CÁC GIAO THỨC ĐƯỜNG HẦM.doc

Đồ án tôt nghiệp Đại học Chương 2. Các giao thức đường hầm

CHƯƠNG 2

CÁC GIAO THỨC ĐƯỜNG HẦM VPN

Hiện nay có nhiều giải pháp để giải quyết hai vấn đề về đóng gói dữ liệu và

an toàn dữ liệu trong VPN, dựa trên nền tảng là các giao thức đường hầm. Một

giao thức đường hầm sẽ thực hiện đóng gói dữ liệu với phần Header (và có thể

cả Trailer) tương ứng để truyền qua Internet. Giao thức đường hầm là cốt lõi của

giải pháp VPN. Có 4 giao thức đường hầm được sử dụng trong VPN đó là:

- Giao thức định hướng lớp 2 - L2F (Layer 2 Forwarding)

- Giao thức đường hầm điểm-điểm-PPTP (Point to Point Tunneling

protocol)

- Giao thức đường hầm lớp 2 - L2TP (Layer 2 tunneling protocol)

- Giao thức bảo mật IP - IPSec (Internet Protocol Security)

2.1 Giao thức định hướng lớp 2 - L2F

Giao thức định hướng lớp 2 L2F do Cisco phát triển độc lập và được phát

triển dựa trên giao thức PPP (Point-to-Point Protocol). L2F cung cấp giải pháp

cho dịch vụ quay số ảo bằng cách thiết lập một đường hầm bảo mật thông qua

cơ sở hạ tầng công cộng như Internet. L2F là giao thức được phát triển sớm

nhất, là phương pháp truyền thống để cho những người sử dụng ở xa truy cập

vào một mạng công ty thông qua thiết bị truy cập từ xa.

L2F cho phép đóng gói các gói PPP trong L2F, định đường hầm ở lớp liên

kết dữ liệu.

2.1.1 Cấu trúc gói của L2F

1bit 1bit 1bit 1bit 8bit 1bit 3bit 8bit 8bit

F K P S Reserved C Version Protocol Sequence

Multiplex ID Client ID

Length Offset

Key

Data

Ckecksums

Hình 2.1: Khuôn dạng gói của L2F

Trong đó:

F: Trường “Offset” có mặt nếu bit này được thiết lập.

Đoàn Thanh Bình, D01VT 12

Đồ án tôt nghiệp Đại học Chương 2. Các giao thức đường hầm

K: Trường “Key” có mặt nếu bít này được thiết lập.

P_ priority: Gói này là một gói ưu tiên nếu bít này được thiết lập.

S: Trường “Sequence” có mặt nếu bít này được thiết lập.

Reserved: luôn được đặt là: 00000000.

Version : Phiên bản chính của L2F dùng để tạo gói. 3 bit này luôn là 111.

Protocol : Xác định giao thức đóng gói L2F.

Sequence: Số chuỗi được đưa ra nếu trong L2F Header bít S=1.

Multiplex ID: Nhận dạng một kết nối riêng trong một đường hầm (tunnel).

Client ID: Giúp tách đường hầm tại những điểm cuối.

Length: chiều dài của gói (tính bằng Byte) không bao gồm phần checksum.

Offset: Xác định số Byte trước L2F Header, tại đó dữ liệu tải tin được bắt đầu.

Trường này có khi bít F=1.

Key: Trường này được trình bày nếu bit K được thiết lập. Đây là một phần của

quá trình nhận thực.

Checksum: Kiểm tra tổng của gói. Trường checksum có nếu bít C=1.

2.1.2 Ưu nhược điểm của L2F

Ưu điểm:

- Cho phép thiết lập đường hầm đa giao thức.

- Được cung cấp bởi nhiều nhà cung cấp.

Nhược điểm:

- Không có mã hoá.

- Yếu trong việc xác thực người dùng.

- Không có điều khiển luồng cho đường hầm.

2.1.3 Thực hiện L2F

L2F đóng gói những gói ở lớp 2 và trong trường hợp này là đóng gói PPP,

truyền xuyên qua một mạng. L2F sử dụng các thiết bị:

NAS: Hướng lưu lượng đến và đi từ máy khách ở xa (remote client) và

gateway home. Hệ thống ERX hoạt động như NAS.

Tunne:l Định hướng đường đi giữa NAS và home gateway. Một đường

hầm gồm một số kết nối.

Home gateway: Ngang hàng với NAS.

Kết nối (connection): Là một kết nối PPP trong đường hầm. Trong CLI,

một kết nối L2F được xem như là một phiên.

Đoàn Thanh Bình, D01VT 13

Đồ án tôt nghiệp Đại học Chương 2. Các giao thức đường hầm

Điểm đích (Destination): Là điểm kết thúc ở đầu xa của đường hầm. Trong

trường hợp này thì Home gateway là điểm đích.

Remote

User

RADIUS

Server

NAS Home

gateway

Data

Tunnel

Mạng của ISP Mạng riêng

Hình 2.2: Mô hình đặc trưng L2F

2.1.4 Hoạt động của L2F

Hoạt động L2F bao gồm các hoạt động: thiết lập kết nối, đường hầm và

phiên làm việc. Ta xem xét ví dụ minh hoạ hoạt động của L2F:

1) Một người sử dụng ở xa quay số tới hệ thống NAS và khởi đầu một kết

nối PPP tới ISP.

2) Hệ thống NAS và máy khách trao đổi các gói giao thức điều khiển liên

kết LCP (Link Control Protocol).

3) NAS sử dụng cơ sở dữ liệu cục bộ liên quan tới tên vùng (domain name)

hay nhận thực RADIUS để quyết định có hay không người sử dụng yêu

cầu dịch vụ L2F.

4) Nếu người sử dụng yêu cầu L2F thì quá trình tiếp tục: NAS thu nhận địa

chỉ của gateway đích (home gateway).

5) Một đường hầm được thiết lập từ NAS tới gateway đích nếu giữa chúng

chưa có đường hầm nào. Sự thành lập đường hầm bao gồm giai đoạn nhận

thực từ ISP tới gateway đích để chống lại tấn công bởi những kẻ thứ ba.

6) Một kết nối PPP mới được tạo ra trong đường hầm, điều này tác động kéo

dài phiên PPP từ người sử dụng ở xa tới home gateway. Kết nối này được

thiết lập như sau: Home gateway tiếp nhận các lựa chọn và tất cả thông

tin nhận thực PAP/CHAP, như đã thoả thuận bởi đầu cuối người sử dụng

và NAS. Home gateway chấp nhận kết nối hay nó thoả thuận lại LCP và

nhận thực lại người sử dụng.

Đoàn Thanh Bình, D01VT 14

Đồ án tôt nghiệp Đại học Chương 2. Các giao thức đường hầm

7) Khi NAS tiếp nhận lưu lượng dữ liệu từ người sử dụng, nó lấy gói và

đóng gói lưu lượng vào trong một khung L2F và hướng nó vào trong

đường hầm.

8) Tại home gateway, khung L2F được tách bỏ, và dữ liệu đóng gói được

hướng tới mạng công ty.

2.1.5 Quản lý L2F

Khi hệ thống đã thiết lập những điểm đích, những đường hầm tunnel, và

những phiên kết nối ta phải điều khiển và quản lý lưu lượng L2F như sau:

- Ngăn cản tạo những điểm đích, những đường hầm tunnel, những phiên

mới.

- Đóng và mở lại tất cả hay chọn lựa những điểm đích, những đường hầm

tunnel, những phiên.

- Có khả năng kiểm tra tổng UDP.

- Thiết lập thời gian rỗi cho hệ thống và lưu giữ cơ sở dữ liệu vào của

những đường hầm và những kết nối.

Sự thay đổi một điểm đích làm ảnh hưởng tới tất cả những đường hầm và

phiên tới điểm đích đó; Sự thay đổi một đường hầm làm ảnh hưởng tới tất cả các

phiên trong đường hầm đó. Ví dụ, Sự kết thúc ở điểm đích đóng tất cả các

đường hầm và phiên tới điểm đích đó.

L2F cung cấp các lệnh để thực hiện các chức năng. Ví dụ

L2F checksum: mục đích để kiểm tra toàn vẹn dữ liệu của các khung L2F sử

dụng kiểm tra tổng UDP, ví dụ host 1(config)#l2f checksum

L2F destruct-timeout: sử dụng để thiết lập thời gian rỗi, giá trị thiết lập trong

dải 10 -:- 3600 giây, ví dụ host1 (config)#l2f destruct-timeout 1200

2.2 Giao thức đường hầm điểm-điểm PPTP

Giao thức đường hầm điểm–điểm PPTP được đưa ra đầu tiên bởi một

nhóm các công ty được gọi là PPTP Forum. Nhóm này bao gồm 3 công ty:

Ascend comm., Microsoft, ECI Telematicsunication và US Robotic. Ý tưởng cơ

sở của giao thức này là tách các chức năng chung và riêng của truy cập từ xa, lợi

dụng cơ sở hạ tầng Internet sẵn có để tạo kết nối bảo mật giữa người dùng ở xa

(client) và mạng riêng. Người dùng ở xa chỉ việc quay số tới nhà cung cấp dịch

vụ Internet địa phương là có thể tạo đường hầm bảo mật tới mạng riêng của họ.

Đoàn Thanh Bình, D01VT 15