SSL是什么
SSL(Secure Sockets Layer 安全套接层),及其继任者传输层安全(Transport Layer Security，TLS)是为网络通信提供安全及数据完整性的一种安全协议。如今被广泛使用，如网页，电子邮件，互联网传真，即时消息和语音在IP电话（VoIP）。其中网站是通过使用TLS来保护WEB浏览器与服务器之间的通信安全。
SSL介于应用层和TCP层之间。应用层数据不再直接传递给传输层，而是传递给SSL层，SSL层对从应用层收到的数据进行加密，并增加自己的SSL头。
SSL协议的三个特性
① 保密：在握手协议中定义了会话密钥后，所有的消息都被加密；
② 鉴别：可选的客户端认证，和强制的服务器端认证；
③ 完整性：传送的消息包括消息完整性检查（使用MAC）。
SSL 的工作原理
- 握手协议（Handshake protocol）
- 记录协议（Record protocol）
- 警报协议（Alert protocol）
1.握手协议
握手过程
可以人为的将握手协议分为四个阶段
握手协议的第一个阶段
握手协议的第二个阶段（）
握手协议的第三个阶段
握手协议的第四个阶段
会话恢复
2.记录协议
记录协议在客户机和服务器握手成功后使用，即客户机和服务器鉴别对方和确定安全信息交换使用的算法后，进入SSL记录协议，记录协议向SSL连接提供两个服务：
（1）保密性：使用握手协议定义的秘密密钥实现
（2）完整性：握手协议定义了MAC，用于保证消息完整性
- 内容类型
- 协议版本号
- 数据长度
- 数据的有效载荷
- 散列算法的认证代码
记录协议的过程
3.警报协议
客户机和服务器发现错误时，向对方发送一个警报消息。如果是致命错误，则算法立即关闭SSL连接，双方还会先删除相关的会话号，秘密和密钥。每个警报消息共2个字节，第1个字节表示错误类型，如果是警报，则值为1，如果是致命错误，则值为2；第2个字节制定实际错误类型。
以下是一些警告信息：
(1)unexpected_message：接收了不合适的报文。
(2)bad_record_mac：收到了不正确的MAC。
(3)decompression_failure：解压缩函数收到不适当的输入。
(4)illegal_parameter：握手报文中的一个字段超出范围或与其他字段不兼容。
(5)certificate_revoked：证书已经被废弃。
(6)bad_certificate：收到的证书是错误的。
(7)certificate_expired：证书已经过期。
(8)handshake_failer：握手过程失败。
SSL协议的应用---SSL VPN
1.SSL VPN的优势
2.SSL VPN的实现 （★★★★★）
虚拟网关
- web-link：使用activeX控件方式，对页面进行请求
- web改写：将所请求页面上链接进行改写，其他内容不变。
- 内网web资源只有私网地址，在做NAT的情况下，公网用户可以实现对其访问，但是web资源没有
- 使用安全传输协议，SSL VPN可以实现对其https安全访问。
- 协议转换技术：无需客户端，直接通过浏览器安全访问转换为内网文件共享的相应协议格式。使用activeX控件。
- SMB windows
- NFS linux
端口转发
实现原理：安装activeX控件，本质是NAT过程
- 提供内网TCP资源的访问，C/S资源
- 提供丰富的静态端口的TCP应用
- 单端口单服务：telent、SSH、MS RDP VNC
- 单端口多服务：notes
- 多端口多服务：outlook
- 动态端口TCP应用
- 动态端口：FTP
- 提供端口级访问控制
特点
网络扩展
实现过程
访问模式
- 全路由模式：三种流量都走隧道，意味本地不能访问互联网，也可以通过隧道访问，也能补访问本地局域网
- 分离模式：对方内网流量走隧道，本地局域网流量走物理网卡，互联网流量不能走。意味着，能访问对方内网，能访问本地局域网，不能访问互联网。
- 手动模式：对方内网流量走隧道，本地局域网络流量和互联网流量走物理网卡。意味着，都能访问，并且互联网走本地。
3.SSL VPN要求的终端安全
- 杀毒软件检查
- 防火墙设置检查
- 注册表检查
- 端口检查
- 进程检查
- internet临时文件
- 浏览器自动保存密码
- cookie记录
- 浏览器访问历史记录
- 收回站和最近打开的文件
- 指定文件或者文件夹
- vpndb认证授权
- 第三方服务认证授权
- 数字证书的认证
- 短信辅助认证
