PPTP、L2TP、IPSec和SSLVPN的區(qū)別

tcwl123 2012-07-11

展開全文

　VPN （虛擬專用網(wǎng)）成長至今已經(jīng)不在是一個單純的經(jīng)歷加密的訪問隧道了，它已經(jīng)融合了訪問控制、傳輸維護、加密、路由挑選、可用性維護等多種功能，并在全球的信息安全體系中發(fā)揮著主要的作用。也在網(wǎng)絡(luò)上，有關(guān) 各種VPN協(xié)議優(yōu)缺點的比較是仁者見仁，智者見智，許多技能人員由于出于運用目標思慮，包含訪問控制、安全和用戶基本易用，靈活擴展等各方面，權(quán)衡利弊，難以取舍；尤其在VOIP語音環(huán)境中，網(wǎng)絡(luò)安全顯得尤為主要，因此現(xiàn)在越來越多的網(wǎng)絡(luò)電話和語音網(wǎng)關(guān)支持VPN協(xié)議。

　　PPTP

　　點對點隧道協(xié)議 (PPTP) 是由包含微軟和3Com等公司組成的PPTP論壇開發(fā)的一種點對點隧道協(xié)，基于撥號運用的PPP協(xié)議運用 PAP或CHAP之類的加密算法，或者運用 Microsoft的點對點加密算法MPPE。其議決跨越基于 TCP/IP 的數(shù)據(jù)網(wǎng)絡(luò)建立 VPN 實現(xiàn)了從遠程客戶端到專用企業(yè)服務(wù)器之間數(shù)據(jù)的安全傳輸。PPTP 支持議決公共網(wǎng)絡(luò)（比方 Internet）建立按需的、多協(xié)議的、虛擬專用網(wǎng)絡(luò)。PPTP 準許加密 IP 通訊，然后在要跨越公司 IP 網(wǎng)絡(luò)或公共 IP 網(wǎng)絡(luò)（如 Internet）發(fā)送的 IP 頭中對其實行封裝。

　　L2TP第 2 層隧道協(xié)議 (L2TP) 是IETF基于L2F （Cisco的第二層轉(zhuǎn)發(fā)協(xié)議）開發(fā)的PPTP的后續(xù)版本。是一種工業(yè)規(guī)則 Internet 隧道協(xié)議，其能夠為跨越面向數(shù)據(jù)包的媒體發(fā)送點到點協(xié)議 (PPP) 框架提供封裝。PPTP和L2TP都運用 PPP協(xié)議對數(shù)據(jù)實行封裝，然后添加附加包頭用于數(shù)據(jù)在互聯(lián)網(wǎng)絡(luò)上的傳輸。PPTP只好在兩端點間建立單一隧道。 L2TP支持在兩端點間運用多隧道，用戶能夠針對不一樣的服務(wù)質(zhì)量建立不一樣的隧道。L2TP能夠提供隧道驗證，而PPTP則不支持隧道驗證。但是當L2TP 或PPTP與IPSEC共同運用時，能夠由IPSEC提供隧道驗證，不須要在第2層協(xié)議上驗證隧道運用 L2TP。 PPTP要求互聯(lián)網(wǎng)絡(luò)為IP網(wǎng)絡(luò)。L2TP只要求隧道媒介提供面向數(shù)據(jù)包的點對點的連接，L2TP能夠在IP（運用 UDP），楨中繼長久虛擬電路（PVCs),X.25虛擬電路（VCs）或ATM VCs網(wǎng)絡(luò)上運用。

　　IPSec 隧道模式隧道是封裝、路由與解封裝的整個流程。隧道將原始數(shù)據(jù)包潛藏（或封裝）在新的數(shù)據(jù)包內(nèi)部。該新的數(shù)據(jù)包可能會有新的尋址與路由信息，從而使其能夠通過網(wǎng)絡(luò)傳輸。隧道與數(shù)據(jù)保密性結(jié)合運用時，在網(wǎng)絡(luò)上竊聽通訊的人將無法獲取原始數(shù)據(jù)包數(shù)據(jù)（以及原始的源和目標）。封裝的數(shù)據(jù)包到達目標地后，會刪除封裝，原始數(shù)據(jù)包頭用于將數(shù)據(jù)包路由到最后目標地。

　　隧道本身是封裝數(shù)據(jù)經(jīng)歷的邏輯數(shù)據(jù)路徑，對原始的源和目標端，隧道是不可見的，而只好看到網(wǎng)絡(luò)路徑中的點對點連接。連接雙方并不關(guān)心隧道起點和終點之間的任何路由器、交換機、代理服務(wù)器或其他安全網(wǎng)關(guān)。將隧道和數(shù)據(jù)保密性結(jié)合運用時，可用于提供VPN。

　　封裝的數(shù)據(jù)包在網(wǎng)絡(luò)中的隧道內(nèi)部傳輸。在此示例中，該網(wǎng)絡(luò)是 Internet。網(wǎng)關(guān)能夠是外部 Internet 與專用網(wǎng)絡(luò)間的周界網(wǎng)關(guān)。周界網(wǎng)關(guān)能夠是路由器、防火墻、代理服務(wù)器或其他安全網(wǎng)關(guān)。另外，在專用網(wǎng)絡(luò)內(nèi)部可運用兩個網(wǎng)關(guān)來保衛(wèi) 網(wǎng)絡(luò)中不信任的通訊。