微软×××技术应用 本文对实现ＶＰＮ（Virtual Private Network）技术的几种协议做了简单介绍，对微软ＶＰＮ技术作了基本介绍，比较详细地介绍了ＰＰＴＰ（Point-to-Point Tunneling Protocol）协议、微软ＶＰＮ连接分类及ＰＰＴＰ安全性，同时阐述了ＶＰＮ路由过程。
在Internet上应用ＶＰＮ技术建立本企业内的专用网络互联已变得越来越广泛。××× 具体实现是采用隧道技术,将企业网的数据封装在隧道中进行传输。隧道协议可分为第二层隧道协议：点对点隧道协议PPTP（Point-to-Point Tunneling Protocol）、第二层转发协议L2F(Layer 2 Forwarding)、第二层隧道协议L2TP(Layer 2 Tunneling Protocol)和第三层隧道协议：通用路由封装GRE(Generic Routing Encapsulation)、IPSec(IP Security )。它们的本质区别在于用户的数据包是被封装在哪种数据包中在隧道中传输的。在我们的实际应用中，我们使用了IPSec 和ＰＰＴＰ在Internet来建立ＶＰＮ应用，IPSec通过cisco路由器来实现，ＰＰＴＰ通过Windows NT Server 4.0来实现。本文仅简单介绍使用ＰＰＴＰ来实现ＶＰＮ的技术。 一、 PPTP简介 微软WINDOWS NT SERVER 4.0中的ＶＰＮ技术是通过ＰＰＴＰ协议来实现的，而ＰＰＴＰ是在ＲＡＳ（Remote Access Service）中实现的，在我们实际应用中，我们安装使用的是ＲＡＳ的升级版ＲＲＡＳ（Routing and Remote Access Service），该软件可从微软站点下载。PPTP提供PPTP客户机和PPTP服务器之间的加密通信。PPTP客户机是指运行了该协议的PC机,如启动该协议的Windows95/98;PPTP服务器是指运行该协议的服务器,如启动该协议的WindowsNT服务器。PPTP可看作是PPP协议的一种扩展。它提供了一种在Internet上建立多协议的安全虚拟专用网(×××)的通信方式。通过PPTP,客户可采用拨号方式接入公共IP网络Internet。拨号客户首先按常规方式拨号到ISP的接入服务器(NAS),建立PPP连接;在此基础上,客户进行二次拨号建立到PPTP服务器的连接,该连接称为PPTP隧道,实质上是基于IP协议上的另一个PPP连接,其中的IP包可以封装多种协议数据,包括TCP/IP、IPX和NetBEUI。PPTP采用了基于RSA公司RC4的数据加密方法,保证了虚拟连接通道的安全性。对于直接连到Internet上的客户则不需要第一重PPP的拨号连接,可以直接与PPTP服务器建立虚拟通道。PPTP把建立隧道的主动权交给了用户,但用户需要在其PC机上配置PPTP。另外PPTP只支持IP作为传输协议。图1说明了NT 4.0网络体系结构中隧道数据的封装过程（包含PPP拨号）： 1． 首先，有IP等数据包需通过代表×××连接的虚拟接口（virtual interface）发出。 2． NDIS 将数据包提交给NDISWAN，NDISWAN加密或压缩数据，同时形成PPP报头。 3． NDISWAN将数据提交给PPTP协议驱动程序（driver），由其将PPP帧加上GRE报头。 4． PPTP驱动程序将结果包提交给TCP/IP协议驱动程序。 5． TCP/IP协议驱动程序将PPTP隧道数据加IP报头，并将其交给代表拨号到ISP的接口。 6． NDIS将数据包提交给NDISWAN，NDISWAN提供PPP包头和包尾。 7． NDISWAN将最后的PPP帧提交给代表拨号的硬件设备（如：接上MODEM的异步口）发出。 图1：ＰＰＴＰ包封装过程示意图 二、 ＶＰＮ系统组成及系统结构 微软ＶＰＮ系统主要由ＶＰＮ服务器、ＶＰＮ客户、隧道（Tunnel）、ＶＰＮ连接、传输网络组成。 ＶＰＮ服务器是接受ＶＰＮ客户请求ＶＰＮ连接的主机。ＶＰＮ服务器可提供远程访问ＶＰＮ连接（Remote Access ×××）和路由器到路由器ＶＰＮ连接（Router-to-Router ×××）。ＶＰＮ服务器上需两块网卡，一块连接内部网，一块连接Internet。安装的软件是Windows NT Server 4.0 和ＲＲＡＳ。 ＶＰＮ客户是发起ＶＰＮ连接到ＶＰＮ服务器的机器。ＷＩＮ９５／９８，Windows NT 4.0可以建立远程访问ＶＰＮ连接，Windows NT Server 4.0 +RRAS可以建立路由器到路由器ＶＰＮ连接。 隧道是通信连接的一部分，数据在隧道中被封装。 ＶＰＮ连接是通信连接的一部分，在ＶＰＮ连接中，数据被加密传输。 传输网络一般都采用Internet。当然也可以用其他ＩＰ作传输网络。 下面图２、图３分别为远程访问ＶＰＮ连接和路由器到路由器ＶＰＮ连接两种连接方式的结构示意图。 图２、远程访问ＶＰＮ连接系统结构示意图 图３、路由器到路由器ＶＰＮ连接系统结构示意图 三、 ＶＰＮ连接分类 基于ＰＰＴＰ的ＶＰＮ连接分为两类，远程访问ＶＰＮ连接（Remote Access ×××）和路由器到路由器ＶＰＮ连接（Router-to-Router ×××）。两种类型的连接都是通过用户名和密码来验证身份的。远程访问ＶＰＮ连接模式是单个远端客户机通过ＰＰＴＰ隧道与中心的局域网通信，所以，远程访问ＶＰＮ只是远程单机到网络的连接，远端可以是先拨号连接到Internet,然后再连接到ＰＰＴＰ服务器，当然，直接连接到Internet的远端单机更可以作为远程访问ＶＰＮ客户，该应用模式中，典型的ＰＰＴＰ客户是ＷＩＮ９５／９８，ＷＩＮＤＯＷＳ　ＮＴ　ＷＯＲＫＳＴＡＴＩＯＮ。路由器到路由器ＶＰＮ连接模式是通过ＰＰＴＰ隧道将两个局域网互联，此时，两端都必须安装成ＰＰＴＰ服务器，并且此两ＰＰＴＰ服务器都充当路由器角色，要形成路由器到路由器ＶＰＮ连接，中心端必须专线接入Internet,分支端可以专线也可以拨号接入Internet。远程访问ＶＰＮ连接的服务器端配置比较简单，路由器到路由器ＶＰＮ连接配置步骤（假设分支端为拨号入Internet）如下： 中心端路由器（ＰＰＴＰ服务器）配置： １． 为与分支连接的ＶＰＮ连接创建一ＰＰＴＰ拨号接口(demand dial interface)，该接口的接口名必须与分支端相应ＶＰＮ连接接口的用户名设置中设置的用户名相同。 ２． 添加一条或多条到分支网的路由项，该路由项使用上面所创建的ＰＰＴＰ拨号接口。该路由不能由"route add" 命令添加（该命令添加不了），需由ＲＲＡＳ软件提供的管理程序添加。 分支端路由器（ＰＰＴＰ服务器，拨号接入Internet）配置： １． 创建一连接到ＩＳＰ的普通ＰＰＰ拨号接口(demand dial interface)。 ２． 创建一到中心端的ＶＰＮ连接――ＰＰＴＰ拨号接口(demand dial interface)，在该接口的远程路由器的ＩＰ设置框中填写中心端路由器（ＰＰＴＰ服务器）的互联网ＩＰ地址，用户名设置框中设置的用户名必须与中心端路由器中创建的相应ＰＰＴＰ拨号接口名相同。 ３． 用ＲＲＡＳ软件提供的管理程序添加一条到中心端路由器互联网ＩＰ地址的路由项，该路由项使用上面所创建的到ＩＳＰ的ＰＰＰ拨号接口。 ４． 用ＲＲＡＳ软件提供的管理程序添加一条或多条到中心端网络的路由项，该路由项使用上面所创建的ＰＰＴＰ拨号接口。 路由器到路由器ＶＰＮ连接自动创建过程如下： １． 分支端络上有需要发送到中心网络上的数据包被转发到分支路由器上。 ２． 分支端路由器检查路由表，发现有一条到中心网的路由，该路由使用相应的ＶＰＮ拨号接口。 ３． 分支端路由器检查该ＶＰＮ拨号接口的连接状态，发现其处于断开状态。 ４． 分支端路由器找到该ＶＰＮ拨号接口的配置。 ５． 根据该ＶＰＮ拨号接口的配置，分支端路由器在internet上尝试建立与中心端路由器的ＶＰＮ连接。 ６． 为建立基于ＰＰＴＰ的ＶＰＮ连接，分支端路由器必须发送一ＴＣＰ包到充当ＰＰＴＰ服务器的中心端路由器上，因此，分支端路由器创建ＶＰＮ连接建立包。 ７． 为将该ＶＰＮ连接建立包发送到中心端路由器上，分支端路由器查找其路由表，发现到中心端路由器使用ＰＰＰ拨号接口。 ８． 分支端路由器检查该ＰＰＰ拨号接口的连接状态，发现其处于断开状态。 ９． 分支端路由器找到该ＰＰＰ拨号接口的配置。 １０. 根据该ＰＰＰ拨号接口的配置，分支端路由器建立与ＩＳＰ的连接。 １１. 与ＩＳＰ的连接一建立，ＶＰＮ连接建立包即发送到中心端路由器。 １２. 分支端路由器向中心端路由器发送用户名等身份信息进行身份验证，协商建立ＶＰＮ连接。 １３. 中心端路由器检查其所设置的ＶＰＮ拨号接口，发现与分支端路由器发送的用户名相同的接口，则将该ＶＰＮ连接置为已连接状态。 １４. 分支端路由器通过已建立的ＶＰＮ隧道转发数据包到中心端路由器，中心端路由器再将数据包转发给相应网络上的主机。 １５. 中心端主机将应答包转发到中心端路由器上。 １６. 中心端路由器检查其路由表，发现到分支网的路由项是通过ＰＰＴＰ拨号接口。 １７. 中心端路由器检查该ＰＰＴＰ拨号接口的状态，发现其为已连接状态。 １８. 该应答包通过该ＶＰＮ连接转发到分支端路由器。 １９. 分支端路由器将该应答包转发到源数据包的发送者。 四、 ＶＰＮ路由 要理解好ＶＰＮ的工作过程，必须先清楚地掌握ＩＰ路由的概念。在我们的ＶＰＮ实际应用中，由于牵涉到Internet上的公用地址和本单位的私用地址，因此，路由的设置比较复杂，设置时要非常小心。 对于远程访问ＶＰＮ连接，ＷＩＮ９５／９８客户先是拨号到ＩＳＰ，拨通后，在拨号到ＰＰＴＰ服务器，建立ＰＰＴＰ　ＶＰＮ　连接。ＷＩＮ９５／９８客户拨号到ＩＳＰ，拨通后，ＷＩＮ９５／９８从ＩＳＰ的ＮＡＳ处获得一Internet地址，同时拨号网络添加一条出口为ＩＳＰ的缺省路由，并修改原来存在的缺省路由（如果原来已有缺省路由的话），将其“Metric"值该为更大值，使得本机此时只使用ＩＳＰ为缺省网关，这样就可访问Internet（断开该连接后，则会删除其添加的缺省路由，并恢复其修改过的缺省路由）。此后，ＷＩＮ９５／９８客户可与ＰＰＴＰ服务器建立ＶＰＮ连接，一旦ＶＰＮ连接建立，ＷＩＮ９５／９８客户同样从ＰＰＴＰ服务器上获得一内部ＩＰ地址，此时，拨号网络要添加两条路由，一条为到ＰＰＴＰ服务器的Internet公用ＩＰ地址的路由，另一条为出口为ＰＰＴＰ服务器的缺省路由，并修改此前的缺省路由（包括拨号到ＩＳＰ时添加的缺省路由），将其”Metric"改为更大值。所以，在ＶＰＮ连接建立前，ＷＩＮ９５／９８客户可访问Internet，但不能访问内部网，而ＶＰＮ连接建立后，ＷＩＮ９５／９８客户又只能通过ＶＰＮ访问内部网和ＰＰＴＰ服务器的Internet IP地址，而不能访问Internet上的其他所有主机，二者不可兼得。如想要同时能访问，必须先手工删除指向ＶＰＮ服务器的缺省路由（或在ＶＰＮ的拨号连接配置中设置不要使用远程网的缺省网关，则拨号后不会产生新的缺省网关），保留指向ＩＳＰ的缺省路由，并手工添加到内部网的静态路由。 对于路由器到路由器ＶＰＮ连接，无论是建立永久连接还是有数据通信时才自动建立连接，ＲＲＡＳ都不会添加缺省路由，需要手工用ＲＲＡＳ提供的管理程序在两端路由器上分别添加到对方网络的静态路由。 五、 ＶＰＮ安全性 通过不安全的Internet来访问内部网，需要提供安全保障。微软ＶＰＮ提供认证、加密、授权等多种安全机制，可以比较有效地保证网络的安全可靠。微软ＶＰＮ主要提供用户级的身份认证，即通过用户名和密码来提供认证，认证协议采用ＭＳ－ＣＨＡＰ（Microsoft Handshake Authentication Protocol）。数据包的加密采用ＭＰＰＥ（Microsoft Point-to-Point Encrypytion）协议, ＭＰＰＥ使用基于RSA公司RC4的数据加密算法。此外还可以设置ＰＰＴＰ包过滤功能。 六、 结束语 本文介绍的是微软在Windows NT Server 4.0 中实现的基于ＰＰＴＰ的ＶＰＮ技术应用，该方法无论是在性能还是在安全性方面都不是很好，需要更高性能和安全性的话需要采用IPSec协议，实际应用中，我们采用cisco路由器来实现IPSec。微软在Windows 2000中已开始支持IPSec协议。