密码学应用
- 数字信封：结合对称和非对称加密，从而保证数据传输的机密性。
- 数字签名：采用散列算法，从而保证数据传输的完整性。
- 数字证书：通过第三方机构（CA）对公钥进行公证，从而保证数据传输的不可否认性。
VPN分类
按业务用途类型划分
- 远程访问虚拟网（Access VPN）
- 企业内部虚拟网（Intranet VPN）
- 企业扩展虚拟网（Extranet VPN）
按实现层次划分
- SSL VPN
- 三层VPN（L3VPN）
- 二层VPN（L2VPN）
按VPN应用场景划分 - Site-to-Site VPN
用于两个局域网之间建立连接。 可采用的VPN技术：IPSec、L2TP、L2TP over
IPSec、GRE over IPSec、IPSec over GRE。 - Client-to-Site VPN
用于客户端与企业内网之间建立连接。 可采用的VPN技术：SSL、IPSec、L2TP、L2TPover IPSec。
L2TP VPN
L2TP (Layer Two Tunneling Protocol) 二层隧道协议
为在用户和企业的服务器之间透明传输PPP报文而设置的隧道协议。提供了对PPP 链路层数据包的通道（Tunnel）传输支持。
L2TP VPN主要有三种使用场景
- NAS-Initiated VPN
- LAC自动拨号
- Client-Initiated VPN
Client-Initiated VPN方式
一般用于出差员工使用PC、手机等移动设备接入总部服务器，实现移动办公的场景，也是最为常用L2TP拨号方式。
LNS：L2TP网络服务器
解封装后加以太网头部：将数据包封装成数据帧传输
Client-Initiated VPN隧道和会话建立过程
PPP协商参数：
- LCP
- 认证
- NCP
GRE VPN
通用路由封装
GRE可以对某些网络层协议（如IPX、Apple Talk、IP等）的报文进行封装。（封装兼容性强）
解决了跨越异种网络的报文传输问题。
GRE报文处理过程
GRE安全策略
IPSec VPN
IPSec（IP Security）协议族是IETF制定的一系列安全协议。
对于L2TP VPN和GRE VPN，数据都是明文传输的，用户或企业的安全性得不到保证。
若在网络中部署IPSec，便可对传输的数据进行保护处理，降低信息泄漏的风险。
IPSec VPN是利用IPSec隧道建立的网络层VPN。
IPSec协议体系
IPSec通过验证头AH（Authentication Header）和封装安全载荷ESP（Encapsulating Security Payload）两个安全协议实现IP报文的安全保护。
IKE：因特网密钥交换
IPSec安全联盟
IPSec安全传输数据的前提是在IPSec对等体（即运行IPSec协议的两个端点）之间成功建立安全联盟SA（Security Association）。
SA是通信的IPSec对等体间对某些要素的约定，例如：对等体间使用何种安全协议、需要保护的数据流特征、对等体间传输的数据的封装模式、协议采用的加密算法、验证算法，对等体间使用何种密钥交换和IKE协议，以及SA的生存周期等。
SA由一个三元组来唯一标识，这个三元组包括
- 安全参数索引SPI（Security Parameter Index）
- 目的IP地址
- 使用的安全协议号（AH或ESP）
封装模式-传输模式
在传输模式中，AH头或ESP头被插入到IP头与传输层协议头之间，保护TCP/UDP/ICMP负载。
输模式不改变报文头，故隧道的源和目的地址必须与IP报文头中的源和目的地址一致，所以只适合两台主机或一台主机和一台VPN网关之间通信。
封装模式-隧道模式
在隧道模式下，AH头或ESP头被插到原始IP头之前，另外生成一个新的报文头放到AH头或ESP头之前，保护IP头和负载。
新增IP头为公网IP
隧道模式主要应用于两台VPN网关之间或一台主机与一台VPN网关之间的通信。
传输模式和隧道模式的区别在于：
从安全性来讲，隧道模式优于传输模式。它可以完全地对原始IP数据报进行验证和加密。隧道模式下可以隐藏内部IP地址，协议类型和端口。
从性能来讲，隧道模式因为有一个额外的IP头，所以它将比传输模式占用更多带宽。
IKE SA
IKE SA是为IPSec SA服务的，为IPSec提供了自动协商密钥、建立IPSec安全联盟的服务。
对等体之间建立一个IKE SA完成身份验证和密钥信息交换后，在IKE SA的保护下，根据配置的AH/ESP安全协议等参数协商出一对IPSec SA。此后，对等体间的数据将在IPSec隧道中加密传输。
IKE SA是建立IPSec SA的前提。
IPSec加解密及验证过程
IPSec采用对称加密算法对数据进行加密和解密。
ICV：Integrity Check Value（完整性校验值）
HMAC功能通过比较数字签名进行数据包完整性和真实性验证。
SSL VPN
SSL是一个安全协议，为基于TCP的应用层协议提供安全连接
IPSec可以通过加密实现数据的安全传输，但是IPSec的加密和验证功能在一些特殊场景下是存在问题的，比如说NAT穿越场景。
而SSL VPN因其特有的属性，加密只对应用层生效，且不需要用户安全VPN客户端，因而适用范围更广、也更便捷。
SSL VPN 主要功能
- 用户认证
- web代理
- 文件共享
- 端口转发
- 网络扩展
总结
L2TP VPN
GRE VPN
IPSec VPN
SSL VPN
HCIA-SEC更新结束
下一阶段开始HCIP-SEC…