ОСНОВЫ ПОСТРОЕНИЯ ВИРТУАЛЬНЫХ ЧАСТНЫХ СЕТЕЙ

Виртуальной защищенной сетью (VPN) называется
технология объединения локальных сетей и отдельных

Виртуальная защищенная сеть VPN

Virtual Private Network -VPN

Технологии VPN:

-туннелирование;
-криптографическая защита

Принцип туннелирования

Задачи, решаемые в VPN

- взаимная аутентификация абонентов при установлении соединения;
- обеспечение

Основные схемы VPN

Классификация сетей VPN

Классификационные признаки

Рабочий уровень модели OSI

Архитектура
технического
решения

Способ
технической
реализации

VPN

Протоколы защиты на различных уровнях модели ВОС

Протоколы защиты на различных уровнях протокола TCP/IP

Архитектура IPSec

IKE

IKE

Базы данных:
SAD, SPD

Security Association (SA) Безопасная ассоциация Контекст безопасности

SA однонаправленное логическое соединение,
создаваемое для

Установление безопасных ассоциации

3. Создание дочерней SA (CREATE CHILD SA)

Хост 1

Хост

Режимы IPSec

Протокол
безопасности

Внешний
заголовок

Внутренний
(исходный)
заголовок

Протокол
верхнего
уровня

IP-пакет после применения протокола АН в транспортном и туннельном режимах

Характеристика протокола АН

Применение протокола АН позволяет принимающей стороне убедиться в

Структура заголовка IP-пакета

Формат заголовка AH

Характеристика протокола ESP

Применение протокола ESP обеспечивает:
- конфиденциальность передаваемых данных за

IP-пакет до и после применения протокола ESP  

Формат заголовка ESP

Хэширующие функции в АН

Хэширующие функции:
MD5-HMAC Длина ключа 128 бит, Хэш-код

Хэширующие функции MD2, MD5

MD5 (улучшенная версия MD4) :
-хэшируемое сообщение – блоки

Хэширующие функция SHA (Secure Hash Algorithm)

-хэшируемое сообщение – блоки длиной 512

Алгоритмы шифрования в ESP

DES, 3-DES, CAST-128, RC-5, IDEA, Blowfish, AES

Алгоритмы аутентификации

Internet Key Exchange (IKE)

IKE v1
RFC 2409

ISAKMP
RFC 2408

Oakley

IKE v2
RFC 4306

DOI
RFC 2407

Установление безопасных ассоциации

3. Создание дочерней SA (CREATE CHILD SA)

Хост 1

Хост

Начальный обмен IKE_UNIT_ SA

IKE_AUTH

Типы блоков данных

Обмен IKE_AUTH

CHILD_SA
(AH,ESP)

Типы и идентификаторы преобразований

Содержимое поля Аутентификационные данные при аутентификации с использованием цифровых подписей

AUTH =

Содержимое поля Аутентификационные данные при аутентификации с использованием заранее распределенного ключа

AUTH

Генерация ключевого материала для IKE_SA

Генерация ключевого материала в дополнительном обмене
СREATE_CHILD_SA

SK_d

Алгоритм формирования ключей на основе однонаправленных функций (алгоритм Диффи-Хеллмана)

Сравнительная характеристика VPN продуктов отечественного производства