第四章網絡安全技術-VPN技術計算機系統(tǒng)與網絡安全技術通用路由封裝協(xié)議（GRE）GRE：GenericRoutingEncapsulationVPN技術通用路由封裝協(xié)議（GRE：GenericRoutingEncapsulation）是對某些網絡層協(xié)議（如IP和IPX）的數(shù)據(jù)報進行封裝，使這些被封裝的數(shù)據(jù)報能夠在另一個網絡層協(xié)議（如IP）中傳輸?shù)膮f(xié)議。GRE規(guī)定了怎樣用一種網絡層協(xié)議去封裝另一種網絡層協(xié)議的方法GRE只提供了數(shù)據(jù)包的封裝，它沒有加密功能來防止網絡偵聽和攻擊，所以在實際環(huán)境中它常和IPSec在一起使用，由IPSec提供用戶數(shù)據(jù)的加密，給用戶提供更好的安全性。通用路由封裝協(xié)議（GRE）VPN技術

01234567890123456789012345678901+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+|C|Reserved0|Ver|ProtocolType|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+|Checksum(optional)|Reserved1(Optional)|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

通用路由封裝協(xié)議（GRE）VPN技術

01234567890123456789012345678901+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+|C|Reserved0|Ver|ProtocolType|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+|Checksum(optional)|Reserved1(Optional)|+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

Reserved0(bits1-12)：如果1-5位為非零值，觸發(fā)接收者使用RFC1701（GRE原來的版本）來實現(xiàn)GRE，否則拋棄該包。6-12位保留，但必須設置為0。ProtocolType(2octets)：載荷部分所包含的協(xié)議。常見的協(xié)議值1代表ICMP，4表示IP，6表示TCP和17表示UDP。IP安全協(xié)議（IPSec）IPSec：IPSecurityVPN技術是一組開放協(xié)議的總稱。給出了應用于IP層上網絡數(shù)據(jù)安全的一整套體系結構包括：IPsec認證頭協(xié)議（AH）：為IP數(shù)據(jù)報提供無連接完整性和數(shù)據(jù)起源認證，并提供保護以避免重播情況。IPsec封裝安全負載（ESP）：主要提供數(shù)據(jù)機密性和完整性服務。Internet密鑰交換（IKE）：是一種密鑰管理框架，規(guī)定了密鑰管理的消息表示等，通過與ISAKMP協(xié)議和Oakley密鑰交換協(xié)議結合，可提供密鑰交換等功能。在基于IPSec的VPN中，乘客協(xié)議是IP協(xié)議，封裝協(xié)議是IPSec協(xié)議，而承載協(xié)議是IP協(xié)議。安全套接層協(xié)議（SSL）SSL：SecureSocketsLayerVPN技術是在傳輸層為網絡通信提供機密性和數(shù)據(jù)完整性的一種安全協(xié)議。包括：SSL記錄協(xié)議（SSLRecordProtocol）：為高層協(xié)議提供數(shù)據(jù)封裝、壓縮、加密等基本功能的支持。SSL握手協(xié)議（SSLHandshakeProtocol）：用于在實際的數(shù)據(jù)傳輸開始前，通訊雙方進行身份認證、協(xié)商加密算法、交換加密密鑰等。TLS加密規(guī)范修改協(xié)議（SSLChangeCipherSpecProtocol）：主要用于通告對方啟用新的密碼參數(shù)TLS報警協(xié)議（SSLAlertProtocol）：主要用來處理協(xié)議過程中的錯誤或向對方發(fā)送報警消息。在基于SSL的VPN中，乘客協(xié)議是應用層協(xié)議（如HTTP等），封裝協(xié)議是SSL協(xié)議，而承載協(xié)議是TCP協(xié)議。常見VPN協(xié)議比較VPN技術協(xié)議所屬網絡層加密認證安全性復雜性備注L2F數(shù)據(jù)鏈路層支持支持一般一般僅支持PPP協(xié)議L2TP數(shù)據(jù)鏈路層不支持支持無一般與IPSec結合使用PPTP數(shù)據(jù)鏈路層支持支持