Mục đích: Đảm bảo trao đổi thông tin an
toàn giữa các mạng nội bộ cũng như
những máy tính riêng lẻ qua mạng công
cộng.
Mục đích chính: Cung cấp tính an toàn,
tính hiệu quả trong mạng trong khi vẫn
đảm bảo cân bằng giá thành cho toàn bộ
quá trình xây dựng mạng.
9/5/2012 3
Mã hoá bảo mật dữ liệu (Encryption): Là
quá trình xử lý dữ liệu theo một thuât
toán mật mã nao đo và dữ liệu chỉ có thể
đọc được bởi người dùng hợp lệ.
Xác thực (Authentication): Là quá trình
xác thực sự hợp lệ của người dùng (hoặc
thiết bị).
Cấp quyền (Authorization): Là quá trình
xử lý cấp quyền truy cập hoặc ngăn cấm
vào tài nguyên trên mạng sau khi đã thực
hiện xác thực.
9/5/2012 4
VPNs đầu tiên đã được đưa ra bởi AT&T từ
cuối những năm 80 và được biết như
Software Defined Networks (SDNs).
Thế hệ thứ hai của VPNs ra đời từ sự xuất
hiện của mạng dịch vụ tích hợp kỹ thuật số
(Integrated Services Digital Network - ISDN)
từ đầu những năm 90.
9/5/2012 5
9/5/2012 6
Sau khi thế hệ thứ hai của VPNs ra đời, thị trường VPNs tạm thời lắng động và chậm tiến triển, cho tới khi có sự nổi lên của hai công nghệ Frame Relay (FR) và Asynchronous Tranfer Mode (ATM). Thế hệ thứ ba của VPNs đã phát triển dựa theo 2 công nghệ này.
Hai công nghệ này phát triển dựa trên khái niệm về Virtual Circuit Switching, theo đó, các gói dữ liệu sẽ không chứa địa chỉ nguồn và đích. Thay vào đó, chúng sẽ mang những con trỏ, trỏ đến các virtual circuit nơi mà dữ liệu nguồn và đích sẽ được truyền.
Công nghệ Virtual Circuit switching có tốc độ truyền dữ liệu cao (160 Mbs hoặc cao hơn) hơn so với thế hệ trước - X.25, ISDN.
Tuy nhiên việc đóng gói IP lưu thông bên trong gói Frame Relay và ATM cells chậm.
Ngoài ra, mạng FR-based và ATM-based cũng không cung cấp phương pháp xác nhận packet-level end-to-end và mã hóa cho những ứng dụng high-end chẳng hạn như multimedia.
9/5/2012 7
IP Security (IPSec): Ðược phát triển bởi IETF, IPSec là một chuẩn mở đảm bảo quá trình trao đổi dữ liệu được an toàn và phương thức xác nhận người dùng qua mạng công cộng.
Không giống với những kỹ thuật mã hoá khác, IPSec thực hiện ở tầng thứ 3 trong mô hình OSI. Vì thế, chúng có thể chạy độc lập so với các ứng dụng chạy trên mạng.
9/5/2012 8
Point-to-point Tunneling Protocol
(PPTP): Phát triển bởi Microsoft, 3COM,
và Ascend Communications, PPTP là một
sự chọn lựa để thay thế cho IPSec. Tuy
nhiên IPSec vẫn còn được sử dụng nhiều
trong một số Tunneling Protocol.
PPTP thực hiện ở tầng thứ 2 (Data Link
Layer).
9/5/2012 9
9/5/2012 10
Layer 2 Tunneling Protocol (L2TP): Ðược phát
triển bởi Cisco System. L2TP là sự kết hợp giữa
Layer 2 Forwarding (L2F) và PPTP và được dùng
để đóng gói các frame sử dụng giao thức Point-
to-point để gửi qua các mạng như X.25, FR,
ATM.
Giảm thiểu chi phí triển khai.
Giảm chi phí quản lý.
Cải thiện kết nối.
An toàn trong giao dịch.
Hiệu quả về băng thông.
Khả năng mở rộng.
9/5/2012 11
VPNs nhằm hướng vào 3 yêu cầu cơ bản
sau:
Có thể truy cập từ xa bất cứ lúc nào, giữa các
nhân viên của một tổ chức tới các tài nguyên
mạng.
Nối kết thông tin liên lạc giữa các chi nhánh văn
phòng từ xa.
Truy nhập tài nguyên mạng khi cần của khách
hàng, nhà cung cấp và những đối tượng quan
trọng của công ty nhằm hợp tác kinh doanh.
9/5/2012 13
Remote Access VPNs: Cho phép truy cập bất
cứ lúc nào bằng thiết bị truyền thông của
nhân viên các chi nhánh kết nối đến tài
nguyên mạng của tổ chức.
9/5/2012 15
Remote Access Server (RAS): được đặt tại
trung tâm có nhiệm vụ xác nhận và chứng
nhận các yêu cầu gửi tới.
Quay số kết nối đến trung tâm, điều này sẽ
làm tăng chi phí cho một số yêu cầu ở khá xa
so với trung tâm.
9/5/2012 16
Bằng việc triển khai Remote Access VPNs,
những người dùng từ xa hoặc các chi nhánh
văn phòng chỉ cần cài đặt một kết nối cục bộ
đến nhà cung cấp dịch vụ ISP hoặc ISP’s POP
và kết nối đến tài nguyên thông qua Internet.
9/5/2012 18
Sự cần thiết của RAS và việc kết hợp với modem được loại trừ.
Sự cần thiết hô trợ cho người dùng cá nhân được loại trừ bởi vì kết nối từ xa đã được tạo điều kiện thuận lợi bởi ISP
Việc quay số từ những khoảng cách xa được loại trừ, thay vào đó, những kết nối với khoảng cách xa sẽ được thay thế bởi các kết nối cục bộ. Giảm giá thành chi phí cho các kết nối với khoảng cách xa.
9/5/2012 20
Do đây là một kết nối mang tính cục bộ, do
vậy tốc độ nối kết sẽ cao hơn so với kết
nối trực tiếp đến những khoảng cách xa.
VPNs cung cấp khả năng truy cập đến trung
tâm tốt hơn bởi vì nó hỗ trợ dịch vụ truy
cập ở mức độ tối thiểu nhất cho dù có sự
tăng nhanh chóng các kết nối đồng thời
đến mạng.
9/5/2012 21
Khó bảo đảm được chất lượng phục vụ. Khả năng mất dữ liệu là rất cao, thêm
nữa là các phân đoạn của gói dữ liệu có thể bị thất thoát.
Do độ phức tạp của thuật toán mã hoá, protocol overhead tăng đáng kể, điều này gây khó khăn cho quá trình xác nhận. Thêm vào đó, việc nén dữ liệu IP và PPP-based diễn ra chậm chạp.
Do phải truyền dữ liệu thông qua Internet, nên khi trao đổi các dữ liệu lớn như các gói dữ liệu truyền thông, phim ảnh, âm thanh sẽ rất chậm.
9/5/2012 22
9/5/2012 24
Intranet VPNs được sử dụng để kết nối các
chi nhánh văn phòng của tổ chức đến
Corporate Intranet (backbone router) sử
dụng campus router.
Theo mô hình trên sẽ rất tốn chi phí do
phải sử dụng 2 router để thiết lập được
mạng, thêm vào đó, việc triển khai, bảo trì
và quản lý mạng Intranet Backbone sẽ rất
tốn kém còn tùy thuộc vào lượng lưu thông
trên mạng đi trên nó và phạm vi địa lý của
toàn bộ mạng Intranet.
Hiệu quả chi phí hơn do giảm số lượng
router được sử dụng theo mô hình WAN
backbone
Giảm thiểu đáng kể số lượng hỗ trợ yêu
cầu người dùng cá nhân qua toàn mạng.
9/5/2012 26
Bởi vì Internet hoạt động như một kết nối
trung gian, nó dễ dàng cung cấp những
kết nối mới ngang hàng.
Kết nối nhanh hơn và tốt hơn do về bản
chất kết nối đến nhà cung cấp dịch vụ,
loại bỏ vấn đề về khoảng cách xa và thêm
nữa giúp tổ chức giảm thiểu chi phí cho
việc thực hiện Intranet.
9/5/2012 27
Bởi vì dữ liệu vẫn còn tunnel trong suốt quá
trình chia sẻ trên mạng công cộng và những nguy
cơ tấn công, như tấn công bằng từ chối dịch vụ
(denial-of-service), vẫn còn là một mối đe dọa
an toàn thông tin.
Khả năng mất dữ liệu trong lúc di chuyển thông
tin cũng vẫn rất cao.
9/5/2012 28
Trong một số trường hợp, nhất là khi dữ
liệu là loại high-end, như các tập tin
mulltimedia, việc trao đổi dữ liệu sẽ rất
chậm chạp do được truyền thông qua
Internet.
Do là kết nối dựa trên Internet, nên tính
hiệu quả không liên tục, thường xuyên, và
QoS cũng không được đảm bảo.
9/5/2012 29
Không giống như Intranet và Remote Access-
based, Extranet không hoàn toàn cách li từ
bên ngoài (outer-world), Extranet cho phép
truy cập những tài nguyên mạng cần thiết
của các đối tác kinh doanh, chẳng hạn như
khách hàng, nhà cung cấp, đối tác những
người giữ vai trò quan trọng trong tổ chức.
9/5/2012 30
9/5/2012 32
Mạng Extranet rất tốn kém do có nhiều
đoạn mạng riêng biệt trên Intranet kết
hợp lại với nhau để tạo ra một Extranet.
Ðiều này làm cho khó triển khai và quản lý
do có nhiều mạng, đồng thời cũng khó
khăn cho cá nhân làm công việc bảo trì và
quản trị.
Mạng Extranet sẽ dễ mở rộng do điều này
sẽ làm rối mạng Intranet và có thể ảnh
hưởng đến các kết nối bên ngoài mạng. Sẽ
có những vấn đề gặp phải bất thình lình
khi kết nối một Intranet vào một mạng
Extranet.
Triển khai và thiết kế một mạng Extranet
có thể là một cơn ác mộng của các nhà
thiết kế và quản trị mạng.
9/5/2012 33
Do hoạt động trên môi trường Internet, có
thể lựa chọn nhà phân phối khi lựa chọn
và đưa ra phương pháp giải quyết tuỳ theo
nhu cầu của tổ chức.
Bởi vì một phần Internet-connectivity
được bảo trì bởi nhà cung cấp (ISP) nên
cũng giảm chi phí bảo trì khi thuê nhân
viên bảo trì.
Dễ dàng triển khai, quản lý và chỉnh sửa
thông tin.
9/5/2012 35
Sự đe dọa về tính an toàn, như bị tấn công
bằng từ chối dịch vụ vẫn còn tồn tại.
Tăng thêm nguy hiểm sự xâm nhập đối với
tổ chức trên Extranet.
Do dựa trên Internet nên khi dữ liệu là các
loại high-end data thì việc trao đổi diễn ra
chậm chạp.
Do dựa trên Internet, QoS cũng không
được bảo đảm thường xuyên.
9/5/2012 36
Internet được xem là một môi trường không
an toàn, dữ liệu truyền qua dễ bị sự truy cập
bất hợp pháp và nguy hiểm.
Sự ra đời của VPN, dựa trên giao thức
Tunneling đã làm giảm một lượng đáng kể số
lượng rủi ro không an toàn. Vì thế, làm thế
nào để bảo đảm dữ liệu được an toàn qua
VPN?
9/5/2012 37
Các mối tấn công từ bên ngoài cũng có mức
độ nguy hiểm tương đương với bị tấn công
từ bên trong, một số tài nguyên và dịch vụ
mạng có thể bị làm cho không sử dụng được
trong một thời gian dài.
Trong trường hợp này, toàn bộ tài nguyên
mạng sẽ không thể được truy cập bởi người
dùng.
9/5/2012 38
Khi trao đổi dữ liệu trên mạng, dữ liệu có
thể bị ngăn chặn bởi những hành động
không được phép. Kết quả là những thông
tin có thể bị mất.
Trong trường hợp này, dữ liệu của tổ
chức đã bị chặn lại.
9/5/2012 39
Thông tin bị chặn có thể bị sửa đổi và người
nhận thông tin có thể sẽ nhận được những
thông tin sai lệch hoặc bị xáo trộn.
Điều này khiến cho tổ chức có thể phải mất
tiền, hoặc những dữ liệu quan trọng.
9/5/2012 40
Theo kiểu này, những người dùng không
hợp pháp cũng được xem như những
người dùng hợp pháp.
Sau khi truy cập vào hệ thống mạng,
những cá nhân này sẽ phổ biến những
thông tin giả mạo và có hại đến những
người dùng khác trong mạng.
9/5/2012 41
Nghe trộm và xem lén dữ liệu.
Chỉnh sửa và đánh cắp lén dữ liệu.
Giả mạo thông tin.
Chống chối từ.
9/5/2012 46
Để có thể thiết lập hoàn chỉnh một tunnel giữa hai
nút thông tin đầu cuối, tunneling đưa ra 4 thành
phần yêu cầu sau :
Mạng đích (Target network). Là mạng trong đó chứa
các dữ liệu tài nguyên mà người dùng từ xa cần truy
cập để sử dụng, là những người khởi tạo ra phiên
yêu cầu VPN.
Nút khởi tạo (Initiator node). Người dùng khách
hoặc máy chủ khởi tạo phiên VPN. Nút khởi tạo có
thể là một phần của mạng cục bộ hoặc có thể là
người dùng.
9/5/2012 48
9/5/2012 49
HA (Home Agent). Chương trình thường trú tại
các nút mạng (router) trong mạng đích. HA nhận
và xác nhận những yêu cầu gửi đến để xác thực
chúng từ những host đã được ủy quyền. Khi xác
nhận thành công nút khởi tạo, HA cho phép thiết
lập tunnel.
FA (Foreign Agent). Chương trình thường trú tại
các nút khởi tạo hoặc ở nút truy cập (router) của
mạng khởi tạo. Các nút khởi tạo dùng FA để yêu
cầu một phiên VPN từ HA ở mạng đích.
Giai đoạn I. Nút khởi tạo (hoặc người
dùng từ xa) yêu cầu một phiên làm việc
VPN và được xác nhận bởi HA tương ứng.
Giai đoạn II. Dữ liệu thực sự được
chuyển qua mạng thông qua tunnel.
9/5/2012 51
Một kết nối yêu cầu được khởi tạo và những tham số phiên được đàm phán. Nếu yêu cầu được chấp nhận và tham số phiên được đàm phán thành công, một tunnel được thiết lập giữa hai nút thông tin đầu cuối.
1.Nút khởi tạo gửi yêu cầu kết nối đến vị trí FA trong mạng.
2.FA xác nhận yêu cầu bằng cách thông qua tên truy cập và mật khẩu được cung cấp bởi người dùng.
9/5/2012 52
3.Nếu tên truy cập và mật khẩu cung cấp bởi
người dùng không hợp lệ, yêu cầu phiên làm
việc VPN bị từ chối. Ngược lại, nếu quá trình xác
nhận sự thống nhất của FA thành công, nó sẽ
chuyển yêu cầu đến mạng đích HA.
4.Nếu yêu cầu được HA chấp nhận, FA gửi login ID
đã được mã hóa và mật khẩu tương ứng đến nó.
9/5/2012 53
5.HA kiểm chứng thông tin đã được cung cấp.
Nếu quá trình kiểm chứng thành công, HA
gửi những Register Reply, phụ thuộc vào một
số tunnel đến FA.
6.Một tunnel được thiết lập khi FA nhận
Register Reply và số tunnel.
9/5/2012 54
1.Nút khởi tạo bắt đầu chuyển các gói dữ
liệu đến FA.
2.FA tạo tunnel header và chèn nó vào từng
gói dữ liệu. Thông tin header của giao thức
định tuyến (được đàm phán trong giai đoạn
I) sau đó được gắn vào gói dữ liệu.
3.FA chuyển các gói dữ liệu đã mã hóa đến
HA bằng cách sử dụng tunnel number đã
được cung cấp.
9/5/2012 55
4.Trong quá trình nhận thông tin mã hóa,
HA gỏ bỏ tunnel header và header của
giao thức định tuyến, đưa gói dữ liệu trở
về dạng nguyên bản của nó.
5.Dữ liệu nguyên gốc sau đó được chuyển
hướng đến nút mong muốn cần đến trong
mạng.
9/5/2012 56
Trước khi gói dữ liệu nguyên gốc được phân phát
đến mạng đích thông qua tunnel, nó đã được mã
hóa bởi FA. Gói dữ liệu mã hóa này được đề cập
như một tunneled packet. Định dạng của một
tunneled packet được mô tả theo hình bên dưới.
9/5/2012 57
9/5/2012 58
Header of the routable protocol. Phần đầu
chứa địa chỉ nguồn (FA) và đích (HA).
Bởi vì quá trình giao dịch thông qua Internet
là dựa trên cơ sở IP, phần đầu này là phần IP
header chuẩn phổ biến và chứa địa chỉ IP
của FA, HA tham gia trong qua trình giao
dịch.
Tunnel packet header. Phần đầu này
chứa 5 phần sau:
o Protocol type. Trường này chỉ ra loại giao
thức của gói dữ liệu nguyên gốc (hoặc
pay-load).
o Kiểm tra tổng (Checksum). Phần này
chứa thông tin kiểm tra tổng quát liệu gói
dữ liệu có bị mất mát trong suốt qua trình
giao dịch. Thông tin này tùy chọn.
9/5/2012 59
Khóa (Key). Thông tin này được dùng để nhận
dạng hoặc xác nhận nguồn thực của dữ liệu (bộ
khởi tạo).
Số tuần tự (Sequence number). Trường này
chứa đựng 1 con số mà chỉ ra số tuần tự của gói
dữ liệu trong một loạt các gói dữ liệu đãvà đang
trao đổi.
Source routing. Trường này chứa đựng thêm
thông tin định tuyến, phần này tuỳ chọn.
9/5/2012 60
Payload. Gói dữ liệu nguyên gốc được gửi
đến FA bởi bộ khởi tạo. Nó cũng chứa đựng
phần đầu nguyên gốc.
9/5/2012 61
Voluntary tunnels (end-to-end tunnels),
được tạo ra từ yêu cầu của người dùng
máy khách. Kết quả là, các nút khởi tạo
hoạt động như điểm cuối tunnel.
Do đó, một tunnel riêng rẽ được tạo ra
cho mỗi cặp thông tin.
Sau khi mối giao thông giữa 2 điểm cuối
kết thúc, tunnel sẽ ngắt.
9/5/2012 62
Trong trường hợp người dùng từ xa sử dụng
kết nối dial-up, đầu tiên máy khách cần thiết
lặp kết nối đến mạng trung gian. Đây là bước
mở đầu cho việc thiết lặp những tunnel và
chưa hoàn thành bởi các giao thức tunneling.
Chỉ sau khi một kết nối quay số được thiết
lặp có thể bộ khởi tạo thiết lặp tunnel đến
nút mong muốn đến.
9/5/2012 64
Tuy nhiên, sẽ ít phức tạp hơn trong trường
hợp người dùng là một phần của mạng cục
bộ.
Trong trường hợp này, máy khách đã kết nối
vào mạng trung gian. Vì thế, không cần thiết
để thiết lập một kết nối quay số riêng biệt
tới mạng trung gian.
9/5/2012 65
Không giống voluntary tunnels được yêu cầu
và được tạo bởi các nút người dùng,
compulsory tunnels được tạo và cấu hình bởi
thiết bị trung gian.
Network Attached Storages (NASs) hoặc dial-
up servers như thiết bị trung gian. Loại
tunneling này được tham khảo như
compulsory tunneling bởi vì bộ khởi tạo phải
dùng tunnel được tạo bởi thiết bị trung gian.
9/5/2012 66
Bởi vì nút khởi tạo không nằm trong phần
tạo và cấu hình tunnel, nó không hoạt
động như tunnel endpoint.
Trong trường hợp này, các thiết bị trung
gian có trách nhiệm làm cho tunnel phục
vụ như các tunnel endpoint.
9/5/2012 68
Ngoài ra, không giống như voluntary
tunneling, trong một tunnel riêng biệt được
chia thành mỗi cặp trong các nút giao tiếp,
compulsory tunnels có thể được chia sẽ bởi
nhiều phương tiện thông tin.
Kết quả, tunnel không kết thúc cho đến khi
thông tin cuối cùng hoàn thành.
9/5/2012 69
Voluntary tunnels
Nút khởi tạo hoạt động như tunnel endpoint.
Một tunnel riêng biệt được dùng cung cấp cho
mỗi thông tin đang đi trên đường.
Một tunnel kết thúc khi dữ liệu trao đổi giữa
hai điểm cuối hoàn thành.
Dữ liệu trao đổi giữa 2 điểm cuối nhanh hơn.
Đây là những tunnel ngắn hạn.
9/5/2012 70
Thiết bị trung gian hoạt động như tunnel endpoint.
Tunnel giống nhau được chia sẽ bởi nhiều thông tin.
Tunnel không kết thúc cho đến khi cặp thông tin cuối hoàn thanh quá trình giao dịch dữ liệu.
Dữ liệu trao đổi giữa hai thực thể được
so sánh là chậm hơn bởi vì tunnel giống
nhau được chia sẽ qua nhiều kết nối.
Đây là những tunnel dài hạn.
9/5/2012 71
Giao thức này dùng để định tuyến các
tunneled packet đến nơi mà chúng dự định
đến thông qua mạng trung gian.
Những tunneled packets được đóng gói
bên trong các gói của giao thức này. Bởi vì
nó phải định tuyến gói dữ liệu thông qua
một môi trường mạng trung gian hỗn tạp,
như Internet, giao thức này phải được hỗ
trợ trên phương diện rộng.
9/5/2012 73
Những giao thức này thường dùng để đóng
gói tải gốc. Thêm vào đó, giao thức đóng gói
cũng chịu trách nhiệm cho việc tạo, bảo
quản, và kết thúc đối với tunnel.
Ngày nay, PPTP, L2TP, và IPSec là những giao
thức được dùng phổ biến.
9/5/2012 74
Dữ liệu gốc cần được đóng gói vì mục đích
giao dịch thông qua tunnel phụ thuộc vào
giao thức này.
PPP và SLIP (Serial Line Internet Protocol) là
các giao thức thông hành thường dùng.
9/5/2012 75
PPP là một giao thức đóng gói dữ liệu thuận tiện trong việc vận chuyển lưu thông mạng thông qua các kết nối point-to-point.
Thuận lợi lớn nhất của PPP là nó có thể hoạt động đem lại hiệu quả cho bất kỳ Data Terminal Equipment (DTE) hoặc Data Connection Equipment (DCE) bao gồm EIA/TIA-232-C và ITU-T V.35. Một điểm yêu thích nữa của PPP là nó không giới hạn tỉ lệ giao dịch.
Cuối cùng, chỉ thiết bị PPP có thể cho một kết nối kép (2 chiều) có thể đối xứng hoặc không đối xứng và có thể thao tác theo phương thức chuyển mạch hoặc chuyên dụng.
9/5/2012 76
1. Sau khi đóng gói các dữ liệu, nút nguồn (hay bộ
khởi tạo) gửi LCP frame thông qua liên kết điểm-
điểm đến nút cần đến.
2. Những frame này được dùng để cấu hình kết nối
theo tham số xác định và kiểm tra các kết nối đã
được thiết lặp nếu có.
3. Sau khi nút đích chấp nhận yêu cầu kết nối và một
kết nối được thiết lặp thành công, những tùy chọn
thuận lợi được đã đàm phán, được xác định bời
LCPs.
9/5/2012 77
4. Sau đó nút nguồn gửi các frame NCP để
lựa chọn và cấu hình các giao thức tầng
mạng.
5. Sau khi các giao thức tầng mạng đã được
cấu hình, 2 điểm cuối bắt đầu trao đổi dữ
liệu cho nhau.
9/5/2012 78
Flag. Trường này chỉ định phần đầu và
phần đuôi của 1 frame. Chiều dài của
trường này là 1 byte.
Address. Bởi vì sử dụng kết nối điểm-
điểm, PPP không dùng địa chỉ của các nút
riêng lẻ. Do đó, trường này chứa một
chuỗi số nhị phân 11111111, là địa chỉ
broadcast. Chiều dài của trường này là 1
byte.
9/5/2012 81
Control. Trường này chứa dãy số nhị phân
00000011, có nghĩa là frame đang mang dữ
liệu của người dùng là một frame thiếu trình
tự chỉ ra tính chất quá trình giao dịch không
kết nối của PPP. Chiều dài của trường này là
1 byte.
9/5/2012 82
PPTP là một giải pháp cung cấp khả năng bảo
mật giữa remote client và enterprise server
bằng việc tạo ra một VPN thông qua một IP trên
cơ sở mạng trung gian.
Được phát triển bởi PPTP Consortium (Microsoft
Corporation, Ascend Communications, 3COM, US
Robotics, và ECI Telematics), PPTP được đưa ra
dựa trên yêu cầu VPNs thông qua mạng trung
gian không an toàn.
9/5/2012 83
Thiết lập và kết thúc các kết nối vật lý giữa
2 đầu cuối thông tin.
Xác thực PPTP clients.
Mã hóa IPX, NetBEUI, NetBIOS, TCP/IP
datagrams để tạo ra PPP datagrams và bảo
mật dữ liệu trao đổi giữa các bên có liên
quan.
9/5/2012 85
Một PPTP client là một nút mạng hỗ trợ
PPTP và có thể yêu cầu những nút khác
cho một phiên VPN.
Nếu kết nối được yêu cầu từ một remote
user. PPTP client phải sử dụng dịch vụ
của ISP’s NAS. Vì lý do đó, client phải
dùng modem để kết nối vào kết nối PPP
tới nhà ISP.
9/5/2012 87
PPTP client cũng phải được kết nối vào
thiết bị VPN để có thể tunnel yêu cầu (và
dữ liệu tiếp theo, nếu yêu cầu được chấp
nhận) đến thiết bị VPN trên mạng từ xa.
Kết nối đến các thiết bị VPN từ xa sử
dụng kết nối quay số đầu tiên đến ISP’s
NAS để thiết lặp một tunnel giữa hai thiết
bị VPN thông quan Internet hoặc các
mạng trung gian khác.
9/5/2012 88
Không giống những yêu cầu cho các phiên
kết nối VPN từ xa, yêu cầu cho một phiên
VPN đến từ một mạng cục bộ không yêu cầu
một kết nối đến ISP’s NAS. Cả client và
server đều đã được kết nối về mặt vật lý,
việc tạo ra một kết nối đến ISP’s NAS là
không cần thiết. Client, trong trường hợp
này, chỉ yêu cầu các phiên kết nối quay số
bằng thiết bị VPN trên server.
9/5/2012 89
PPTP Servers là những nút mạng hỗ trợ PPTP
và có khả năng duy trì các yêu cầu cho các
phiên VPN từ những nút khác (từ xa hoặc nội
bộ). Để đáp lại những yêu cầu từ xa, những
server phải hỗ trợ khả năng định tuyến.
9/5/2012 90
PPTP NASs được đặt tại nhà cung cấp dịch
vụ ISP và cung cấp kết nối Internet đến
các client sử dụng PPP để quay số.
Khả năng có nhiều client đồng thời đưa ra
yêu cầu phiên một VPN là rất cao, những
server phải có khả năng hỗ trợ đồng thời
nhiều client.
9/5/2012 91
Hơn nữa, PPTP client không bị hạn chế với
các hệ điều hành không phải của Microsoft.
Do đó, PPTP NASs có khả năng xử lý dùng
nhiều hệ điều hành khác nhau như Microsoft's
Windows, Unix, và Apple's Macintosh.
9/5/2012 92
PPTP thực hiện 3 quá trình xử lý để bảo đảm
cho thông tin liên lạc PPTP thông qua môi
trường không an toàn. Những quá trình đó là
Quá trình thiết lập kết nối PPP
Điều khiển kết nối
PPTP tunneling và trao đổi dữ liệu
9/5/2012 93
Sau khi kết nối PPP giữa PPTP client và server
được thiết lập, quá trình điều khiển PPTP bắt
đầu.
PPTP connection control được thiết lập dựa trên
cơ sở địa chỉ IP của client và server, sử dụng
cổng TCP động và chiếm giữ cổng TCP 1723.
9/5/2012 95
Sau khi quá trình điều khiển kết nối được
thiết lặp, các thông tin điều khiển và quản lý
sẽ được trao đổi giữa các bên có liên quan
trong quá trình giao tiếp. Những thông tin
đảm nhiệm vai trò bảo trì, quản lý và kết
thúc PPP tunnel. Những thông điệp này là
những thông điệp có định kỳ bao gồm "PPTP-
Echo-Request, PPTP-Echo-Reply" dùng để
giúp đỡ trong việc dò tìm các kết nối PPTP
hư hỏng giữa server và client.
9/5/2012 96
Một gói dữ liệu PPTP phải trải qua nhiều
giai đoạn đóng gói, bao gồm những giai
đoạn sau:
9/5/2012 97
1. Quá trình đóng gói dữ liệu. Thông tin
nguyên bản được mã hóa và được đóng
gói bên trong một PPP frame. Một PPP
header được thêm vào frame.
9/5/2012 98
2. Quá trình đóng gói các PPP frame. Tổng hợp
các PPP frame sau đó đóng gói bên trong một
Generic Routing Encapsulation (GRE) đã được
sửa đổi.
GRE header chứa trường 4-byte
Acknowledgement và một bit Acknowledgement
hồi đáp. Ngoài ra, trường khóa trong GRE frame
được thay thế bằng trường 2 byte và 2 byte
được xem là ID. PPTP client xây dựng những
trường này khi nó tạo ra PPTP tuunel.
9/5/2012 99
3. Quá trình đóng gói GRE. Kết tếp, một IP
header đã được đóng gói bên trong gói GRE
được thêm vào PPP frame. Phần IP header này
chứa dựng địa chỉ IP nguồn của PPTP client và
đích của server.
9/5/2012 100
4. Quá trình đóng gói tầng Data Link. PPTP là
một giao thức tạo đường hầm nằm ở tầng 2. Vì
vậy, phần header của Data Link và phần đuôi giữ
vai trò quan trọng trong việc tạo đường hầm cho
dữ liệu. Trước khi được đặt vào môi trường
truyền thông, tầng Data Link thêm phần đầu và
đuôi của nó vào gói dữ liệu.
Nếu gói dữ liệu được truyền qua PPTP tunnel
cục bộ, gói dữ liệu được đóng gói bằng phần đầu
và đuôi theo công nghệ LAN (như Ethernet).
9/5/2012 101
PPTP được tích hợp như một giải pháp cùng với
sản phẩm của Microsoft, được dùng phổ biến
rộng rãi.
PPTP có thể hổ trợ các giao thức non-IP.
PPTP được hỗ trợ bởi nhiều nền tảng khác nhau,
như Unix, Linux, và Apple's Macintosh. Một số
nền tảng khác không hỗ trợ PPTP cũng có thể có
lợi cho các dịch vụ bằng cách dùng PPP client
router dựng sẵn.
9/5/2012 103
PPTP là một tùy chọn yếu kém trong bảo
mật. L2TP và IPSec là những công nghệ có
tính bảo mật cao hơn.
PPTP đòi hỏi chi phí trong việc cấu hình ở
PPTP server cũng như client.
Mặc dù PPTP được kèm theo như một giải
pháp dựng sẵn trong VPN, Routing và
Remote Access Server (RRAS) có thể cần
được cấu hình trong giải pháp Dial-on-
Demand định tuyến.
9/5/2012 104
Mã hóa và nén giữ liệu.
Xác thực(Authentication)
Điều khiển truy cập (Access control)
Trích lọc gói tin
9/5/2012 105
PPTP không cung cấp cơ chế mã hóa bảo mật
dữ liệu.
Nó dùng dịch vụ mã hóa được đưa ra bởi
PPP.
PPP dùng Microsoft Point-to-Point Encryption
(MPPE), đây là phương pháp mã hóa shared
secret.
9/5/2012 106
Phương pháp shared secret thường dùng
cho mục đích mã hóa trong trường hợp
PPP là ID của người dùng và mật khẩu.
40-bit session key thường dùng để mã hóa
user ID và mật khẩu xuất phát từ thuật
toán hàm băm được chứa trên cả client
và server.
9/5/2012 107
Thuật toán băm được dùng để cấp khóa là
thuật toán RSA RC4. khóa này được dùng để
mã hóa tất cả dữ liệu được trao đổi qua
tunnel.
Tuy nhiên, 40-bit key thì quá ngắn và quá yếu
kém đối với các kỹ thuật hack ngày nay. Vì
thế, phiên bản 128-bit key đã ra đời. Nhằm
làm giảm rủi ro, Microsoft đòi hỏi khóa phải
được làm tươi sau 256 gói packet.
9/5/2012 108
MS-CHAP (Microsoft Challenge Handshake
Authentication Protocol). MS-CHAP là một phiên bản
tùy biến của Microsoft của CHAP, và được dùng làm
phương pháp xác nhận cơ bản cho PPP.
Hai điểm khác nhau chính giữa hai cơ chế là CHAP dựa
trên thuất toán hàm băm RSA MD5, MS-CHAP thì dựa
trên RSA RC4 và DES. Vì lý do thực tế MS-CHAP đã được
phát triển đơn độc cho các sản phẩm của Microsoft
(Windows 9x và một số phiên bản Windows NT), nó
không được hổ trợ bởi các nền tảng khác.
9/5/2012 109
PAP (Password Authentication Protocol). PAP thì
đơn giản và thường được triển khai nhiều nhất trong
giao thức xác nhận quay số. Nó cũng được dùng để
xác nhận các kết nối PPP. Tuy nhiên, nó gửi user ID và
mật khẩu trong một định dạng chưa mã hóa thông
qua kết nối.
Một kẽ hở khác của PAP là chỉ xác nhận một lần điểm
thông tin cuối ở giai đoạn thiết lập kết nối.
Chính vì lí do đó, PAP được xem là một giao thức xác
nhận kém nhất và vì thế nó không được ưa thích
trong cơ chế xác nhận của VPN.
9/5/2012 110
Sau khi PPTP client từ xa được xác nhận
thành công, nó sẽ truy cập vào tài nguyên
mạng đã bị giới hạn vì lí do bảo mật. Để đạt
được mục tiêu này, có thể triển khai một số
cơ chế điều khiển truy cập sau :
Access rights
Permissions
Workgroups
9/5/2012 111
Việc trích lọc các gói dữ liệu PPTP cho phép một
PPTP server trên một mạng riêng chấp nhận và định
tuyến các gói dữ liệu từ những PPP client đã được
xác nhận thành công.
Kết quả, chỉ có những PPP client đã được xác nhận
mới được cấp quyền truy cập vào mạng từ xa chuyên
biệt. Bằng cách này, PPTP không chỉ cung cấp các cơ
chế xác nhận, điều khiển truy cập và mã hóa, mà còn
tăng độ bảo mật trong mạng.
9/5/2012 112
Sau đây là những thuận lợi chính của PPTP:
PPTP được gửi kèm như một giải pháp cùng với sản phẩm của Microsoft, được dùng phổ biến rộng rãi.
PPTP có thể hỗ trợ các giao thức non-IP.
PPTP được hỗ trợ bởi nhiều nền tảng khác nhau, như Unix, Linux, và Apple's Macintosh.
Một số nền tảng khác không hô trợ PPTP cũng có thể có lợi cho các dịch vụ bằng cách dùng PPP client router dựng sẵn.
9/5/2012 113
Thuật ngữ IPSec là một từ viết tắt của thuật
Internet Protocol Security. Nó có quan hệ tới
một số bộ giao thức (AH, ESP, FIP-140-1, và
một số chuẩn khác) được phát triển bởi
Internet Engineering Task Force (IETF).
Mục đích chính của việc phát triển IPSec là
cung cấp một cơ cấu bảo mật ở tầng 3
(Network layer) của mô hình OSI
9/5/2012 114
Mọi giao tiếp trong một mạng trên cơ sở IP
đều dựa trên các giao thức IP. Do đó, khi một
cơ chế bảo mật được tích hợp với giao thức
IP, toàn bộ mạng được bảo mật bởi vì các
giao tiếp đều đi qua tầng 3. (Đó là lý do tại
sao IPSec được phát triển ở giao thức tầng 3
thay vì tầng 2).
9/5/2012 116
Ngoài ra,với IPSec tất cả các ứng dụng đang
chạy ở tầng ứng dụng của mô hình OSI đều độc
lập trên tầng 3 khi định tuyến dữ liệu từ nguồn
đến đích.
IPSec được tích hợp chặt chẽ với IP, nên những
ứng dụng có thể dùng các dịch vụ kế thừa tính
năng bảo mật mà không cần phải có sự thay đổi
lớn lao nào.
Cũng giống IP, IPSec trong suốt với người dùng
cuối.
9/5/2012 117
Security Associations (SAs) là một khái niệm
cơ bản của bộ giao thức IPSec.
SA là một kết nối logic theo môt hướng giữa
hai thực thể sử dụng các dịch vụ IPSec.
9/5/2012 118
SPI (Security Parameter Index). Đây là một
trường 32 bit dùng nhận dạng giao thức bảo
mật, được định nghĩa bởi trường Security
protocol, trong bộ IPSec đang dùng.
SPI được mang theo như là một phần đầu
của giao thức bảo mật và thường được chọn
bởi hệ thống đích trong suốt quá trình thỏa
thuận của SA.
9/5/2012 120
Destination IP address. Đây là địa chỉ IP
của nút đích. Mặc dù nó có thể là địa chỉ
broadcast, unicast, hay multicast, nhưng
cơ chế quản lý hiện tại của SA chỉ được
định nghĩa cho hệ thống unicast.
Security protocol. Phần này mô tả giao
thức bảo mật IPSec, có thể là AH hoặc
ESP.
9/5/2012 121
Bởi vì bản chất theo một chiều duy nhất của SA,
cho nên 2 SA phải được định nghĩa cho hai bên
thông tin đầu cuối, một cho mỗi hướng.
Ngoài ra, SA có thể cung cấp các dịch vụ bảo mật
cho một phiên VPN được bảo vệ bởi AH hoặc
ESP. Do vậy, nếu một phiên cần bảo vệ kép bởi
cả hai AH và ESP, 2 SA phải được định nghĩa cho
mỗi hướng. Việc thiết lập này của SA được gọi là
SA bundle.
9/5/2012 122
Security Association Database (SAD) nắm giữ
thông tin liên quan đến mỗi SA. Thông tin
này bao gồm thuật toán khóa, thời gian sống
của SA, và chuỗi số tuần tự.
9/5/2012 123
Cơ sở dữ liệu thức hai của IPSec SA,
Security Policy Database (SPD), nắm giữ
thông tin về các dịch vụ bảo mật kèm
theo với một danh sách thứ tự chính sách
các điểm vào và ra.
Giống như firewall rules và packet filters,
những điểm truy cập này định nghĩa lưu
lượng nào được xữ lý và lưu lượng nào bị
từ chối theo từng chuẩn của IPSec.
9/5/2012 124
Tính xác nhận và Tính nguyên vẹn dữ liệu
(Authentication and data integrity). IPSec cung
cấp một cơ chế mạnh mẽ để xác nhận tính chất
xác thực của người gửi và kiểm chứng bất kỳ sự
sữa đổi không được bảo vệ trước đó của nội
dung gói dữ liệu bởi người nhận.
Các giao thức IPSec đưa ra khả năng bảo vệ
mạnh để chống lại các dạng tấn công giả mạo,
đánh hơi và từ chối dịch vụ.
9/5/2012 125
Sự bảo mật (Confidentiality). Các giao
thức IPSec mã hóa dữ liệu bằng cách sử
dụng kỹ thuật mã hóa cao cấp, giúp ngăn
cản người chưa chứng thực truy cập dữ
liệu trên đường đi của nó.
IPSec cũng dùng cơ chế tạo hầm để ẩn địa
chỉ IP của nút nguồn (người gửi) và nút
đích (người nhận) từ những kẻ nghe lén.
9/5/2012 126
Quản lý khóa (Key management). IPSec
dùng một giao thức thứ ba, Internet Key
Exchange (IKE), để thỏa thuận các giao
thức bao mật và các thuật toán mã hóa
trước và trong suốt phiên giao dịch.
Một phần quan trọng nữa, IPSec phân
phối và kiểm tra các khóa mã và cập nhật
những khóa đó khi được yêu cầu.
9/5/2012 127
Hai tính năng đầu tiên của bộ IPSec,
authentication and data integrity, và
confidentiality, được cung cấp bởi hai
giao thức chính của trong bộ giao thức
IPSec.
Những giao thức này bao gồm
Authentication Header (AH) và
Encapsulating Security Payload (ESP).
9/5/2012 128
Tính năng thứ ba, key management,
nằm trong bộ giao thức khác, được
bộ IPSec chấp nhận bởi nó là một
dịch vụ quản lý khóa mạnh. Giao
thức này là IKE.
9/5/2012 129
SAs trong IPSec hiện tại được triển khai
bằng 2 chế độ.
Được mô tả ở hình sau, đó là chế độ
Transport và chế độ Tunnel. Cả AH và ESP
có thể làm việc với một trong hai chế độ
này.
9/5/2012 130
Transport mode bảo vệ giao thức tầng trên
và các ứng dụng.
Trong Transport mode, phần IPSec header
được chèn vào giữa phần IP header và phần
header của giao thức tầng trên, như hình mô
tả bên dưới.
9/5/2012 132
Không giống Transport mode, Tunnel mode
bảo vệ toàn bộ gói dữ liệu. Toàn bộ gói
dữ liệu IP được đóng gói trong một gói dữ
liệu IP khác và một IPSec header được
chèn vào giữa phần đầu nguyên bản và
phần đầu mới của IP.
9/5/2012 136
Về cơ bản được biết như ISAKMP/Oakley, ISAKMP là
chữ viết tắc của Internet Security Association and
Key Management Protocol, IKE giúp các bên giao tiếp
hòa hợp các tham số bảo mật và khóa xác nhận
trước khi một phiên bảo mật IPSec được triển khai.
Ngoài việc hòa hợp và thiết lập các tham số bảo mật
và khóa mã hóa, IKE cũng sữa đổi những tham số khi
cần thiết trong suốt phiên làm việc. IKE cũng đảm
nhiệm việc xoá bỏ những SAs và các khóa sau khi
một phiên giao dịch hoàn thành.
9/5/2012 140
IKE không phải là một công nghệ độc lập,
do đó nó có thể dùng với bất kỳ cơ chế
bảo mật nào.
Cơ chế IKE, mặc dù không nhanh, nhưng
hiệu quả cao bởi vì một lượng lớn những
liên kêt bảo mật thỏa thuận với nhau với
một vài thông điệp khá ít.
9/5/2012 141
Giai đoạn I và II là hai giai đoạn tạo nên
phiên làm việc dựa trên IKE.
Trong một phiên làm việc IKE, nó giả sử đã
có một kênh bảo mật được thiết lập sẵn.
Kênh bảo mật này phải được thiết lập trước
khi có bất kỳ thỏa thuận nào xảy ra.
9/5/2012 142
Giai đoạn I của IKE đầu tiên xác nhận các
điểm thông tin, và sau đó thiết lập một
kênh bảo mật cho sự thiết lâp SA.
Tiếp đó, các bên thông tin thỏa thuận
một ISAKMP SA đồng ý lẫn nhau, bao gồm
các thuật toán mã hóa, hàm băm, và các
phương pháp xác nhận bảo vệ mã khóa.
9/5/2012 144
Giá trị Diffie-Hellman
SPI của ISAKMP SA ở dạng cookies
Số ngâ u nhiên known as nonces
(used for signing purposes)
9/5/2012 145
Trong khi giai đoạn I thỏa thuận thiết lập SA
cho ISAKMP, giai đoạn II giải quyết bằng việc
thiết lập SAs cho IPSec.
Trong giai đoạn này, SAs dùng nhiều dịch vụ
khác nhau thỏa thuận. Cơ chế xác nhận, hàm
băm, và thuật toán mã hóa bảo vệ gói dữ
liệu IPSec tiếp theo (sử dụng AH và ESP) dưới
hình thức một phần của giai đoạn SA.
9/5/2012 146
Nhiều doanh nghiệp đang dân thực
hiê n việc thay thế dịch vụ VPN lớp 2
truyền thống như ATM hay Frame Relay
(FR) bằng các dịch vụ dựa trên MPLS.
Liệu MPLS có thể cung cấp bảo mật
tương đương với VPN lớp 2 truyền
thống như ATM và Frame Relay?
9/5/2012 147
MPLS cho phép các VPN khác nhau sử dụng một dải địa chỉ
như nhau và được sử dụng như dải địa chỉ riêng
[RFC1918].
Điều này đạt được nhờ việc đưa thêm Tham số phân biệt
định tuyến (route distinguisher - RD) 64 bit vào mỗi địa chỉ
IPv4, làm cho các địa chỉ VPN duy nhất cũng trở thành duy
nhất trong lõi MPLS. Địa chỉ mở rộng này cũng được gọi là
“địa chỉ VPN - IPv4” (hình 1). Do vậy, các khách hàng của
một dịch vụ MPLS không cần thay đổi địa chỉ hiện thời của
họ trong mạng.
9/5/2012 148
Vì lý do bảo mật, các công ty cung cấp dịch vụ và
khách hàng thường không muốn cấu trúc mạng của
họ bị lộ ra ngoài. Điều này làm cho việc tấn công bị
khó khăn hơn. Nếu một kẻ tấn công không biết về
mục tiêu, anh ta chỉ có thể suy đoán địa chỉ IP hoặc
cố tìm ra địa chỉ IP bằng cách thử.
Do phần lớn các cuộc tấn công từ chối dịch vụ DoS
(Denial - of - Service) không cung cấp phản hồi cho
các kẻ tấn công nên việc tấn công một mạng sẽ là
khó khăn.
9/5/2012 149