(xié)議（PAP）、質(zhì)詢握手身份驗(yàn)證協(xié)議（CHAP）、Shiva密碼身份驗(yàn)證協(xié)議（SPAP）、Microsoft質(zhì)詢握手身份驗(yàn)證協(xié)議（MS-CHAP）和可選的可擴(kuò)展身份驗(yàn)證協(xié)議（EAP）；并且采用微軟點(diǎn)對(duì)點(diǎn)加密算法（MPPE）和網(wǎng)際協(xié)議安全（IPSec）機(jī)制對(duì)數(shù)據(jù)進(jìn)行加密。以上的身份驗(yàn)證和加密手段由遠(yuǎn)程VPN服務(wù)器強(qiáng)制執(zhí)行。對(duì)于敏感的數(shù)據(jù)，可以使用VPN連接通過VPN服務(wù)器將高度敏感的數(shù)據(jù)服務(wù)器物理地進(jìn)行分隔，只有企業(yè)Intranet上擁有適當(dāng)權(quán)限的用戶才能通過遠(yuǎn)程訪問建立與VPN服務(wù)器的VPN連接，并且可以訪問敏感部門網(wǎng)絡(luò)中受到保護(hù)的資源。
網(wǎng)絡(luò)協(xié)議支持：VPN支持最常用的網(wǎng)絡(luò)協(xié)議，基于IP、IPX和NetBEUI協(xié)議網(wǎng)絡(luò)中的客戶機(jī)都可以很容易地使用VPN。這意味著通過VPN連接可以遠(yuǎn)程運(yùn)行依賴于特殊網(wǎng)絡(luò)協(xié)議的應(yīng)用程序。
IP地址安全：因?yàn)閂PN是加密的，VPN數(shù)據(jù)包在Internet中傳輸時(shí)，Internet上的用戶只看到公用的IP地址，看不到數(shù)據(jù)包內(nèi)包含的專有網(wǎng)絡(luò)地址。因此遠(yuǎn)程專用網(wǎng)絡(luò)上指定的地址是受到保護(hù)的?！ PN使用的協(xié)議
VPN使用兩種隧道協(xié)議：點(diǎn)到點(diǎn)隧道協(xié)議（PPTP）和第二層隧道協(xié)議（L2TP）。
PPTP：PPTP是PPP的擴(kuò)展，它增加了一個(gè)新的安全等級(jí)，并且可以通過Internet進(jìn)行多協(xié)議通信，它支持通過公共網(wǎng)絡(luò)（如Internet）建立按需的、多協(xié)議的、虛擬專用網(wǎng)絡(luò)。PPTP可以建立隧道或?qū)P、IPX或NetBEUI協(xié)議封裝在PPP數(shù)據(jù)包內(nèi)，因此允許用戶遠(yuǎn)程運(yùn)行依賴特定網(wǎng)絡(luò)協(xié)議的應(yīng)用程序。PPTP在基于TCP/IP協(xié)議的數(shù)據(jù)網(wǎng)絡(luò)上創(chuàng)建VPN連接，實(shí)現(xiàn)從遠(yuǎn)程計(jì)算機(jī)到專用服務(wù)器的安全數(shù)據(jù)傳輸。VPN服務(wù)器執(zhí)行所有的安全檢查和驗(yàn)證，并啟用數(shù)據(jù)加密，使得在不安全的網(wǎng)絡(luò)上發(fā)送信息變得更加安全。尤其是使用EAP后，通過啟用PPTP的VPN傳輸數(shù)據(jù)就象在企業(yè)的一個(gè)局域網(wǎng)內(nèi)那樣安全。另外還可以使用PPTP建立專用LAN到LAN的網(wǎng)絡(luò)。
L2TP：L2TP是一個(gè)工業(yè)標(biāo)準(zhǔn)的Internet隧道協(xié)議，它和PPTP的功能大致相同。L2TP也會(huì)壓縮PPP的幀，從而壓縮IP、IPX或NetBEUI協(xié)議，同樣允許用戶遠(yuǎn)程運(yùn)行依賴特定網(wǎng)絡(luò)協(xié)議的應(yīng)用程序。與PPTP不同的是，L2TP使用新的網(wǎng)際協(xié)議安全（IPSec）機(jī)制來進(jìn)行身份驗(yàn)證和數(shù)據(jù)加密。目前L2TP只支持通過IP網(wǎng)絡(luò)建立隧道，不支持通過X.25、幀中繼或ATM網(wǎng)絡(luò)的本地隧道。
VPN的身份驗(yàn)證方法
前面已經(jīng)提到VPN的身份驗(yàn)證采用PPP的身份驗(yàn)證方法，下面介紹一下VPN進(jìn)行身份驗(yàn)證的幾種方法。
CHAP：CHAP通過使用MD5（一種工業(yè)標(biāo)準(zhǔn)的散列方案）來協(xié)商一種加密身份驗(yàn)證的安全形式。CHAP在響應(yīng)時(shí)使用質(zhì)詢-響應(yīng)機(jī)制和單向MD5散列。用這種方法，可以向服務(wù)器證明客戶機(jī)知道密碼，但不必實(shí)際地將密碼發(fā)送到網(wǎng)絡(luò)上。
MS-CHAP：同CHAP相似，微軟開發(fā)MS-CHAP是為了對(duì)遠(yuǎn)程Windows工作站進(jìn)行身份驗(yàn)證，它在響應(yīng)時(shí)使用質(zhì)詢-響應(yīng)機(jī)制和單向加密。而且MS-CHAP不要求使用原文或可逆加密密碼。
MS-CHAP v2：MS-CHAP v2是微軟開發(fā)的第二版的質(zhì)詢握手身份驗(yàn)證協(xié)議，它提供了相互身份驗(yàn)證和更強(qiáng)大的初始數(shù)據(jù)密鑰，而且發(fā)送和接收分別使用不同的密鑰。如果將VPN連接配置為用MS-CHAP v2作為的身份驗(yàn)證方法，那么客戶端和服務(wù)器端都要證明其身份，如果所連接的服務(wù)器不提供對(duì)自己身份的驗(yàn)證，則連接將被斷開。
EAP：EAP的開發(fā)是為了適應(yīng)對(duì)使用其他安全設(shè)備的遠(yuǎn)程訪問用戶進(jìn)行身份驗(yàn)證的日益增長的需求。通過使用EAP，可以增加對(duì)許多身份驗(yàn)證方案的支持，其中包括令牌卡、一次性密碼、使用智能卡的公鑰身份驗(yàn)證、證書及其他身份驗(yàn)證。對(duì)于VPN來說，使用EAP可以防止暴力或詞典攻擊及密碼猜測，提供比其他身份驗(yàn)證方法（例如CHAP）更高的安全性。
在Windows系統(tǒng)中，對(duì)于采用智能卡進(jìn)行身份驗(yàn)證，將采用EAP驗(yàn)證方法；對(duì)于通過密碼進(jìn)行身份驗(yàn)證，將采用CHAP、MS-CHAP或MS-CHAP v2驗(yàn)證方法。
VPN的加密技術(shù)
VPN采用何種加密技術(shù)依賴于VPN服務(wù)器的類型，因此可以分為兩種情況。
對(duì)于PPTP服務(wù)器，將采用MPPE加密技術(shù)MPPE可以支持40位密鑰的標(biāo)準(zhǔn)加密方案和128位密鑰的增強(qiáng)加密方案。只有在MS-CHAP、MS-CHAP v2或EAP/TLS身份驗(yàn)證被協(xié)商之后，數(shù)據(jù)才由MPPE進(jìn)行加密，MPPE需要這些類型的身份驗(yàn)證生成的公用客戶和服務(wù)器密鑰。
對(duì)于L2TP服務(wù)器，將使用IPSec機(jī)制對(duì)數(shù)據(jù)進(jìn)行加密IPSec是基于密碼學(xué)的保護(hù)服務(wù)和安全協(xié)議的套件。IPSec對(duì)使用L2TP協(xié)議的VPN連接提供機(jī)器級(jí)身份驗(yàn)證和數(shù)據(jù)加密。在保護(hù)密碼和數(shù)據(jù)的L2TP連接建立之前，IPSec在計(jì)算機(jī)及其遠(yuǎn)程VPN服務(wù)器之間進(jìn)行協(xié)商。IPSec可用的加密包括56位密鑰的數(shù)據(jù)加密標(biāo)準(zhǔn)DES和56位密鑰的三倍DES（3DES）。