Linux下的主要VPN技術(1)

一、Linux下的主要VPN技術

1、 IPSecInternet Protocol Security）

IPSec是IETFInternet Engineer Task Force）正在完善的安全標準，它把幾種安全技術結合在一起形成一個較為完整的體系，受到了眾多廠商的關注和支援。通過對資料加密、認證、完整性檢查來保證資料轉送的可靠性、私人性和保密性。

優點：它定義了一套用於認證、保護私人性和完整性的標準協議。 IPSec支援一系列密碼編譯演算法如DES、三重DES、IDEA。它檢查傳輸的資料包的完整性，以確保資料沒有被修改。IPSec用來在多個防火牆和伺服器之間提供安全性。IPSec可確保運行在TCP/IP協議上的VPNs之間的互通性。

缺點：IPSec在客戶機/伺服器模式下實現有一些問題，在實際應用中，需要公開金鑰來完成。IPSec需要已知範圍的IP地址或固定範圍的IP地址，因此在動態分配IP地址時不太適合於IPSec。除了TCP/IP協議外，IPSec不支援其他協議。另外配置比較複雜。

Linux實現使用IPSec的軟體是：Free S/WAN

http://www.freeswan.org/。FreeS/WAN不支援NATNetwork Address Translation，網路地址翻譯）和IP地址偽裝用於加密通道通訊。

2、 PPP OVER SSH

SSH一種基於安全會話目的的應用程式。SSH支援身份認證和資料加密，對所有傳輸的資料進行加密處理。同時，可以對傳輸資料進行壓縮處理，以加快資料轉送速度。SSH既可以代替Telnet作為安全的遠程登入方式，又可以為FTP、POP等提供一個安全的“隧道”。OpenSSH是SSH的替代軟體包，是免費的。用PPP連接埠在SSH上運行技術實現VPN的方法。優點：安裝配置簡單。缺點：運行時系統開銷比較大。PPP OVER SSH具體應用軟體有SSHVNChttp://3sp.com/products/sshtools/sshvnc/sshvnc.php）

3、 CIPE : Crypto IP Encapsulation

CIPE 加密 IP 封裝）是主要為 Linux 而開發的 VPN

實現。CIPE 使用加密的 IP 分組，這些分組被封裝或“包圍”在資料報UDP）分組中。CIPE 分組被給以目標題資訊，並使用預設的CIPE 加密機制來加密。CIPE 使用標準的 Blowfish 或 IDEA密碼編譯演算法來支援加密。根據你所在國家的加密出口法規而定，你可以使用預設方法Blowfish）來加密你的專用網上的所有 CIPE 交通。CIPE配置可以通過文字檔、圖形化的網路管理工具來完成。用CIPE技術實現VPN的方法，優點：安裝配置簡單，運行時系統開銷比較小。缺點：CIPE不是一種標準VPN協議，不能支援所有平台。CIPE網址：http://sites.inka.de/

4.SSL VPN

IPSec VPN和SSL VPN是兩種不同的VPN架構，IPSec VPN是工作在網路層的，提供所有在網路層上的資料保護和透明的安全通訊，而SSL VPN是工作在應用程式層(基於HTTP協議)和TCP層之間的，從整體的安全等級來看，兩者都能夠提供安全的遠程接入。但是，IPSecVPN技術是被設計用於串連和保護在信任網路中的資料流，因此更適合為不同的網路提供通訊安全保障，而SSLVPN因為以下的技術特點則更適合應用於遠程分散移動使用者的安全接入。OpenVPN 是一個基於 OpenSSL 庫的應用程式層 VPN實現。詳細資料可以參考http://www.openvpn.net。

OpenVPN優點: 支援多種常用應用系統。目前版本支援Linux, Windows

2000/XP and higher, OpenBSD, FreeBSD, NetBSD, Mac OS X, and Solaris 。

支援多種用戶端串連模式。可以通過GUI 便捷的操作OpenVPN 工作在OSI layer 2 或 3 使用標準的SL/TLS 協議, 可以通過certificates 或smart cards 認證。 加密強度較高，不易在傳輸通路上被人劫持破解資訊資訊。

OpenVPN缺點：使用SSL 應用程式層加密，傳輸效率要低於IPSEC 傳輸的VPN 軟體

5.PPPTD

點對點通道通訊協定PPTP）是一種支援多協議Virtual Private Cloud的網路技術。

PPTP 可以用於在 IP 網路上建立 PPP 會話隧道。在這種配置下，PPTP 隧道和 PPP 會話運行在兩個相同的機器上，來電者充當PNS。PPTP 使用客戶機－伺服器結構來分離當前網路存取伺服器具備的一些功能並支援Virtual Private Cloud。PPTP作為一個呼叫控制和管理協議，它允許伺服器控制來自 PSTN 或 ISDN 的撥入電路交換呼叫訪問並初始化外部電路交換串連。PPTP 只能通過PAC 和 PNS 來實施，其它系統沒有必要知道 PPTP。撥號網路可與 PAC 相串連而無需知道 PPTP。標準的 PPP客戶機軟體可繼續在隧道 PPP 連結上操作。PPTP 使用 GRE 的擴充版本來傳輸使用者 PPP 包。這些增強允許為在 PAC 和 PNS之間傳輸使用者資料的隧道提供低層擁塞控制和流量控制。這種機制允許高效使用隧道可用頻寬並且避免了不必要的重發和緩衝區溢位。PPTP沒有規定特定的演算法用於低層控制，但它確實定義了一些通訊參數來支援這樣的演算法工作。

PPTP相對其他遠程“撥入”型VPN的不凡之處在於微軟Windows95/98/Me/NT/2000/XP/Vista）擁有一個內建的PPTP用戶端，這意味著管理員不必涉及任何額外的用戶端軟體以及那些通常伴隨出現的問題。Linux   PPTP伺服器實現的軟體是：poptophttp://www.poptop.org/）開源PPTP伺服器產品Poptop特性為：

微軟相容的認證和加密MSCHAPv2，MPPE40－128位RC4加密） 。

支援多個用戶端串連 。

使用RADIUS外掛程式無縫整合到一個微軟網路環境中 。

和Windows 95/98/Me/NT/2000/XP PPTP用戶端共同工作 。

和Linux PPTP用戶端共同工作 。

Poptop在GNU通用公用許可下是，並仍將是完全免費。

下面分別介紹基於以上技術的VPN在Linux下的實現：