Virtual Private Network (VPN)

虛擬私有網路
中央大學
無線網路與多媒體實驗室

Wireless & Multimedia Network Laboratory

 Virtual Private Network (VPN)
 以往企業間要達到資料的互通有無，是於公共電話網路上
設私有專線
 VPN 是一種網路應用的概念，其可達成
• 降低成本、可彈性增減欲連接對象
• 在收送雙方之間建立一個安全、私有的虛擬連線通道 (Tunnel)

Wireless & Multimedia Network Laboratory

 VPN 包含的技術及標準
 VPN 技術包含如下 :
• 建置虛擬通道的技術 :
 Layer 2 Tunneling Protocol (L2TP) (IETF 主推 )
 Point-to-Point Tunneling Protocol (PPTP) (Microsoft 主推，非 IETF
標準 )

• 安全技術 :
 IP Security Protocol (IPsec) (IETF 主推 )
 Internet Key Exchange (IKE) (IETF 主推 )

Wireless & Multimedia Network Laboratory

 L2TP 封包結構
 L2TP 是將 Point-to-Point Protocol (PPP) 協定的資料以 L2TP
標頭封裝，然後採用 UDP 傳送
 由於是採用 PPP ，所以可搭載 IP 、 IPX… 等網路層協定，
讓 L2TP 支援 Multiprotocol 的能力。

Wireless & Multimedia Network Laboratory

 L2TP Tunnel 建置方式

 有兩個重要元件：
• LAC : L2TP Access Concentrator
• LNS : L2TP Network Server

Wireless & Multimedia Network Laboratory

 Voluntary & Compulsory
Tunneling
自發性通道（ Voluntary Tunneling ）
Physical Network

Private Network

強迫性通道（ Compulsory Tunneling ）

Physical Network

Private Network

Wireless & Multimedia Network Laboratory

 VPN 的安全技術
 VPN 本身必須滿足以下三點 :
• 資料隱密性 (Confidentiality)
• 資料來源驗證 (Authentication)
• 資料一致性 (Integrity)

 由於 VPN Tunnel 大多是傳送 IP 封包，因此採用 IP Security

Protocol (IPsec)
 L2TP 本身可結合 IPsec 協定來提供安全保護
 IPsec 不僅滿足了以上三點，還提供了封包存取控制和重送
防止

Wireless & Multimedia Network Laboratory

 IPsec 的安全協定 (1/2)
 IPsec 提供兩種安全協定 :
• AH (Authentication Header) : 主要是透過 Hash function 來提供封包
來源的驗證及一致性檢查

• ESP (Encapsulating Security Payload) :

結合加密演算法及 Hash
function 來提供資料加密與驗證的功能。

Wireless & Multimedia Network Laboratory

 IPsec 的安全協定 (2/2)
 差異
• AH 不提供資料加密
• AH 在一致性的檢查方面優於 ESP
 兩個協定可同時作用在一個封包上

Wireless & Multimedia Network Laboratory

 IPsec 的封裝機制
transport / tunnel mode
tunnel mode

transport mode

Wireless & Multimedia Network Laboratory

 例子： L2TP / IPsec

ESP 運作於 transport mode

Wireless & Multimedia Network Laboratory

 IPsec 的金 交換機制
 採用 IPsec 的通訊雙方必須事先交換安全參數 (Security
Association ，簡稱 SA) 的設定
 SA 自動協調可採用 IETF 提出的 Internet Key Exchange
(IKE) 機制

Wireless & Multimedia Network Laboratory