防火墙结课论文.docx
- 文档编号:30501284
- 上传时间:2023-08-16
- 格式:DOCX
- 页数:19
- 大小:211.19KB
防火墙结课论文.docx
《防火墙结课论文.docx》由会员分享,可在线阅读,更多相关《防火墙结课论文.docx(19页珍藏版)》请在冰豆网上搜索。
防火墙结课论文
VPN在校园网中的规划与实现
VPNincampusnetworkplanningandImplementation
学院:
计算机科学与技术学院
课程名称:
防火墙、入侵检测与VPN
专业班级:
网络信息安全1103级
指导老师:
叶青
学号:
311109050323
姓名:
王锐
目录
前言1
一、VPN技术2
1.VPN的工作原理2
2.VPN的类型划分2
3.VPN的特点及安全机制3
4.VPN的应用前景3
二、VPN的隧道技术4
1.VPN的隧道技术及其作用4
2.VPN隧道协议分析5
3.MPLSVPN技术6
三、目前校园网状况分析7
1.目前校园网现状及存在的问题7
2.目前校园网的安全意识及隐患7
四、校园网VPN系统需求分析8
1.功能需求8
2.技术需求8
五、校园网VPN整体设计8
1.整体网络规划8
2.校园网内部规划9
3.校园网外部规划10
4.校园网组网方案11
5.VPN防火墙配置11
六、结语12
参考文献13
VPN在校园网中的规划与实现
摘要:
随着网络技术的高速发展,网络已普及到了全社会的各方面,人们与网络的关系也日益密切,而随着高校网络的建设发展,网络在全校师生的工作、学习和生活中变得越来越重要,人们希望能够获得不间断的高质量的安全可靠的网络服务。
特别是现今,高校分校区的建立更是要求我们认真规划和完善学校校园网络,如何为本部与分校区之间建立和完善高效可靠、稳定安全、面向应用和服务的校园网络更是成为学校信息化建设的重点。
在有限的资金内,实现学校教学、科研、管理、运营等多个业务系统的“隔离和受控访问”。
虚拟专用网(VPN)是现今Internet中适应性、安全性、和价格优势比较出色的技术之一。
本文主要分析MPLSVPN技术特点和技术优势,分析校园网络建设的实际需求。
对校园网的MPLSVPN做了规划和设计,研究了MPLSVPN环境下校园网络的规划和实施方案。
关键字:
虚拟专用网;MPLSVPN;校园网;网络
VPNincampusnetworkplanningandImplementation
Abstract:
withtherapiddevelopmentofnetworktechnology,networkhasspreadtothewholesocietyeachrespect,ithasacloserelationshipwiththenetwork,andalongwiththenetworkdevelopment,networkschoolteachersandstudentsinthework,studyandlifebecomemoreandmoreimportant,peoplehopetoobtainuninterruptedhighqualitythesafeandreliablenetworkservices.Nowadays,collegecampusareaestablishmentrequestustocarefullyplanningandimprovethecampusnetwork,howtoandthecampusareabetweentheestablishmentandimprovementofefficientandreliable,stableandsafeforapplicationsandservices,thecampusnetworkistobecometheschool'sfocusonbuildinginformation.Inthelimitedfunds,schoolteaching,scientificresearch,management,implementation,operationandsoonmanybusinesssystems"isolationandcontrolledaccess".Virtualprivatenetwork(VPN)istheInternetadaptability,safety,andpriceadvantagecomparedwiththeexcellenttechnology.ThisarticlemainlyanalyzestheMPLSVPNtechnicalcharacteristicandadvantage,analysisoftheconstructionofthecampusnetworkpracticaldemand.OnthecampusnetworkplanninganddesignMPLSVPN,MPLSVPNenvironmentonthecampusnetworkplanningandimplementationact.
Keywords:
virtualprivatenetwork;MPLSVPN;campusnetwork;networkplanning
前言
随着教育信息化的深入,很多学校都建立了校园网,为了实现校内资源优化整合,让师生们更好的进行工作和学习,他们需要在校园网内部或在校外的远程节点上,随时享受校园网内部的各项服务,然而由于互联网黑客对各高校的资源虎视眈眈,在没有经过任何允许的情况下,黑客们很容易就潜入校园网内部进行"捣乱",为此,多数校园网都不会将自己的各种应用系统和所有信息资源完全开放,因为这样让整个校园网面临无以估量的破坏性损失,为了网络安全考虑,将VPN技术应用于基于公共互联网构架的校园网,可以较好的解决校园网多校区、远程访问、远程管理等问题。
对于校园网而言,它虽然给师生带来了资源共享的便捷,但同时也意味着具有安全风险,比如非授权访问,没有预先经过授权,就使用校园网络或计算机资源;信息泄漏或丢失,重要数据在有意或无意中被泄漏出去或丢失;以非法手段窃得对数据的使用权,删除、修改、插入或重发某些重要信息;不断对网络服务系统进行干扰,改变其正常的作业流程,执行无关程序使系统响应减慢甚至瘫痪;利用网络传播计算机病毒等。
那么,校园网利用VPN技术方案,是否能避免校园网的潜在安全隐患,杜绝上述情况的发生呢?
VPN即虚拟私有网络技术,它的安全功能包括:
通道协议、身份验证和数据加密,实际工作时,远程的外网客户机向校园网内的VPN服务器发出请求,VPN服务器响应请求并向客户机发出身份质询,客户机将加密的响应信息发送到VPN服务端,VPN服务器根据用户数据库检查该响应,如果账户有效,VPN服务器将检查该用户是否具有远程访问的权限,如果该用户拥有远程访问的权限,VPN服务器接受此连接。
在身份验证过程中产生的客户机和服务器公有密钥将用来对数据进行加密。
简单来说,VPN可以通过对校园网内的数据进行封包和加密传输,在互联网公网上传输私有数据、达到私有网络的安全级别。
一、VPN技术
VPN(VirtualPrivateNetwork)虚拟专用网,利用公共互连网实现的某个机构的专用网,它是一种通过私有的隧道技术在公共数据网络上仿真一条点到点专线的技术,它不是真的专用网络,但却能实现专用网络的功能。
在虚拟VPN中,任意两节点之间的连接没有端到端的物理链路,而是利用某种公众网的资源之上的逻辑网络如互联网动态组成。
其次在逻辑网络中传送的用户数据不仅需要加密,且在传送过程中需要进行身份认证,由此VPN在网络传输过程中,既利用了逻辑网络(主要为互联网)的公共网络资源,又确保了数据传送的安全性。
1.VPN的工作原理
VPN通过公众IP网络建立了私有数据传输通道,将远程的分支办公室、商业伙伴、移动办公人员等连接起来。
减轻了企业的远程访问费用负担,节省电话费用开支,并且提供了安全的端到端的数据通讯。
连接VPN的两种形式:
常规的直接拨号连接与虚拟专网连接的异同点在于在前一种情形中,PPP(点对点协议)数据包流是通过专用线路传输的。
在VPN中,PPP数据包流是由一个LAN上的路由器发出,通过共享IP网络上的隧道进行传输,再到达另一个LAN上的路由器。
一般来说,VPN的正常运行依赖于一个完整的VPN系统,一般包括以下三个单元:
a)VPN服务器端:
这个是接收和验证VPN连接请求,并处理数据打包和解包工作的一台计算机或者设备。
b)VPN客户机端:
VPN客户机端是能够发起VPN连接请求,并且也可以进行数据打包和解包工作的一台计算机或者设备。
c)VPN数据通道:
这是通过一条建立在公用网络上的数据连接。
其实,所谓的服务器端和客户端在VPN连接建立之后,在通信过程中扮演的角色是一样的,区别仅在于连接是由谁发起的。
2.VPN的类型划分
a)按应用范围划分:
AccessVPN、IntranetVPN、ExtranetVPN
b)按VPN网络结构划分:
基于VPN的远程访问、基于VPN的网络互连、基于VPN的点对点通信
c)按接入方式划分:
专线VPN、VPDN
d)按隧道协议划分:
第二层隧道协议、第三层隧道协议、第四层隧道协议
e)按隧道建立方式划分:
自愿隧道、强制隧道
f)按路由管理方式划分:
覆盖模式、对等模式
3.VPN的特点及安全机制
●一般而言,一个高效、成功的VPN应该具备一下几个主要的特点:
a)具备完善的安全保障机制
b)具备用户可接受的服务质量保证
c)总成本低
d)可扩充性、安全性和灵活性
●VPN的安全机制主要依赖于VPN的加密技术和认证技术
PKI(PublicKeyInfrastructure)技术是通过公钥密码体制中用户私钥的机密性来提供用户身份的惟一性验证,并通过数字证书的方式为每个合法用户的公钥提供一个合法性的证明,建立了用户公钥到证书ID号之间的惟一映射关系。
PKI主要由证书生产系统和应用系统组成,证书生产系统又包括数字证书认证中心(CertificationAuthority,CA)和密钥管理中心(KeyManagement,KM),共同完成数字证书的申请、审核、签发、注销、更新、查询等功能。
证书应用系统提供身份认证、加解密、签名验签等安全服务功能,以解决业务应用中的机密性、完整性、认证性、不可否认性等安全问题。
由于数字证书本身是公开的,因此在身份验证过程中必须通过公钥与私钥之间的惟一映射关系(由公钥加密体制自身提供保证)来间接建立用户私钥和证书ID号之间的映射关系。
数字证书可以存储在多种介质上。
为了保证数据在共享网络与公共网络上传输安全性,数据必须被发送方加密然后在接收方被解密。
对数据加密与解密的过程取决于数据发送方与数据接收方所共知的加密关键字。
那些在传输网络中通过VPN连接被截取的报文,在没有公共加密关键字的情况下,其内容是不容易被知道的。
加密关键字的长度是一种重要的安全传输。
计算技术的发展可以决定加密关键字的长度。
加密关键字的长度越长,所需要的计算能力以及计算时间也就越长。
4.VPN的应用前景
随着企业的效益日益增长,越来越凸现传统企业网的功能缺陷:
基于固定物理地点的专线连接方式已难以适应现代企业的需求,于是企业对于自身的网络建设提出了更高的需求。
在这样的背景下,VPN以其独具特色的优势赢得了越来越多的企业青睐,令企业可以较少地关注网络的运行与维护,而更多地致力于企业的商业目标的实现。
特别是:
1.大规模应用下的VPN接入需求。
运用专线网络、普通拨号接入作为校区互联应用的基础,已经不是满足远程接入的必要手段。
VPN技术的实现,特别是SSLVPN在B/S、C/S构架的网络上全面适应,以及高强度加密保障传输安全等性能,已逐步形成一种主流的替代模式。
2.移动访问校内信息,例如数字图书馆,校内各种服务器等。
校园数字图书馆的应用越具规模,从工作人员将自身馆藏书籍数字化开始,到与商业化合作购买阅览版权,再将数据与校园网共享,让校内外师生都能方便查询电子文献资料。
3.大流量应用的负载均衡和高可用性。
4.和既有的网络设备和网络环境无缝集成。
二、VPN的隧道技术
1.VPN的隧道技术及其作用
隧道是一种利用一种协议来传输另外一种协议的技术。
它是在公用IP网中建立逻辑点到点连接的一种方法,是一个叠加在IP网上的传送通道。
一个IP隧道连接两个VPN站点。
在隧道中通过的业务流与下层的IP网络协议要求无关,也就是说,隧道内可传输IP(网络协议)、IPX(InternetworkPacketExchange,网间数据包交换)、AppleTalk(一种多层协议)或其他协议的数据包,均是通过协议的封装来完成的。
封装技术是隧道技术的基本技术,根据隧道在OSI的第二层还是第三层中实现的机理,可分为第二层隧道技术与第三层隧道技术。
当前网络既采用第二层隧道技术,也采用第三层隧道技术。
VPN的实现都要求采用隧道技术。
隧道技术是一种通过使用互联网络的基础设施在网络之间传递数据的方式。
其涉及三种协议,即隧道协议、承载协议和乘客协议。
承载协议把隧道协议当作自己的数据来传输,隧道协议把乘客协议当作自己的数据来传输。
这三者之间的关系如图。
乘客协议
隧道协议
承载协议
低层传输技术
图隧道协议层次结构
可以把隧道技术的作用概括为:
①一个IP隧道可以封装任何形式的有效负载,使用桌面或便携式计算机的用户能够透明地拨号上网来访问他们公司的IP。
②隧道能够同时封装多个用户或多个不同形式的有效负载。
③使用隧道技术访问内部网时,内部网不会向因特网报告它的网络地址。
④隧道技术允许接收者滤掉或报告隧道连接。
通过隧道的建立,可实现以下功能:
①将数据流量强制传输到特定的目的地。
②隐藏私有的网络地址。
③在IP网上传输非IP协议数据包。
④提供数据安全支持。
⑤协助完成用户认证、授权、计费(AAA)的管理。
2.VPN隧道协议分析
目前常用的VPN是覆盖模型VPN,可选择的隧道协议有PPTP(点到点隧道协议)、L2TP(Z.层隧道协议)、IPSEC(IP安全)等。
在确定选择某种协议创建VPN之前,首先要分析这些隧道协议的主要属性。
通常包括:
封装、验证、数据加密,其意义分别如下:
1、封装
VPN技术提供利用允许数据在传输网络上流动的报文头对专用数据进行封装的一种方法。
2、验证
VPN连接的验证有两种形式:
①用户验证
对于将要被建立的VPN连接,VPN服务器首先要有验证企图建立连接的VPN客户身份,并且检查VPN客户是否具有适当的权限。
如果使用的是双向验证方法,VPN客户也要验证VPN服务器的身份,从而提供对假冒VPN服务器的防护功能。
②数据验证与数据完整性
为了检查在VPN连接上所发送的数据是否来自连接的另一端,并且在传输过程中没有被修改,在数据中可以包含基于只有发送方与接收方知道的加密关键字的校验和。
3、数据加密
为了保证数据在共享网络与公共网络上传输安全性,数据必须被发送方加密然后在接收方被解密。
对数据加密与解密的过程取决于数据发送方与数据接收方所共知的加密关键字。
那些在传输网络中通过VPN连接被截取的报文,在没有公共加密关键字的情况下,其内容是不容易被知道的。
加密关键字的长度是一种重要的安全传输。
计算技术的发展可以决定加密关键字的长度。
加密关键字的长度越长,所需要的计算能力以及计算时间也就越长。
因此,在可能的情况下应该使用尽可能长的加密关键字。
此外,利用相同的加密关键字所加密的信息越多,那么这些数就越容易被解密。
在有些加密技术中,用户可以自己设定连接过程中改变加密关键字的频率。
4、地址分配与域名服务器分配
配置VPN服务器之后,它将创建一个虚拟接口,用来代表所有的VPN连接被使用时的公共接口。
VPN客户创建VPN连接时,在VPN客户上也将创建一个虚拟接口,用来代表连接到VPN服务器上的公共接口。
VPN客户上的虚拟接口被连接到创建点到点VPN连接的VPN服务器虚拟接口上。
VPN客户与VPN服务器上的虚拟接口必须被分配IP地址。
这些地址的分配过程是由VPN服务器来进行的。
缺省情况下,VPN服务器直接为自己建立IP地址,而通过使用DHCP(动态主机配置协议)来为VPN客户建立IP地址。
用户也可以配置通过IP网络号与子网掩码所定义的静态IP地址池。
域名服务器设置,也就是DNS与WINS的设罱,是在VPN连接的建立过程中发生。
vPN客户从VPN服务器所在的网络获取DNS服务器与WINS服务器的IP地址。
覆盖模型VPN有多种不同实现方式,例如:
有以PPTP或L2TP等在链路层实现的VPN;有以IPSEC在网络层实现的VPN;有在传输层以SSL(安全套接字层)、SOCKES((套接字安全性)、TLS(传输层安全)实现的VPN;以及在高层使用Kerberos(网络认证协议)、S-MIME(安全电子邮件管理协议)实现的VPN。
当前,使用较多是IPSEC、PPTP或L2TP。
这3种协议各有特点。
3.MPLSVPN技术
传统的VPN一般是通过GRE、L2TP、PPTP、IPSec协议等隧道协议来实现私有网络间数据流在公网上的传送。
MPLS支持LSP隧道技术,而LSP本身就是公网上的隧道,所以用MPLS来实现VPN有天然的优势。
MPLSVPN采用标签交换,一个标签对应一个用户数据,非常易于用户间数据的隔离,利用区分服务体系可以轻易的解决困扰传统IP网络的QOS/COS问题,MPLS自身提供流量工程的能力,可以最大限度的优化配置网络资源,自动快速修复网络故障,提供可用性和高可靠性。
MPLS提供了电信、计算机、有线电视网络三网融合的基础,除了ATM,是目前唯一可以提供高质量的数据、语音和视频相融合的多业务传送、包交换的网络平台。
因此,基于MPLS技术的MPLSVPN,在灵活性、扩展性、安全性各个方面是当前技术最先进的VPN.
基于MPLS的VPN就是通过LSP将私有网络的不同分支连接起来,形成一个统一的网络,如图所示。
基于MPLS的VPN还支持对不同VPN间的互通控制。
MPLS工作流程
MPLSVPN的实现方式,根据Internet边界PE是否参与客户的路由,I奈特人体在建立基于IP/MPLS的VPN有两种选择:
1>第三层的解决方案,通常称作是MPLSL2VPN
2>第二层的解决方案,通常称作是MPLSL2VPN
三、目前校园网状况分析
1.目前校园网现状及存在的问题
1现状:
随着这两年高校招生规模的不断扩大,校区范围不断扩大,学生、老师以及教职工人数不断增加,有的学校甚至出现多个校区。
校园本部所有内部机器都是通过代理服务器连接因特网,对于内部计算机来说,是可以相互共享资源。
它们是使用私用IP地址的。
对于一个远程访问用户(例如在家拨号上网或出差在外的老师)他有不固定的公共IP地址,(也就是每拨号一次分配一个地址所以是不固定的,但却是公共的)他可以访问校本部代理服务器,却不能访问校内网以及办公室计算机。
对于分校区而言,其校园网分布与总部相似,都是通过代理服务器连接因特网,其内部计算机可以访问校本部网站,但同样不能访问本部内部网。
各个校区的办公室机器彼此间无法互相访问。
2存在问题:
老师到分校区上课感到有很多不方便的地方,于是提出意见:
比如,进入不了学校的内部网,通知不能及时看到、工资无法查询、本办公室电脑中的资料无法共享、学生成绩无法上传到本部内部网上等问题。
还有很多老师在家备课、领导经常出差或学术交流,他们有时也需要使用校内资源,但在外地却无法进入校内网。
再者,学校经常会和各兄弟院校交流,比如老师集体背课,教学资源的交流与共享等。
彼此间只能访问到学校网站,无法进一步的使用内部有些资源等问题。
2.目前校园网的安全意识及隐患
对于校园网而言,它虽然给师生带来了资源共享的便捷,但同时也意味着具有安全风险,比如非授权访问,没有预先经过授权,就使用校园网络或计算机资源;信息泄漏或丢失,重要数据在有意或无意中被泄漏出去或丢失;以非法手段窃得对数据的使用权,删除、修改、插入或重发某些重要信息;不断对网络服务系统进行干扰,改变其正常的作业流程,执行无关程序使系统响应减慢甚至瘫痪;利用网络传播计算机病毒等。
那么,校园网利用VPN技术方案,是否能避免校园网的潜在安全隐患,杜绝上述情况的发生呢?
VPN即虚拟私有网络技术,它的安全功能包括:
通道协议、身份验证和数据加密,实际工作时,远程外网客户机向校园网内的VPN服务器发出请求,VPN服务器响应请求并向客户机发出身份质询,客户机将加密的响应信息发送到VPN服务端,VPN服务器根据用户数据库检查该响应,如果账户有效,VPN服务器将检查该用户是否具有远程访问的权限,如果该用户拥有远程访问的权限,VPN服务器接受此连接。
在身份验证过程中产生的客户机和服务器公有密钥将用来对数据进行加密。
简单来说,VPN可以通过对校园网内的数据进行封包和加密传输,在互联网公网上传输私有数据、达到私有网络的安全级别。
四、校园网VPN系统需求分析
1.功能需求
随着现今学校规模不断扩大,特别是部分学校有分校区的建立,某些老师要在本校与分校之间不断地进行往来,随之而来的问题就是怎么让老师在分校的时候也能够通过网络跨地域安全可靠地访问本小区内部服务器,VPN提供了方法。
具体功能实现如下:
1>学校内部采用专线和ADSL接入方式,各个部门采用动态主机分配协议DHCP分配IP。
2>内部人员能够通过专线和内部网络访问各个部门的服务器。
3>在接入Internet的节点上做了网络冗余备份,防止主交换机因为硬件原因,整个内部网络down掉。
4>在节点上运行MPLSVPN,使得分校区与本校之间能够在公网上建立起私有网,防止外部非法访问和入侵,同时能够让在分校区的老师和同学快速访问本校资源。
2.技术需求
从技术角度考虑,一个好的网络应该从它提供的服务和网络的安全性,在设计网络时至少应当具备以下几点:
1>资源共享功能;
2>网络内的各个用户可以共享数据库,实现办公自动化系统中的所有功能;
3>通信服务功能;
4>用户能够实现WEB服务和FTP服务,接入互联网,进行安全的数据访问;
5>多媒体功能;
6>能够进行电影的在线播放和视频会议,支持视频点播和视频会议。
五、校园网VPN整体设计
1.整体网络规划
大部分校园采用开放式的体系结构,易于扩充和调整:
通信协议和设备都符合国际标准,整体设计结构采用Cisco三层标准模型:
核心层、汇聚层、接入层。
在该校的校园网VPN规划中,分为内部规划与外部规划,内部规划是学校内部网络设计,而外部网络设计主要是有服务提供商来提供,而内部网络是分为本校与分校两部分,实际上,两部分配置大概相当。
2.校园网内部规划
在进行内部规划时候,最好进行相应的IP地址规划,下图为内部规划图:
内部规划图
在该路由器上,我们要激活相应的DHCP配置和相关配置。
在汇聚层上,我们为了防止关键路由器出现错误而导致网络的中断,在汇聚层上做了路由器的冗余配置,虚拟了一个网关。
核心层上,即网络节点CE端,我们在该路由器与PE间运行响应的MPLSVPN路由协议,同时要做好NAT转换到公网地址。
(1)内部采用专线登录和ADSL接入方式,采用固定IP
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 防火墙 论文
![提示](https://static.bdocx.com/images/bang_tan.gif)