隧道技術(shù)路由封裝

通用路由封裝(GRE:Generic Routing Encapsulation)在RFC1701/RFC1702中定義，它規(guī)定了怎樣用一種網(wǎng)絡(luò)層協(xié)議去封裝另一種網(wǎng)絡(luò)層協(xié)議的方法。GRE的隧道由兩端的源IP地址和目的IP地址來定義，它允許用戶使用IP封裝IP、IPX、AppleTalk，并支持全部的路由協(xié)議，如RIP、OSPF、IGRP、EIGRP。通過GRE，用戶可以利用公用IP網(wǎng)絡(luò)連接IPX網(wǎng)絡(luò)和AppleTalk網(wǎng)絡(luò)，還可以使用保留地址進行網(wǎng)絡(luò)互聯(lián)，或?qū)W(wǎng)隱藏企業(yè)網(wǎng)的IP地址。

GRE的包頭包含了協(xié)議類型(用于標明乘客協(xié)議的類型);校驗和包括了GRE的包頭和完整的乘客協(xié)議與數(shù)據(jù);密鑰(用于接收端驗證接收的數(shù)據(jù));序列號(用于接收端數(shù)據(jù)包的排序和差錯控制)和路由信息(用于本數(shù)據(jù)包的路由)。

GRE只提供了數(shù)據(jù)包的封裝，它沒有防止網(wǎng)絡(luò)偵聽和攻擊的加密功能。所以在實際環(huán)境中它常和IPsec一起使用，由IPsec為用戶數(shù)據(jù)的加密，給用戶提供更好的安全服務(wù)。

L2TP(Layer Two Tunneling Protocol)結(jié)合了L2F和PPTP的優(yōu)點，允許用戶從客戶端或訪問服務(wù)器端建立VPN連接。L2TP是把鏈路層的PPP幀裝入公用網(wǎng)絡(luò)設(shè)施，如IP、ATM、幀中繼中進行隧道傳輸?shù)姆庋b協(xié)議。其體系結(jié)構(gòu)見圖1。

Cisco、Ascend、Microsoft和RedBack公司的專家們在修改了十幾個版本后，終于在1999年8月公布了L2TP的標準RFC2661?，F(xiàn)用戶撥號訪問Internet時，必須使用IP協(xié)議，并且其動態(tài)得到的IP地址也是合法的。L2TP的好處在于支持多種協(xié)議，用戶可以保留原有的IPX、Appletalk等協(xié)議或公司原有的IP地址。L2TP還解決了多個PPP鏈路的捆綁問題，PPP鏈路捆綁要求其成員均指向同一個NAS，L2TP則允許在物理上連接到不同NAS的PPP鏈路，在邏輯上的終點為同一個物理設(shè)備。L2TP擴展了PPP連接，在傳統(tǒng)的方式中用戶通過模擬電話線或ISDN/ADSL與網(wǎng)絡(luò)訪問服務(wù)器建立一個第2層的連接，并在其上運行PPP，第2層連接的終點和PPP會話的終點均設(shè)在同一個設(shè)備上(如NAS)。L2TP作為PPP的擴充提供了更強大的功能，包括允許第2層連接的終點和PPP會話的終點分別設(shè)在不同的設(shè)備上。

L2TP主要由LAC(L2TP Access Concentrator)和LNS(L2TP Network Server)構(gòu)成。LAC支持客戶端的L2TP，發(fā)起呼叫，接收呼叫和建立隧道;LNS是所有隧道的終點。在傳統(tǒng)的PPP連接中，用戶撥號連接的終點是LAC，而L2TP能把PPP協(xié)議的終點延伸到LNS。

1.用戶通過公用電話網(wǎng)或ISDN撥號呼叫本地接入服務(wù)器LAC;LAC接受呼叫并進行基本的識別過程，這一過程可以采用幾種標準，如域名、呼叫線路識別(CLID)或撥號ID業(yè)務(wù)(DNIS)等。

2.當用戶被確認為合法企業(yè)用戶時，就建立一個通向LNS的撥號VPN隧道。

3.企業(yè)內(nèi)部的安全服務(wù)器如TACACS+、RADIUS對撥號用戶進行驗證。

4.LNS與遠程用戶交換PPP信息，分配IP地址。LNS可采用企業(yè)專用地址(未注冊的IP地址)或服務(wù)提供商提供的地址空間分配IP地址。因為內(nèi)部源IP地址與目的地IP地址實際上都通過服務(wù)提供商的IP網(wǎng)絡(luò)在PPP信息包內(nèi)傳送，企業(yè)專用地址對提供者的網(wǎng)絡(luò)是透明的。

5.端到端的數(shù)據(jù)從撥號用戶傳到LNS。

在實際應(yīng)用中，LAC將撥號用戶的PPP幀封裝后，傳送到LNS，后者去掉封裝包頭，取出PPP幀，再去掉PPP幀頭，最后獲得網(wǎng)絡(luò)層數(shù)據(jù)包。

L2TP方式給服務(wù)提供商和用戶帶來了許多方便。用戶不需要在PC板上安裝專門的客戶端軟件，企業(yè)網(wǎng)可以使用未注冊的IP地址，并在本地管理認證數(shù)據(jù)庫，從而降低了應(yīng)用成本和培訓(xùn)維護費用。

與PPTP和L2F相比，L2TP的優(yōu)點在于提供了差錯和流量控制;L2TP使用UDP封裝和傳送PPP幀。面向無連接的UDP無法保證網(wǎng)絡(luò)數(shù)據(jù)的可靠傳輸，L2TP使用Nr(下一個希望接受的信息序列號)和Ns(當前發(fā)送的數(shù)據(jù)包序列號)字段進行流量和差錯控制。雙方通過序列號來確定數(shù)據(jù)包的順序和緩沖區(qū)，一旦丟失數(shù)據(jù)，根據(jù)序列號可以進行重發(fā)。

作為PPP的擴展協(xié)議，L2TP支持標準的安全特性CHAP和PAP，可以進行用戶身份認證。L2TP定義了控制包的加密傳輸，每個被建立的隧道分別生成一個獨一無二的隨機鑰匙，以便對付欺騙性的攻擊，但是它對傳輸中的數(shù)據(jù)并不加密。

L2F(Layer Two Forwarding protocol )是由Cisco公司提出的可以在多種介質(zhì)，如ATM、幀中繼、IP網(wǎng)上建立多協(xié)議的安全虛擬專用網(wǎng)的通信。遠端用戶能通過任何撥號方式接入公用IP網(wǎng)，首先按常規(guī)方式撥到ISP的接入服務(wù)器(NAS)，建立PPP連接;NAS根據(jù)用戶名等信息，建立直達HGW服務(wù)器的第二重連接。在這種情況下，隧道的配置和建立對用戶是完全透明的。其體系結(jié)構(gòu)見圖1。

為創(chuàng)建隧道，隧道的客戶機和服務(wù)器雙方必須使用相同的隧道協(xié)議。隧道技術(shù)可分別以第2層或第3層隧道協(xié)議為基礎(chǔ)。第2層隧道協(xié)議對應(yīng)于OSI模型的數(shù)據(jù)鏈路層，使用幀作為數(shù)據(jù)交換單位。PPTP(點對點隧道協(xié)議)、L2TP(第二層隧道協(xié)議)和L2F(第2層轉(zhuǎn)發(fā)協(xié)議)都屬于第2層隧道協(xié)議，是將用戶數(shù)據(jù)封裝在點對點協(xié)議(PPP)幀中通過互聯(lián)網(wǎng)發(fā)送。第3層隧道協(xié)議對應(yīng)于OSI模型的網(wǎng)絡(luò)層，使用包作為數(shù)據(jù)交換單位。IPIP(IP over IP)以及IPSec隧道模式屬于第3層隧道協(xié)議，是將IP包封裝在附加的IP包頭中，通過IP網(wǎng)絡(luò)傳送。無論哪種隧道協(xié)議都是由傳輸?shù)妮d體、不同的封裝格式以及用戶數(shù)據(jù)包組成的。它們的本質(zhì)區(qū)別在于，用戶的數(shù)據(jù)包是被封裝在哪種數(shù)據(jù)包中在隧道中傳輸。

這里所說的隧道類似于點到點的連接。這種方式能夠使來自許多信息源的網(wǎng)絡(luò)業(yè)務(wù)在同一個基礎(chǔ)設(shè)施中通過不同的隧道進行傳輸。隧道技術(shù)使用點對點通信協(xié)議代替了交換連接，通過路由網(wǎng)絡(luò)來連接數(shù)據(jù)地址。隧道技術(shù)允許授權(quán)移動用戶或已授權(quán)的用戶在任何時間、任何地點訪問企業(yè)網(wǎng)絡(luò)。

通過隧道的建立，可實現(xiàn):

* 將數(shù)據(jù)流強制送到特定的地址

* 隱藏私有的網(wǎng)絡(luò)地址

* 在IP網(wǎng)上傳遞非IP數(shù)據(jù)包

* 提供數(shù)據(jù)安全支持

進入21世紀以來出現(xiàn)了一些新的隧道技術(shù)，并在不同的系統(tǒng)中得到運用和拓展。

IP安全協(xié)議(IPSec:IP Security)實際上是一套協(xié)議包而不是一個獨立的協(xié)議，這一點對于我們認識IPSec是很重要的。從1995年開始IPSec的研究以來，IETF IPSec工作組在它的主頁上發(fā)布了幾十個Internet草案文獻和12個RFC文件。其中，比較重要的有RFC2409 IKE(互連網(wǎng)密鑰交換)、RFC2401 IPSec協(xié)議、RFC2402 AH驗證包頭、RFC2406 ESP加密數(shù)據(jù)等文件。

IPSec安全體系包括3個基本協(xié)議:AH協(xié)議為IP包提供信息源驗證和完整性保證;ESP協(xié)議提供加密機制;密鑰管理協(xié)議(ISAKMP)提供雙方交流時的共享安全信息。ESP和AH協(xié)議都有相關(guān)的一系列支持文件，規(guī)定了加密和認證的算法。最后，解釋域(DOI)通過一系列命令、算法、屬性和參數(shù)連接所有的IPSec組文件。

隧道技術(shù)應(yīng)用VPN是Internet技術(shù)迅速發(fā)展的產(chǎn)物，其簡單的定義是，在公用數(shù)據(jù)網(wǎng)上建立屬于自己的專用數(shù)據(jù)網(wǎng)。也就是說不再使用長途專線建立專用數(shù)據(jù)網(wǎng)，而是充分利用完善的公用數(shù)據(jù)網(wǎng)建立自己的專用網(wǎng)。它的優(yōu)點是，既可連到公網(wǎng)所能達到的任何地點，享受其保密性、安全性和可管理性，又降低網(wǎng)絡(luò)的使用成本。

VPN依靠Internet服務(wù)提供商(ISP)和其他的網(wǎng)絡(luò)服務(wù)提供商(NSP)在公用網(wǎng)中建立自己的專用"隧道"，不同的信息來源，可分別使用不同的"隧道"進行傳輸。

新出臺的標準ISE CHEIP6版保證用戶數(shù)據(jù)的安全加密。由于用戶對企業(yè)網(wǎng)傳輸個人數(shù)據(jù)很敏感，因此集成度更高的VPN技術(shù)不久將會流行起來。

隨著隧道技術(shù)的發(fā)展，各種業(yè)務(wù)已經(jīng)開始根據(jù)本業(yè)務(wù)的特點制定相應(yīng)的隧道協(xié)議。GPRS(General Packet Radio Service)中的隧道協(xié)議GTP(GPRS Tunnel Protocol)就是一例。

GPRS是GSM提供的分組交換和分組傳輸方式的新的承載業(yè)務(wù)，可以應(yīng)用在PLMN(Public Land Mobile Network)內(nèi)部或應(yīng)用在GPRS網(wǎng)與外部互聯(lián)分組數(shù)據(jù)網(wǎng)(IP、X.25)之間的分組數(shù)據(jù)傳送，GPRS能提供到現(xiàn)有數(shù)據(jù)業(yè)務(wù)的無縫連接。它在GSM網(wǎng)絡(luò)中增加了兩個節(jié)點:服務(wù)GPRS支持節(jié)點(SGSN─serving GPRS support node)和網(wǎng)關(guān)GPRS支持節(jié)點(GGSN─Gateway GPRS support node)。

SGSN是GPRS骨干網(wǎng)與無線接入網(wǎng)之間的接口，它將分組交換到正確的基站子系統(tǒng)(BSS)。其任務(wù)包括提供對移動臺的加密、認證、會話(session)管理、移動性管理和邏輯鏈路管理。它也提供到HLR等數(shù)據(jù)庫的連接。

通過GPRS隧道協(xié)議可為多種協(xié)議的數(shù)據(jù)分組通過GPRS骨干網(wǎng)提供隧道。GTP根據(jù)所運載的協(xié)議需求，利用TCP或UDP協(xié)議來分別提供可靠的連接(如支持X.25的分組傳輸)和無連接服務(wù)(如IP分組)。

將一個幀封裝到不同類型的幀中，就成為隧道技術(shù)。

為了在TCP/IP網(wǎng)絡(luò)中傳輸其他協(xié)議的數(shù)據(jù)包，Linux采用了一種IP隧道技術(shù)。在已經(jīng)使用多年的橋接技術(shù)中就是通過在源協(xié)議數(shù)據(jù)包上再套上一個IP協(xié)議帽來實現(xiàn)。

利用IP隧道傳送的協(xié)議包也包括IP數(shù)據(jù)包，Linux的IPIP包封指的就是這種情況。移動IP(Mobile-IP)和IP多點廣播(IP-Multicast)是兩個流行的例子。IP隧道技術(shù)在VPN中也顯示出極大的魅力。

移動IP是在全球Internet上提供移動功能的一種服務(wù)，它允許節(jié)點在切換鏈路時仍可保持正在進行的通信。它提供了一種IP路由機制，使移動節(jié)點以一個永久的IP地址連接到任何鏈路上。與特定主機路由技術(shù)和數(shù)據(jù)鏈路層方案不同，移動IP還要解決安全性和可靠性問題，并與傳輸媒介無關(guān)。移動IP的可擴展性使其可以在整個互聯(lián)網(wǎng)上應(yīng)用。

這里指的隧道技術(shù)，是指基于IPv4隧道來傳送IPv6數(shù)據(jù)報文的隧道技術(shù)。為了實現(xiàn)在IPv4海洋中傳遞IPv6信息，可以將IPv4作為隧道載體，將IPv6報文整個封裝在IPv4數(shù)據(jù)報文中，使IPv6報文能夠穿透IPv4海洋到達另一個IPv6小島。

關(guān)于這個技術(shù)來打個比方，一個快遞公司收件之后，發(fā)現(xiàn)目的地自己沒有站點，無法投送，則將此包裹轉(zhuǎn)交給能到達目的地的快遞公司(例如中國郵政)來投遞。也就是說將快遞公司已經(jīng)封裝好的包裹(類似于IPv6報文)，外面再用中國郵政的包裝再封裝一次(類似于封裝成IPv4報文)，以便于這個包裹能在中國郵政的系統(tǒng)(IPv4海洋)中被正常投遞。

隧道技術(shù)比雙協(xié)議棧技術(shù)和協(xié)議轉(zhuǎn)換技術(shù)(也都是用來進行IPv4和IPv6轉(zhuǎn)換和過渡的技術(shù))更復(fù)雜些，它的工作過程如下圖所示。

采用這種方式需要管理員在網(wǎng)絡(luò)的兩端進行配置，即在隧道的入口和出口進行參數(shù)設(shè)置，這種方式對管理員要求較高，管理工作量大，容易出錯，所以一般在隧道數(shù)量不多的時候采用。