công nghệ ip-vpn

Công nghệ IP - VPN MỤC LỤC MỤC LỤC i Danh mục bảng biểu v Danh sách hình vẽ vi Ký hiệu viết tắt ix LỜI NÓI ĐẦU 1 Chương 1 BỘ GIAO THỨC TCP/IP 3 1.1 Khái niệm mạng Internet 3 1.2 Mô hình phân lớp bộ giao thức TCP/IP 4 1.3 Các giao thức trong mô hình TCP/IP 5 1.3.1 Giao thức Internet 5 1.3.1.1 Giới thiệu chung 5 1.3.1.2. Cấu trúc IPv4 6 1.3.1.3. Phân mảnh IP và hợp nhất dữ liệu 8 1.3.1.4. Địa chỉ và định tuyến IP 9 1.3.1.5. Cấu trúc gói tin IPv6 9 1.3.2. Giao thức lớp vận chuyển 11 1.3.2.1. Giao thức UDP 11 1.3.2.2. Giao thức TCP 12 1.4 Tổng kết 17 Chương 2 CÔNG NGHỆ MẠNG RIÊNG ẢO TRÊN INTERNET IP-VPN 18 2.1 Gới thiệu về mạng riêng ảo trên Internet IP-VPN 18 2.1.1 Khái niệm về mạng riêng ảo trên nền tảng Internet 18 2.1.2 Khả năng ứng dụng của IP-VPN 18 2.2 Các khối cơ bản trong mạng IP-VPN 19 2.2.1 Điều khiển truy nhập 19 2.2.2 Nhận thực 20 2.2.3 An ninh 21 2.2.4 Truyền Tunnel nền tảng IP-VPN 21 2.2.5 Các thỏa thuận mức dịch vụ 23 2.3 Phân loại mạng riêng ảo theo kiến trúc 23 2.3.1 IP-VPN truy nhập từ xa 23 2.3.2 Site-to-Site IP-VPN 25 Công nghệ IP - VPN 2.3.2.1 Intranet IP-VPN 25 2.3.2.2 Extranet IP-VPN 26 2.4 Các giao thức đường ngầm trong IP-VPN 27 2.4.1 PPTP (Point - to - Point Tunneling Protocol) 28 2.4.1.1 Duy trì đường ngầm bằng kết nối điều khiển PPTP 28 2.4.1.2 Đóng gói dữ liệu đường ngầm PPTP 29 2.4.1.3 Xử lí dữ liệu đường ngầm PPTP 30 2.4.1.4 Sơ đồ đóng gói 30 2.4.2 L2TP (Layer Two Tunneling Protocol) 31 2.4.2.1 Duy trì đường ngầm bằng bản tin điều khiển L2TP 32 2.4.2.2 Đường ngầm dữ liệu L2TP 32 2.4.2.3 Xử lý dữ liệu đường ngầm L2TP trên nền IPSec 33 2.4.2.4 Sơ đồ đóng gói L2TP trên nền IPSec 33 2.5 Tổng kết 35 Chương 3 GIAO THỨC IPSEC CHO IP-VPN 36 3.1 Gới thiệu 36 3.1.1 Khái niệm về IPSec 36 3.1.2 Các chuẩn tham chiếu có liên quan 37 3.2 Đóng gói thông tin của IPSec 38 3.2.1 Các kiểu sử dụng 38 3.2.1.1 Kiểu Transport 39 3.1.1.2 Kiểu Tunnel 39 3.2.2 Giao thức tiêu đề xác thực AH 40 3.2.2.1 Giới thiệu 40 3.2.2.2 Cấu trúc gói tin AH 41 3.2.2.3 Quá trình xử lý AH 42 3.2.3 Giao thức đóng gói an toàn tải tin ESP 45 3.2.3.1 Giới thiệu 45 3.2.3.2 Cấu trúc gói tin ESP 46 3.2.3.3 Quá trình xử lý ESP 48 3.3 Kết hợp an ninh SA và giao thức trao đổi khóa IKE 53 3.3.1 Kết hợp an ninh SA 53 3.3.1.1 Định nghĩa và mục tiêu 53 3.3.1.2 Kết hợp các SA 54 3.3.1.3 Cơ sở dữ liệu SA 55 3.3.2 Giao thức trao đổi khóa IKE 56 3.3.2.1 Bước thứ nhất 57 3.3.2.2 Bước thứ hai 59 3.3.2.3 Bước thứ ba 61 3.3.2.4 Bước thứ tư 63 3.3.2.5 Kết thúc đường ngầm 63 3.4 Những giao thức đang được ứng dụng cho xử lý IPSec 63 Công nghệ IP - VPN 3.4.1 Mật mã bản tin 63 3.4.1.1 Tiêu chuẩn mật mã dữ liệu DES 63 3.4.1.2 Tiêu chuẩn mật mã hóa dữ liệu gấp ba 3DES 64 3.4.2 Toàn vẹn bản tin 64 3.4.2.1 Mã nhận thực bản tin băm HMAC 65 3.4.2.2 Thuật toán MD5 65 3.4.2.3 Thuật toán băm an toàn SHA 65 3.4.3 Nhận thực các bên 65 3.4.3.1 Khóa chia sẻ trước 66 3.4.3.2 Chữ ký số RSA 66 3.4.3.3 RSA mật mã nonces 66 3.4.4 Quản lí khóa 66 3.4.4.1 Giao thức Diffie-Hellman 67 3.4.4.2 Quyền chứng nhận CA 68 3.5 Ví dụ về hoạt động của một IP-VPN sử dụng IPSec 69 3.6 Tổng kết 70 Chương 4 AN TOÀN DỮ LIỆU TRONG IP-VPN 71 4.1 Giới thiệu 71 4.2 Mật mã 72 4.2.1 Khái niệm mật mã 72 4.2.2 Các hệ thống mật mã khóa đối xứng 73 4.2.2.1 Các chế độ làm việc ECB, CBC 73 4.2.2.2 Giải thuật DES (Data Encryption Standard) 75 4.2.2.3 Giới thiệu AES (Advanced Encryption Standard) 77 4.2.2.4Thuật toán mật mã luồng (stream cipher) 78 4.2.3 Hệ thống mật mã khóa công khai 78 4.2.3.1 Giới thiệu và lý thuyết về mã khóa công khai 78 4.2.3.2 Hệ thống mật mã khóa công khai RSA 80 4.2.4 Thuật toán trao đổi khóa Diffie-Hellman 82 4.3 Xác thực 83 4.3.1 Xác thực tính toàn vẹn của dữ liệu 83 4.3.1.1 Giản lược thông điệp MD dựa trên các hàm băm một chiều 83 4.3.1.2 Mã xác thực bản tin MAC dựa trên các hàm băm một chiều sử dụng khóa 87 4.3.1.3 Chữ ký số dựa trên hệ thống mật mã khóa công khai 89 4.3.2 Xác thực nguồn gốc dữ liệu 90 4.3.2.1 Các phương thức xác thực 90 4.3.2.2 Các chứng thực số (digital certificates) 92 Chương 5 THỰC HIỆN IP-VPN 97 5.1 Giới thiệu 97 5.2 Các mô hình thực hiện IP-VPN 98 Công nghệ IP - VPN 5.2.1 Access VPN 99 5.2.1.1 Kiến trúc khởi tạo từ máy khách 99 5.2.1.2 Kiến trúc khởi tạo từ máy chủ truy nhập NAS 100 5.2.2 Intranet IP-VPN và Extranet IP-VPN 100 5.2.3 Một số sản phẩm thực hiện VPN 101 5.3 Ví dụ về thực hiện IP-VPN 101 5.3.1 Kết nối Client-to-LAN 102 5.3.2 Kết nối LAN-to-LAN 104 KẾT LUẬN 105 Tài liệu tham khảo 105 Các website tham khảo 107 Công nghệ IP - VPN Danh mục bảng biểu Bảng 3.1: Các RFC đưa ra có liên quan đến IPSec 38 Bảng 3.2: Kết quả khi kết hợp lệnh permit và deny 59 Bảng 3.3: Tổng kết chương các giao thức của IPSec 70 Bảng 4.1: Một số giao thức và thuật toán ứng dụng thông dụng 71 Bảng 4.2: Thời gian bẻ khóa trong giải thuật RSSA/DSS và ECC 80 Bảng 4.3: Tóm tắt giải thuật RSA và độ phức tạp 81 Bảng 4.4: Các bước thực hiện để trao đổi khóa Diffie Hellman 82 Bảng 5.1: Ví dụ về các sản phẩm của Cisco và Netsreen 101 Công nghệ IP - VPN Danh sách hình vẽ Hình 1.1: Mô hình phân lớp bộ giao thức TCP/IP 4 Hình 1.2: Định tuyến khi sử dụng IP Datagram 5 Hình 1. 3: Giao thức kết nối vô hướng 6 Hình 1.4: Cấu trúc gói tin IPv4 6 Hình 1.5: Hiện tượng phân mảnh trong IP 8 Hình 1.6: Các lớp địa chỉ IPv4 9 Hình 1.7: Cấu trúc tiêu đề IPv6 10 Hình 1.8: Cấu trúc tiêu đề UDP 12 Hình 1.9: Cấu trúc tiêu đề TCP 12 Hình 1.10: Thiết lập kết nối theo giao thức TCP 14 Hình 1.11: Thủ tục đóng kết nối TCP 15 Hình 1.12: Cơ chế cửa sổ trượt với kích thước cố định 17 Hình 2.1: Truyền Tunnel trong nối mạng riêng ảo 21 Hình 2.2: Che đậy địa chỉ IP riêng bằng truyền Tunnel 22 Hình 2.3: IP-VPN truy nhập từ xa 25 Hình 2.4: Intranet IP-VPN 26 Hình 2.5: Extranet IP-VPN 26 Hình 2.6: Gói dữ liệu của kết nối điều khiển PPTP 29 Hình 2.7: Dữ liệu đường ngầm PPTP 29 Hình 2.8: Sơ đồ đóng gói PPTP 30 Hình 2.9: Bản tin điều khiển L2TP 32 Hình 2.10: Đóng bao gói tin L2TP 32 Hình 2.11: Sơ đồ đóng gói L2TP 34 Hình 3.1 Gói tin IP ở kiểu Transport 39 Hình 3.2: Gói tin IP ở kiểu Tunnel 39 Hình 3.3: Thiết bị mạng thực hiện IPSec kiểu Tunnel 40 Hình 3.4: Cấu trúc tiêu đề AH cho IPSec Datagram 41 Hình 3.5: Khuôn dạng IPv4 trước và sau khi xử lý AH ở kiểu Transport 43 Hình 3.6: Khuôn dạng IPv6 trước và sau khi xử lý AH ở kiểu Traport 43 Công nghệ IP - VPN Hình 3.7: Khuôn dạng gói tin đã xử lý AH ở kiểu Tunnel 44 Hình 3.8: Xử lý đóng gói ESP 46 Hình 3.9: Khuôn dạng gói ESP 46 Hình 3.10: Khuôn dạng IPv4 trước và sau khi xử lý ESP ở kiểu Transport 48 Hình 3.11: Khuôn dạng IPv6 trước và sau khi xử lý ESP ở kiểu Transport 49 Hình 3.12: Khuôn dạng gói tin đã xử lý ESP ở kiểu Tunnel 49 Hình 3.13: Kết hợp SA kiểu Tunnel khi 2 điểm cuối trùng nhau 55 Hình 3.14: Kết hợp SA kiểu Tunnel khi một điểm cuối trùng nhau 55 Hình 3.15: Kết hợp SA kiểu Tunnel khi không có điểm cuối trùng nhau 55 Hình 3.16: Các chế độ chính, chế độ tấn công, chế độ nhanh của IKE 57 Hình 3.17: Danh sách bí mật ACL 58 Hình 3.18: IKE pha thứ nhất sử dụng chế độ chính (Main Mode) 59 Hình 3.19: Các tập chuyển đổi IPSec 62 Hình 3.20: Ví dụ về hoạt động của IP-VPN sử dụng IPSec 69 Hình 4.1: Các khái niệm chung sử dụng trong các thuật toán mật mã 72 Hình 4.2: Chế độ chính sách mã điện tử ECB 74 Hình 4.3: Thuật toán mật mã khối ở chế độ CBC 74 Hình 4.4: Sơ đồ thuật toán DES 75 Hình 4.5: Mạng Fiestel 76 Hình 4.6: Phân phối khóa trong hệ thống mật mã khóa đối xứng 77 Hình 4.7: Mật mã luồng 78 Hình 4.8: Sơ đồ mã khóa công khai 79 Hình 4.9: Một bít thay đổi trong bản tin dẫn đến 50% các bít MD thay đổi 85 Hình 4.10: Các hàm băm thông dụng MD5, SHA 86 Hình 4.11: Cấu trúc cơ bản của MD5, SHA 86 Hình 4.12: Xác thực tính toàn vẹn dựa trên mã xác thực bản tin MAC 87 Hình 4.13: Quá trình tạo mã xác thực bản tin MAC 88 Hình 4.14: Chữ ký số 90 Hình 4.15: Giao thức hỏi đáp MAC 91 Hình 4.16: Giao thức hỏi đáp sử dụng chữ ký số 92 Hình 4.17: Mô hình tin tưởng thứ nhất (PGP Web of Trust) 93 Công nghệ IP - VPN Hình 4.18: Mô hình tin tưởng thứ hai (phân cấp tin tưởng với các CAs) 94 Hình 4.19: Cấu trúc chung của một chứng thực X.509 95 Hình 5.1: Ba mô hình IP-VPN 98 Hình 5.2: Truy nhập IP-VPN từ xa khởi tạo từ phía người sử dụng 99 Hình 5.3: Truy nhập IP-VPN khởi tạo từ máy chủ 100 Hình 5.4: IP-VPN khởi tạo từ routers 100 Hình 5.5: Các thành phần của kết nối Client-to-LAN 102 Hình 5.6: Đường ngầm IPSec Client-to-LAN 103 Hình 5.7: Phần mềm IPSec Client 104 Hình 5.8: Đường ngầm IPSec LAN-to-LAN 104 Công nghệ IP - VPN Ký hiệu viết tắt Viết tắt Chú giải tiếng Anh Chú giải tiếng Việt 3DES Triple DES Thuật toán mã 3DES AA Acccess Accept Chấp nhận truy nhập AAA Authentication, Authorization and Accounting Nhận thực, trao quyền và thanh toán AC Access Control Điều khiển truy nhập ACK Acknowledge Chấp nhận ACL Acess Control List Danh sách điều khiển truy nhập ADSL Asymmetric Digital Subscriber Line Công nghệ truy nhập đường dây thuê bao số không đối xứng AH Authentication Header Giao thức tiêu đề xác thực ARP Address Resolution Protocol Giao thức phân giải địa chỉ ARPA Advanced Research Project Agency Cục nghiên cứu các dự án tiên tiến của Mỹ ARPANET Advanced Research Project Agency Mạng viễn thông của cục nghiên cứu dự án tiên tiến Mỹ ATM Asynchronous Transfer Mode Phương thức truyền tải không đồng bộ BGP Border Gateway Protocol Giao thức định tuyến cổng miền B-ISDN Broadband-Intergrated Service Digital Network Mạng số tích hợp đa dịch vụ băng rộng BOOTP Boot Protocol Giao thức khởi đầu CA Certificate Authority Thẩm quyền chứng nhận CBC Cipher Block Chaining Chế độ chuỗi khối mật mã CHAP Challenge - Handshake Authentication Protocol Giao thức nhận thực đòi hỏi bắt tay CR Cell Relay Công nghệ chuyển tiếp tế bào CSU Channel Service Unit Đơn vị dịch vụ kênh DCE Data communication Equipment Thiết bị truyền thông dữ liệu DES Data Encryption Standard Thuật toán mã DES DH Diffie-Hellman Giao thức trao đổi khóa Diffie-Hellman DLCI Data Link Connection Identifier Nhận dạng kết nối lớp liên kết dữ liệu DNS Domain Name System Hệ thông tên miền DSL Digital Subscriber Line Công nghệ đường dây thuê bao số DSLAM DSL Access Multiplex Bộ ghép kênh DSL DTE Data Terminal Equipment Thiết bị đầu cuối số liệu EAP Extensible Authentication Giao thức xác thực mở rộng Công nghệ IP - VPN Protocol ECB Electronic Code Book Mode Chế độ sách mã điện tử ESP Encapsulating Sercurity Payload Giao thức đóng gói an toàn tải tin FCS Frame Check Sequence Chuỗi kiểm tra khung FDDI Fiber Distributed Data Interface Giao diện dữ liệu cáp quang phân tán FPST Fast Packet Switched Technology Kỹ thuật chuyển mạch gói nhanh FR Frame Relay Công nghệ chuyển tiếp khung FTP File Transfer Protocol Giao thức truyền file GRE Generic Routing Encapsulation Đóng gói định tuyến chung HMAC Hashed-keyed Message Authenticaiton Code Mã nhận thực bản tin băm IBM International Bussiness Machine Công ty IBM ICMP Internet Control Message Protocol Giao thức bản tin điều khiển Internet ICV Intergrity Check Value Giá trị kiểm tra tính toàn vẹn IETF Internet Engineering Task Force Cơ quan tiêu chuẩn kỹ thuật cho Internet IKE Internet Key Exchange Giao thức trao đổi khóa IKMP Internet Key Management Protocol Giao thức quản lí khóa qua Internet IN Intelligent Network Công nghệ mạng thông minh IP Internet Protocol Giao thức lớp Internet IPSec IP Security Protocol Giao thức an ninh Internet ISAKMP Internet Security Association and Key Management Protocol Giao thức kết hợp an ninh và quản lí khóa qua Internet ISDN Intergrated Service Digital Network Mạng số tích hợp đa dịch vụ ISO International Standard Organization Tổ chức chuẩn quốc tế ISP Internet Service Provider Nhà cung cấp dịch vụ Internet IV Initial Vector Véc tơ khởi tạo L2F Layer 2 Forwarding Giao thức chuyển tiếp lớp 2 L2TP Layer 2 Tunneling Protocol Giao thức đường ngầm lớp 2 LAN Local Area Network Mạng cục bộ LCP Link Control Protocol Giao thức điều khiển đường truyền MAC Message Authentication Code Mã nhận thực bản tin MD5 Message Digest 5 Thuật toán tóm tắt bản tin MD5 [...]... là công nghệ IP-VPN Mục đích của đồ án là tìm hiểu những vấn đề kỹ thuật cơ bản có liên quan đến việc thực hiện IP-VPN Bố cục của đồ án gồm 5 chương: - Chương 1: Bộ giao thức TCP/IP Chương này trình bày khái quát về bộ giao thức của TCP/IP - Chương 2: Công nghệ mạng riêng ảo trên Internet IP-VPN Chương này trình bày các khái niệm VPN, bắt đầu với việc phân tích khái niệm IP-VPN, ưu điểm của nó Công nghệ. .. dữ liệu được đặt ra như là một yêu cầu tất yếu Có rất nhiều giải pháp để đảm bảo an toàn dữ liệu cho Internet, trong đó IP-VPN là một trong những giải pháp hiệu quả Công nghệ IP - VPN Chương 2 CÔNG NGHỆ MẠNG RIÊNG ẢO TRÊN INTERNET IP-VPN 2.1 Gới thiệu về mạng riêng ảo trên Internet IP-VPN 2.1.1 Khái niệm về mạng riêng ảo trên nền tảng Internet Như ta đã biết, các mạng riêng thường được định nghĩa là... Tunnel nền tảng IP-VPN Truyền Tunnel là công nghệ quan trọng duy nhất để xây dựng IP-VPN Truyền Tunnel bao gồm đóng bao (Encapsulation) một số gói số liệu vào các gói khác theo một tập quy tắc được áp dụng cho cả hai đầu cuối của Tunnel Kết quả là nội dung được đóng bao trong Tunnel không thể nhìn thấy đối với mạng công cộng không an ninh nơi các gói được truyền Các vấn đề cụ thể về công nghệ Tunnel được... 2.3 Phân loại mạng riêng ảo theo kiến trúc Ở đây chúng ta sẽ đi phân loại IP-VPN theo kiến trúc của nó Các kiến trúc của IP-VPN có thể phân loại thành hai kiểu chính: Site-to-Site IP-VPN (còn được gọi là LAN-to-LAN hay POP-to-POP) và các IP-VPN truy nhập từ xa Các Site-to-Site bao gồm các phương án như: Extranet IP-VPN và Intranet IP-VPN, các phương án này đều có chung các thuộc tính nhưng được thiết... và xác thực của truyền dữ liệu trên một hạ tầng mạng công cộng Chương 4: An toàn dữ liệu trong IP-VPN Trình bày một số thuật toán được áp dụng để đảm bảo an toàn dữ liệu cho IP-VPN dựa trên IPSec Chương 5: Thực hiện IP – VPN Chương này trình bày các phương pháp thực hiện IP – VPN hiện đang được sử dụng Công nghệ IP - VPN không phải là một vấn đề mới mẻ trên thể giới và cũng đang được triển khai rộng... Vectơ khởi tạo Khóa K Khóa bí mật Khóa công cộng Bít bên trái và bên phải tại vòng thứ i của thuật toán mã hóa DES Văn bản rõ Công nghệ IP - VPN LỜI NÓI ĐẦU Cùng với xu thế toàn cầu hóa, sự mở rộng giao lưu hợp tác quốc tế ngày càng tăng, quan hệ hợp tác kinh doanh không chỉ dừng lại trong phạm vi một huyện, một tỉnh, một nước mà còn mở rộng ra toàn thế giới Một công ty có thể có chi nhánh, có các đối... được nhận thực Trong thế giới IP-VPN, các thực thể vật lí như các máy trạm ở xa, tường lửa và cổng IP-VPN trong các mạng thuộc hãng tham dự vào phiên thông tin thường chịu trách nhiệm (hay ít nhất chỉ trách nhiệm) cho quá trình tham dự đảm bảo trạng thái kết nối IP-VPN Thí dụ các quyết định bao gồm: + Khởi đầu + Cho phép + Tiếp tục + Từ chối + Kết thúc Mục đích chính của IP-VPN là cho phép truy nhập... số IP-VPN có thể được điều hành bởi một server tập trung hay thiết bị điều khiển IP-VPN khác đặt tại trung tâm số liệu của nhà cung cấp dịch vụ, hay có thể cổng IP-VPN quản lí địa phương trong các mạng liên quan đến thông tin IP-VPN Công nghệ IP - VPN Tập các quy tắc và các quy luật quy định các quyền truy nhập đến các tài nguyên mạng được gọi là chính sách điều khiển truy nhập Chính sách truy cập... ninh mức truyền tải PDU PKI POP PPP PPTP PSTN RADIUS RARP Đơn vị dữ liệu giao thức Cơ sở hạn tầng khóa công cộng Điểm hiển diễn Giao thức điểm tới điểm Giao thức đường ngầm điểm tới điểm Mạng chuyển mạch thoại công cộng Dịch vụ nhận thực người dùng quay số từ xa Giao thức phân giải địa chỉ ngược Công nghệ IP - VPN UDP User Data Protocol Giao thức dữ liệu người sử dụng VPN Virtual Private Network Mạng... của tiêu đề gói IP bên ngoài, vì thế đảm bảo nhận thực nguồn gốc số liệu Chẳng hạn, trong IP-VPN có thể sử dụng tiêu đề IPSec AH để bảo vệ các địa chỉ IP của các đầu cuối Tunnel không bị bắt chước Tuy nhiên trong công nghệ số liệu, trong nhiều trường hợp điều này không được coi là quan trọng và thực tế nhiều cổng IP-VPN thậm chí không áp dụng AH Lí do vì nều gói truyền Tunnel của người sử dụng được bảo . trúc 23 2.3.1 IP-VPN truy nhập từ xa 23 2.3.2 Site-to-Site IP-VPN 25 Công nghệ IP - VPN 2.3.2.1 Intranet IP-VPN 25 2.3.2.2 Extranet IP-VPN 26 2.4 Các giao thức đường ngầm trong IP-VPN 27 2.4.1. TCP/IP. - Chương 2: Công nghệ mạng riêng ảo trên Internet IP-VPN. Chương này trình bày các khái niệm VPN, bắt đầu với việc phân tích khái niệm IP-VPN, ưu điểm của nó Công nghệ IP - VPN có thể. hiện IP-VPN 98 Công nghệ IP - VPN 5.2.1 Access VPN 99 5.2.1.1 Kiến trúc khởi tạo từ máy khách 99 5.2.1.2 Kiến trúc khởi tạo từ máy chủ truy nhập NAS 100 5.2.2 Intranet IP-VPN và Extranet IP-VPN