Báo cáo thực tập: nghiên cứu về VPN
Bạn đang xem bản rút gọn của tài liệu. Xem và tải ngay bản đầy đủ của tài liệu tại đây (1.95 MB, 58 trang )
Lời nói đầu
Hiện tại, Internet đã phát triển mạnh mẽ cả về mặt mô hình lẫn tổ chức, đáp ứng khá
đầy đủ các nhu cầu của người sử dụng. Internet đã được thiết kế để kết nối nhiều mạng
với nhau và cho phép thông tin chuyển đến người sử dụng một cách tự do và nhanh
chóng. Để làm được điều này người ta sử dụng một hệ thống các thiết bị định tuyến
(router) để kết nối các LAN và WAN với nhau. Các máy tính được kết nối vào Internet
thông qua các nhà cung cấp dịch vụ (ISP – Internet Service Provider). Điều mà kỹ
thuật còn tiếp tục phải giải quyết là năng lực truyền thông của các mạng viễn thông
công cộng. Với Internet, những dịch vụ như đào tạo từ xa, mua hàng trực tuyến, tư vấn
các lĩnh vực và rất nhiều điều khác đã trở thành hiện thực. Tuy nhiên do Internet có
phạm vi toàn cầu và không một tổ chức, chính phủ cụ thể nào quản lý nên rất khó khăn
trong việc bảo mật và an toàn dữ liệu cũng như trong việc quản lý các dịch vụ. Từ đó
người ta đã đưa ra một mô hình mạng mới nhằm thoã mãn những yêu cầu trên mà vẫn
có thể tận dụng lại những cơ sở hạ tầng hiện có của Internet, đó chính là mô hình mạng
riêng ảo (Virtual Private Network – VPN). Với mô hình mới này, người ta không phải
đầu tư thêm nhiều về cơ sở hạ tầng mà các tính năng như bảo mật và độ tin cậy vẫn
được đảm bảo, đồng thời có thể quản lý riêng được sự hoạt động của mạng này. VPN
cho phép người sử dụng làm việc tại nhà riêng, trên đường đi hoặc các văn phòng chi
nhánh có thể kết nối an toàn đến máy chủ của tổ chức mình bằng cơ sở hạ tầng được
cung cấp bởi mạng công cộng. Nó cũng có thể đảm bảo an toàn thông tin giữa các đại
lý, nhà cung cấp và các đối tác kinh doanh với nhau trong môi trường truyền thông
rộng lớn. Trong nhiều trường hợp, VPN cũng giống như WAN (Wire Area Network),
tuy nhiên đặc tính quyết định của VPN là chúng có thể dùng mạng công cộng như
Internet mà vẫn đảm bảo tính riêng tư và tiết kiệm chi phí.
1
Lời cảm ơn!
Trong thời gian thực tập gần hai tháng tại Trường Đại Học Công Nghiệp Hà Nội
chúng em đã nhận được sự chỉ bảo và giúp đỡ tận tình của các thầy cô giáo
trong trường nói chung và các thầy cô trong khoa CNTT nói riêng. Chúng em
xin gửi lời cảm ơn đến các thầy cô Trường Đại Học Công Nghiệp Hà Nội đã
giúp đỡ chúng em trong thời gian thực tập.
Đồng thời, chúng em cũng xin đặc biệt gửi lời cảm ơn tới thầy Nguyễn Thanh Hải đã
hướng dẫn chúng em trong suốt thời gian thực tập. Tạo cơ hội cho chúng em
được tiếp xúc thực tế với ngành nghề và cung cấp tài liệu để chúng em hoàn
thành bài báo cáo này.
Chúng em xin chân thành cảm ơn!
Nhóm SV KHMT2 – KHMT4 – K5
Khoa CNTT, Đại Học Công Nghiệp Hà Nội
2
MỤC LỤC
Lời mở đầu ..............................................................................................................1
Lời cảm ơn ...............................................................................................................2
Mục lục ....................................................................................................................3
Chương 1
TỔNG QUAN VỀ VPN
1.1 MỞ ĐẦU ..........................................................................................................4
1.1.1. Định nghĩa VPN ..........................................................................................4
1.1.2. Lợi ích của VPN ..........................................................................................5
1.1.3. Các chức năng cơ bản của VPN ..................................................................5
1.2. ĐỊNH NGHĨA ĐƯỜNG HẦM VÀ MÃ HÓA .............................................6
1.2.1. Đường hầm và cấu trúc gói tin ...................................................................6
1.2.2. Mã hoá và giải mã (Encryption/Decryption) ..............................................7
1.2.3. Một số thuật ngữ sử dụng trong VPN .........................................................7
1.3. CÁC DẠNG KẾT NỐI MẠNG RIÊNG ẢO ...............................................8
1.3.1. Truy cập VPN từ xa (Remote Access VPN) ...............................................8
1.3.1.1. Một số thành phần chính của Remote Access VPN ..............................8
1.3.1.2. Ưu và nhược điểm của Remote Access VPN ........................................9
1.3.2. Site-to-Site VPN (LAN-to-LAN) .............................................................10
1.3.2.1. Intranet VPN ........................................................................................11
1.3.2.2. Extranet VPN (VPN mở rộng) .............................................................12
CHƯƠNG 2 CÁC GIAO THỨC TRONG VPN
2.1. CÁC GIAO THỨC ĐƯỜNG HẦM ...........................................................14
2.1.1. Giao thức chuyển tiếp lớp 2 (L2F-Layer 2 Forwarding Protocol)............15
2.1.2. Giao thức PPTP (Point-to-Point Tunneling Protocol) ..............................17
2.1.2.1. Khái quát hoạt động của PPTP ............................................................19
2.1.2.2. Duy trì đường hầm bằng kết nối điều khiển PPTP ..............................20
2.1.2.3. Đóng gói dữ liệu đường hầm PPTP .....................................................20
2.1.2.4. Ưu và nhược điểm của PPTP ...............................................................21
2.1.3.GT định đường hầm lớp 2(L2TP - Layer2TunnelingProtocol)..................26
2.1.3.1. Duy trì đường hầm bằng bản tin điều khiển L2TP ..............................27
3
2.1.3.2. Đóng gói dữ liệu đường hầm L2TP......................................................24
2.1.3.3. Xử lý dữ liệu tại đầu cuối đường hầm L2TP trên nền IPSec ..............25
2.1.3.4. Các thành phần của hệ thống VPN dựa trên L2TP..............................25
2.1.3.5. Ưu và nhược điểm của L2TP ...............................................................26
2.2. BỘ GIAO THỨC IPSEC (IP SECURITY PROTOCOL) ......................26
2.2.1. Cấu trúc bảo mật .......................................................................................27
2.2.2. Hiện trạng ..................................................................................................27
2.2.3. Chế độ làm việc của IPSec .......................................................................27
2.2.3.1. Chế độ truyền tải (Transport Mode)....................................................27
2.2.3.2. Chế độ đường hầm (Tunnel Mode) .....................................................28
2.2.4. Các thành phần bên trong IPSec ...............................................................28
2.2.4.1. Giao thức đóng gói tải tin an toàn ESP................................................28
2.2.4.2. Giao thức chứng thực đầu mục AH .....................................................30
2.2.4.3. Giao thức trao đổi chìa khoá Internet (IKE).........................................33
2.2.5. Các vấn đề còn tồn tại trong IPSec ...........................................................36
THUẬT NGỮ VÀ CÁC TỪ VIẾT TẮT .............................................................37
Các mô hình VPN thông thường ......................................................................39
3.TRIỂN KHAI MÔ HÌNH Remote Access VPN............................................39
4.CẤU HÌNH VPN SERVER BẰNG GIAO THỨC SITE TO SITE ............46
5.KẾT LUẬN........................................................................................................55
6.HƯỚNG PHÁT TRIỂN CỦA ĐỀ TÀI ..........................................................56
7.TÀI LIỆU THAM KHẢO................................................................................57
4
CHƯƠNG I
TỔNG QUAN VỀ VPN
1.1 MỞ ĐẦU
1.1.1. Định nghĩa VPN
VPN được hiểu đơn giản như là sự mở rộng của một mạng riêng (Private Network)
thông qua các mạng công cộng. Về căn bản, mỗi VPN là một mạng riêng rẽ sử dụng
một hạ tầng mạng chung (thường là Internet) để kết nối cùng với các site (các mạng
riêng lẻ) hay nhiều người sử dụng từ xa. Thay cho việc sử dụng kết nối thực, chuyên
dùng, mỗi VPN sử dụng các kết nối ảo được thiết lập qua Internet từ mạng riêng của
các Công ty tới các chi nhánh hay các nhân viên từ xa. Để có thể gửi và nhận dữ liệu
thông qua mạng công cộng mà vẫn bảo đảm tính an toàn và bảo mật, VPN cung cấp
các cơ chế mã hoá dữ liệu trên đường truyền, tạo ra một đường ống (tunnel) bảo mật
giữa nơi gửi và nơi nhận. Để có thể tạo ra một đường ống bảo mật đó, dữ liệu phải
được mã hoá, chỉ cung cấp phần đầu gói dữ liệu (header) là thông tin về đường đi cho
phép nó có thể đi đến đích thông qua mạng công cộng một cách nhanh chóng. Dữ liệu
được mã hoá một cách cẩn thận do đó nếu các packet bị xem lén trên đường truyền
công cộng thì cũng không thể đọc được nội dung vì không có khoá để giải mã. Các
đường kết nối VPN thường được gọi là đường ống VPN (tunnel).
Hình 1.1 – Một mô hình mạng VPN
1.1.2. Lợi ích của VPN
VPN cung cấp nhiều đặc tính hơn so với những mạng truyền thông và những mạng
leased-line. Những lợi ích đầu tiên bao gồm:
Chi phí thấp hơn những mạng riêng: VPN có thể giảm chi phí từ 20 đến 40% so
với những mạng sử dụng leased-line và giảm chi phí trong việc truy cập từ xa
từ 40 đến 60%
5
Tính linh hoạt trong kết nối.
Tăng tính bảo mật: Các dữ liệu quan trọng sẽ được che giấu đối với những
người không có quyền truy cập.
Hỗ trợ các giao thức mạng thông dụng nhất hiện nay là TCP/IP.
Bảo mật địa chỉ IP: Bởi vì thông tin được gửi đi trên VPN đã được mã hoá, do
đó các địa chỉ bên trong mạng riêng được che giấu và chỉ sử dụng các địa chỉ
bên ngoài Internet.
1.1.3. Các chức năng cơ bản của VPN:
VPN cung cấp 4 chức năng chính:
Sự tin cậy và bảo mật (confidentiality): Người gửi có thể mã hoá các gói dữ liệu
trước khi truyền chúng ngang qua mạng. Bằng cách này, không một ai có thể
truy nhập thông tin mà không được phép, mà nếu như có lấy được thông tin thì
cũng không thể đọc được vì thông tin đã được mã hoá.
Tính toàn vẹn dữ liệu (Data Integrity): Người nhận có thể kiểm tra rằng dữ liệu
được truyền qua mạng Internet mà không có sự thay đổi nào.
Xác thực nguồn gốc (Origin Authentication): Người nhận có thể xác thực
nguồn gốc của gói dữ liệu, đảm bảo và công nhận nguồn thông tin.
Điều khiển truy nhập (Access Control): VPN có thể phân biệt giữa những người
dùng hợp lệ và trái phép bằng nhiều cách như dựa vào chính sách bảo mật, sự
chứng thực...
1.2. ĐỊNH NGHĨA ĐƯỜNG HẦM VÀ MÃ HÓA
Chức năng chính của một mạng riêng ảo (VPN) là cung cấp sự bảo mật thông tin bằng
cách mã hoá và chứng thực qua một đường hầm (Tunnel).
1.2.1. Đường hầm và cấu trúc gói tin
Cung cấp các kết nối logic, vận chuyển các gói dữ liệu đã được mã hoá bằng một
đường hầm riêng biệt qua mạng IP, điều đó làm tăng tính bảo mật thông tin vì dữ liệu
sau khi mã hoá sẽ lưu chuyển trong một đường hầm được thiết lập giữa người gửi và
người nhận, do đó sẽ tránh được sự nhòm ngó, xem trộm thông tin. Các giao thức định
đường hầm được sử dụng trong VPN như sau:
L2F (Layer 2 Forwarding): Được Cisco phát triển.
PPTP (Point-to-Point Tunneling Protocol): Được PPTP Forum phát triển, giao
thức này hỗ trợ mã hóa 40 bit và 128 bit.
L2TP (Layer 2 Tunneling Protocol): Là sản phẩm của sự hợp tác giữa các thành
viên PPTP Forum, Cisco và IETF. L2TP kết hợp các tính năng của cả PPTP và
L2F.
6
IPSec (IP Security): Được phát triển bởi IETF. Mục đích chính của việc phát
triển IPSec là cung cấp một cơ cấu bảo mật ở lớp 3 (network layer) trong mô
hình OSI.
GRE (Generic Routing Encapsulation): Đây là giao thức truyền thông đóng gói IP và
các dạng gói dữ liệu khác bên trong đường ống. Giống như IPSec, GRE hoạt động ở
tầng 3 của mô hình tham chiếu OSI, tuy nhiên GRE không mã hóa thông tin.
1.2.2. Mã hoá và giải mã (Encryption/Decryption):
Mã hóa là quá trình biến đổi nội dung thông tin nguyên bản ở dạng đọc được (clear
text hay plain text) thành một dạng văn bản mật mã vô nghĩa không đọc được
(cyphertex), vì vậy nó không có khả năng đọc được hay khả năng sử dụng bởi những
người dùng không được phép. Giải mã là quá trình ngược lại của mã hoá, tức là biến
đổi văn bản đã mã hoá thành dạng đọc được bởi những người dùng được phép.
1.2.3. Một số thuật ngữ sử dụng trong VPN:
Hệ thống mã hoá (CryptoSystem): Là một hệ thống để thực hiện mã hoá hay giải
mã, xác thực người dùng, băm (hashing) và các quá trình trao đổi khoá, một hệ
thống mã hoá có thể sử dụng một hay nhiều phương thức khác nhau tuỳ thuộc vào
yêu cầu cho một vài loại traffic cụ thể.
Hàm băm (hashing): Là một kỹ thuật đảm bảo tính toàn vẹn dữ liệu, nó sử dụng
một công thức hoặc một thuật toán để biến đổi một bản tin có chiều dài thay đổi và
một khoá mật mã công cộng vào trong một chuỗi đơn các số liệu có chiều dài cố
định. Bản tin hay khoá và hash di chuyển trên mạng từ nguồn tới đích. Ở nơi nhận,
việc tính toán lại hash được sử dụng để kiểm tra rằng bản tin và khoá không bị thay
đổi trong khi truyền trên mạng.
Xác thực (Authentication): Là quá trình của việc nhận biết một người sử dụng hay
quá trình truy cập hệ thống máy tính hoặc kết nối mạng. Xác thực đảm bảo chắc
chắn rằng cá nhân hay một tiến trình là hợp lệ.
Cho phép (Authorization): Là hoạt động kiểm tra thực thể nào đó có được phép
thực hiện những quyền hạn cụ thể nào.
Quản lý khoá (Key management): Một khoá thông tin, thường là một dãy ngẫu
nhiên hoặc trông giống như các số nhị phân ngẫu nhiên, được sử dụng ban đầu để
thiết lập và thay đổi một cách định kỳ sự hoạt động trong một hệ thống mật mã.
Quản lý khoá là sự giám sát và điều khiển tiến trình nhờ các khoá được tạo ra. Các
công việc chính có thể là cất giữ, bảo vệ, biến đổi, tải lên, sử dụng hay loại bỏ.
Dịch vụ chứng thực CA (Certificate of Authority): Một dịch vụ được tin tưởng để
bảo mật quá trình truyền tin giữa các thực thể mạng hoặc người dùng bằng cách tạo
ra và gán các chứng nhận số như các chứng nhận khoá công cộng cho mục đích mã
7
hoá. Một CA đảm bảo cho sự liên kết giữa các thành phần bảo mật trong chứng
nhận.
IKE (Internet Key Exchange): Là giao thức chịu trách nhiệm trao đổi khóa giữa hai
điểm kết nối VPN. IKE hỗ trợ ba kiểu xác thực là dùng khóa biết trước (pre-share
key), RSA và RSA signature. IKE lại dùng hai giao thức là Oakley Key Exchange
(mô tả kiểu trao đổi chìa khoá) và Skeme Key Exchange (định nghĩa kỹ thuật trao
đổi chìa khoá), mỗi giao thức định nghĩa một cách thức để thiết lập sự trao đổi
khoá xác thực, bao gồm cấu trúc tải tin, thông tin mà các tải tin mang, thứ tự các
khoá được xử lý và các khoá được sử dụng như thế nào.
AH (Authentication Header): Là giao thức bảo mật giúp xác thực dữ liệu, bảo đảm
tính toàn vẹn dữ liệu và các dịch vụ “anti-replay” (dịch vụ bảo đảm tính duy nhất
của gói tin). AH được nhúng vào trong dữ liệu để bảo vệ.
ESP (Encapsulation Security Payload): Là một giao thức bảo mật cung cấp sự tin cậy
của dữ liệu, đảm bảo tính toàn vẹn dữ liệu và xác thực nguồn gốc dữ liệu. ESP đóng
gói dữ liệu để bảo vệ.
1.3. CÁC DẠNG KẾT NỐI MẠNG RIÊNG ẢO
1.3.1. Truy cập VPN từ xa (Remote Access VPN)
Remote Access VPN cho phép các người dùng ở xa sử dụng VPN client để truy cập
vào mạng Intranet của Công ty thông qua Gateway hoặc VPN concentrator (bản chất
là một server). Vì vậy, giải pháp này thường được gọi là client/server. Trong giải pháp
này, người dùng thường sử dụng các công nghệ WAN truyền thống để tạo ra các
tunnel về mạng trung tâm của họ.
1.3.1.1. Một số thành phần chính của Remote Access VPN
Remote Access Server (RAS): Thiết bị này được đặt tại trung tâm và có nhiệm
vụ xác thực và chứng nhận các yêu cầu gửi tới sau đó thiết lập kết nối.
8
Hình 1.3 – Mô hình non-VPN Remote Access
Remote Access Client: Bằng việc triển khai Remote Access VPN qua Internet,
những người dùng từ xa hoặc các văn phòng chi nhánh chỉ cần thiết lập một kết
nối cục bộ đến nhà cung cấp dịch vụ Internet, sau đó có thể kết nối đến tài
nguyên của doanh nghiệp thông qua Remote Access VPN. Mô hình Remote
Access VPN được mô tả như hình dưới đây:
Hình 1.4 – Mô hình Remote Access VPN
9
1.3.1.2. Ưu và nhược điểm của Remote Access VPN
Ưu điểm Remote Access VPN:
-
VPN truy nhập từ xa không cần đến sự hỗ trợ của quản trị mạng bởi
các kết nối từ xa do các nhà cung cấp dịch vụ Internet đảm nhiệm.
-
Giảm giá thành chi phí kết nối với khoảng cách xa vì các kết nối của
VPN truy nhập từ xa chính là các kết nối Internet.
-
VPN cung cấp khả năng truy cập đến trung tâm tốt hơn bởi vì nó hỗ
trợ dịch vụ truy cập ở mức độ tối thiểu.
Nhược điểm của Remote Access VPN:
-
Remote Access VPN cũng không đảm bảo được chất lượng dịch vụ
(QoS).
-
Khả năng mất dữ liệu là rất cao, thêm nữa là các phân đoạn của gói
dữ liệu có thể bị thất thoát.
-
Do độ phức tạp của thuật toán mã hoá nên gây khó khăn cho quá
trình xác nhận.
1.3.2. Site-to-Site VPN (LAN-to-LAN)
Site-to-Site VPN là giải pháp kết nối các hệ thống mạng ở những địa điểm khác nhau
với mạng trung tâm thông qua VPN. Trong trường hợp này, quá trình xác thực ban đầu
cho người sử dụng là quá trình xác thực giữa các thiết bị. Các thiết bị này hoạt động
như cổng an ninh (security gateway), truyền dẫn lưu lượng một cách an toàn từ site
này tới site kia. Các bộ định tuyến hay tường lửa hỗ trợ VPN đều có khả năng thực
hiện kết nối này. Sự khác nhau giữa Site-to-Site VPN và Remote Access VPN chỉ
mang tính tượng trưng. Nhiều thiết bị VPN mới có thể hoạt động theo cả hai cách này.
Hình 1.5 – Mô hình Site–to–Site VPN
Site-to-Site VPN có thể được xem như là Intranet VPN hoặc Extranet VPN xét
theo quan điểm chính sách quản lý. Nếu hạ tầng mạng có chung một nguồn quản lý, nó
10
có thể được xem như Intranet VPN, ngược lại, nó có thể được coi là Extranet VPN.
Việc truy nhập giữa các điểm phải được kiểm soát chặt chẽ bởi các thiết bị tương ứng.
1.3.2.1. Intranet VPN
Hình 1.6 – Mô hình Intranet VPN
Intranet VPN hay còn gọi là VPN cục bộ là một mô hình tiêu biểu của Site-to-Site
VPN, dạng kết nối này được sử dụng để bảo mật các kết nối giữa địa điểm khác nhau
của một công ty hay doanh nghiệp. Nó liên kết trụ sở chính và các văn phòng chi
nhánh trên một cơ sở hạ tầng chung sử dụng các kết nối luôn được mã hóa bảo mật.
Điều này cho phép tất cả các điểm có thể truy nhập an toàn các nguồn dữ liệu được
phép trong toàn công ty.
Intranet VPN cung cấp những đặc tính của mạng WAN như khả năng mở rộng, tính tin
cậy và hỗ trợ nhiều kiểu giao thức khác nhau với chi phí thấp nhưng vẫn đảm bảo tính
mềm dẻo.
Những ưu điểm chính của giải pháp này bao gồm:
- Các mạng cục bộ hoặc diện rộng có thể được thiết lập thông qua một hay
nhiều nhà cung cấp dịch vụ Internet.
- Giảm được nhân lực hỗ trợ kỹ thuật mạng đối với các chi nhánh ở xa.
- Do kết nối trung gian được thực hiện thông qua Internet nên nó có thể dễ
dàng thiết lập thêm một liên kết ngang hàng mới.
- Tiết kiệm chi phí từ việc sử dụng đường hầm VPN thông qua Internet kết
hợp với các công nghệ chuyển mạch tốc độ cao.
Tuy nhiên, giải pháp Intranet VPN cũng có những nhược điểm nhất định như:
- Do dữ liệu được truyền qua mạng công cộng (mặc dù đã được mã hóa) nên
vẫn còn những mối đe dọa về mức độ bảo mật dữ liệu và chất lượng dịch vụ
(QoS).
11
- Khả năng các gói dữ liệu bị thất thoát trong khi truyền là khá cao.
- Trong trường hợp cần truyền khối lượng lớn dữ liệu như đa phương tiện với
yêu cầu tốc độ cao và đảm bảo thời gian thực là một thách thức lớn trong
môi trường Internet.
1.3.2.2. Extranet VPN (VPN mở rộng)
Giải pháp VPN mở rộng cung cấp khả năng điều khiển truy nhập tới những nguồn tài
nguyên mạng cần thiết để mở rộng tới những đối tượng kinh doanh. Sự khác nhau giữa
VPN nội bộ và VPN mở rộng là sự truy nhập mạng được công nhận ở một trong hai
đầu cuối của VPN.
Hình 1.7 – Mô hình Extranet VPN
Những ưu điểm chính của VPN mở rộng bao gồm:
- Chi phí cho VPN mở rộng thấp hơn nhiều so với các giải pháp kết nối khác
để cùng đạt được một mục đích như vậy.
- Dễ dàng thiết lập, bảo trì và thay đổi với mạng đang hoạt động.
- Do VPN mở rộng được xây dựng dựa trên Internet nên có nhiều cơ hội trong
việc cung cấp dịch vụ và lựa chọn giải pháp phù hợp với nhu cầu cụ thể của
từng công ty.
- Các kết nối Internet được các ISP bảo trì nên có thể giảm số lượng nhân viên
kỹ thuật hỗ trợ mạng, do đó sẽ giảm được chi phí vận hành của toàn mạng.
Bên cạnh những ưu điểm trên, giải pháp VPN mở rộng cũng có những nhược điểm
nhất định như:
12
- Vấn đề bảo mật thông tin gặp khó khăn hơn trong môi trường mở rộng như
vậy, điều này làm tăng nguy cơ rủi ro đối với mạng cục bộ của công ty.
- Khả năng thất thoát dữ liệu trong khi truyền qua mạng công cộng vẫn tồn tại.
- Việc truyền khối lượng lớn dữ liệu với yêu cầu tốc độ cao và thời gian thực
vẫn còn là một thách thức lớn cần giải quyết.
Tóm tắt chương 1
Trong chương này, chúng ta đã giới thiệu qua về các khái niệm cũng như định nghĩa
về VPN, các chức năng chính, các mô hình kết nối và lợi ích của VPN, tiếp theo là
khái niệm an toàn và bảo mật trên Internet. Chương này cũng định nghĩa sơ bộ về khái
niệm “đường hầm - tunnel” và “mã hóa - encrypt” đồng thời nêu ra một số thuật ngữ
thường dùng trong VPN.
Phần 3 của chương đã giới thiệu một số mô hình kết nối mạng riêng ảo, đồng thời
đánh giá ưu và nhược điểm của từng mô hình kết nối.
Trong chương tiếp theo, chúng ta sẽ tìm hiểu kỹ hơn các giao thức chủ yếu được sử
dụng trong VPN đồng thời so sánh ưu và nhược nhược điểm của từng giao thức, qua
đó có thể căn cứ vào từng yêu cầu cụ thể để lựa chọn giải pháp xây dựng một mạng
VPN thích hợp.
13
CHƯƠNG 2
CÁC GIAO THỨC TRONG VPN
Trong VPN có 4 giao thức chính để thiết lập một “mạng riêng ảo” hoàn chỉnh đó là:
L2F - Layer 2 Forwarding Protocol
PPTP - Point-to-Point Tunneling Protocol
L2TP - Layer 2 Tunneling Protocol
IPSec - IP Security
Ngoài ra còn một số giao thức khác, tuy nhiên những giao thức này ít được sử dụng
bởi sự bất cập của nó đã được phát hiện trong quá trình triển khai. Tuỳ theo từng lớp
ứng dụng cụ thể mà mỗi giao thức đều có ưu và nhược điểm khác nhau khi triển khai
vào mạng VPN, việc quan trọng là người thiết kế phải kết hợp các giao thức một cách
mềm dẻo.
2.1. CÁC GIAO THỨC ĐƯỜNG HẦM
Các giao thức đường hầm là nền tảng của công nghệ VPN, có nhiều giao thức
đường hầm khác nhau, việc sử dụng giao thức nào liên quan đến các phương pháp xác
thực và mã hóa đi kèm. Như đã giới thiệu ở trên, các giao thức đường hầm phổ biến
hiện nay là:
L2F - Layer 2 Forwarding Protocol
PPTP - Point-to-Point Tunneling Protocol
L2TP - Layer 2 Tunneling Protocol
2.1.1. Giao thức chuyển tiếp lớp 2 (L2F - Layer 2 Forwarding Protocol)
Giao thức L2F là một kỹ thuật được nghiên cứu và phát triển trong các hệ thống mạng
của Cisco dựa trên giao thức PPP - Point to Point Protocol (là một giao thức truyền
thông nối tiếp lớp 2), L2F cho phép máy tính của người dùng truy nhập vào mạng
Intranet của một tổ chức xuyên qua cơ sở hạ tầng mạng công cộng Internet với sự an
toàn cao. Tương tự như giao thức định đường hầm điểm tới điểm PPTP, giao thức L2F
cho phép truy nhập mạng riêng ảo một cách an toàn xuyên qua cơ sở hạ tầng mạng
công cộng bằng cách tạo ra một đường hầm giữa hai điểm kết nối.
Sự khác nhau cơ bản giữa hai giao thức PPTP và L2F là PPTP chỉ hỗ trợ IP, IPX,
NetBIOS và NetBEUI, còn L2F định đường hầm không tuỳ thuộc vào mạng IP, L2F
có thể làm việc với nhiều công nghệ mạng khác nhau như: Frame Relay, ATM,
FDDI...
14
L2F hỗ trợ việc định đường hầm cho hơn một kết nối. L2F có thể làm được điều này
trong khi nó định nghĩa những kết nối bên trong đường hầm, đây là một đặc điểm hữu
ích của L2F trong trường hợp ở nơi có nhiều người sử dụng truy nhập từ xa mà chỉ có
duy nhất một kết nối được thoả mãn yêu cầu.
Hình 2.1 – Mô hình kết nối VPN sử dụng L2F
L2F sử dụng giao thức PPP để chứng thực giống như giao thức PPTP, tuy nhiên L2F
còn hỗ trợ chứng thực người dùng quay số từ xa RADIUS (Remote Authentication
Dial-up User Service) và hệ thống điều khiển giám sát đầu cuối TACACS+ (Terminal
Access Controller Access Control System). Với giao thức L2F, một sự an toàn đầy đủ
giữa hai điểm kết nối VPN có thể được tạo ra và sử dụng, nó là một giải pháp khá
mềm dẻo và đáng tin cậy.
Cấu trúc gói L2F
1bit 1bit 1bit 1bit
F
K
P
S
8bit
1bit
3 bit
8 bit
8bit
Reserved
C
Version
Protocol
Sequence
Multiplex IP
Client ID
Length
Offset
Key
Data
Checksum
Hình 2.2 – Khuôn dạng gói của L2F
Ý nghĩa các trường trong gói L2F như sau:
-
F: chỉ định trường Offset có mặt
-
K: chỉ định trường Key có mặt
-
P: thiết lập độ ưu tiên (Priority) cho gói
-
S: chỉ định trường Sequence có mặt
15
-
Reserved: luôn được đặt là 00000000
-
Version: phiên bản của L2F
-
Protocol: xác định giao thức đóng gói L2F
-
Sequence: số chuỗi được đưa ra nếu trong tiêu đề L2F có bit S = 1
-
Multiplex ID: nhận dạng một kết nối riêng trong một đường hầm
-
Client ID: giúp tách đường hầm tại những điểm cuối
-
Length: chiều dài của gói (tính bằng byte) không bao gồm phần Checksum
-
Offset: xác định số byte cách tiêu đề L2F, tại đó dữ liệu tải tin được bắt đầu.
-
Key: là một phần của quá trình xác thực (có mặt khi bit K = 1)
-
Checksum: tổng kiểm tra của gói (có mặt khi bit C = 1)
Hoạt động của L2F
L2F đóng gói những gói tin lớp 2 (trong trường hợp này là PPP), sau đó truyền
chúng xuyên qua mạng. Hệ thống sử dụng L2F gồm các thành phần sau:
Hình 2.3 – Mô hình hệ thống sử dụng L2F
-
Máy chủ truy nhập mạng (NAS – Network Access Server): hướng lưu lượng
đến và đi giữa máy khách ở xa (Remote client) và Home Gateway.
-
Đường hầm (Tunnel): định hướng đường đi giữa NAS và Home Gateway. Một
đường hầm có thể bao gồm một số kết nối.
-
Home Gateway: ngang hàng với NAS, là phần tử cửa ngõ thuộc mạng riêng.
-
Kết nối (Connection): là một kết nối PPP trong đường hầm.
-
Điểm đích (Destination): là điểm kết thúc ở đầu xa của đường hầm, trong
trường hợp này thì Home Gateway chính là điểm đích.
16
Các hoạt động của L2F bao gồm: thiết lập kết nối, định đường hầm và phiên
làm việc. Các bước cụ thể như sau:
-
Người sử dụng ở xa dial-up tới hệ thống NAS và khởi đầu một kết nối PPP tới
ISP.
-
Hệ thống NAS và máy khách trao đổi các gói giao thức điều khiển liên kết LCP
(Link Control Protocol).
-
NAS sử dụng cơ sử dữ liệu cục bộ liên quan tới tên miền hay xác thực RADIUS
để quyết định xem người sử dụng có hay không yêu cầu dịch vụ L2F.
-
Nếu người sử dụng yêu cầu L2F thì quá trình tiếp tục, NAS thu nhận địa chỉ của
Gateway đích.
-
Một đường hầm được thiết lập từ NAS tới Gateway đích nếu giữa chúng chưa
có đường hầm nào. Việc thành lập đường hầm bao gồm giai đoạn xác thực từ
ISP tới Gateway đích để chống lại tấn công bởi kẻ thứ 3.
-
Một kết nối PPP mới được tạo ra trong đường hầm, điều này có tác động kéo
dài phiên PPP từ người sử dụng ở xa tới Home Gateway. Kết nối này được thiết
lập như sau: Home Gateway tiếp nhận các lựa chọn và tất cả thông tin xác thực
PAP/CHAP như đã thỏa thuận bởi đầu cuối người sử dụng và NAS. Home
Gateway chấp nhận kết nối hay thỏa thuận lại LCP và xác thực lại người sử
dụng.
-
Khi NAS tiếp nhận lưu lượng dữ liệu từ người sử dụng, nó đóng gói lưu lượng
vào trong các khung L2F và hướng chúng vào trong đường hầm.
-
Tại Home Gateway, khung L2F được tách bỏ và dữ liệu đóng gói được hướng
tới mạng công ty.
Khi hệ thống đã thiết lập điểm đích, đường hầm và những phiên kết nối, ta phải
điều khiển và quản lý lưu lượng L2F như sau:
-
Ngăn cản tạo những điểm đích, đường hầm và phiên mới.
-
Đóng và mở lại tất cả hay chọn lựa những điểm đích, đường hầm và phiên.
-
Có khả năng kiểm tra tổng UDP.
-
Thiết lập thời gian rỗi cho hệ thống và lưu trữ cơ sở dữ liệu của các đường hầm
và kết nối.
Ưu và nhược điểm của L2F
Ưu điểm:
-
Cho phép thiết lập đường hầm đa giao thức
-
Được hỗ trợ bởi nhiều nhà cung cấp
Nhược điểm:
-
Không có mã hóa
17
-
Hạn chế trong việc xác thực người dùng
-
Không có điều khiển luồng cho đường hầm
2.1.2. Giao thức PPTP (Point-to-Point Tunneling Protocol)
PPTP là kết quả của sự nỗ lực chung giữa Microsoft và một loạt các nhà cung cấp thiết
bị mạng như 3Com, Ascend Communications, ECI Telematics và U.S Robotics. Ban
đầu, những công ty này thành lập PPTP Forum và đưa ra các thông số kỹ thuật mô tả
PPTP và sau đó được gửi đến IETF để được xem xét như là một tiêu chuẩn Internet
vào năm 1996. Ý tưởng cơ sở của giao thức này là tách các chức năng chung và riêng
của truy nhập từ xa, lợi dung cơ sở hạ tầng Internet sẵn có để tạo kết nối bảo mật giữa
người dùng ở xa và mạng riêng mà họ được phép truy nhập. Người dùng ở xa chỉ việc
kết nối tới nhà cung cấp dịch vụ Internet ở địa phương là có thể tạo đường hầm bảo
mật tới mạng riêng của họ.
Tương tự giao thức L2F, giao thức PPTP (Point-to-Point Tunneling Protocol) ban đầu
được phát triển và được thiết kế để giải quyết vấn đề tạo và duy trì các đường hầm
VPN trên các mạng công cộng dựa vào TCP/IP bằng cách sử dụng PPP. PPTP sử dụng
giao thức đóng gói định tuyến chung (GRE) được mô tả lại để đóng và tách gói PPP.
Giao thức này cho phép PPTP xử lý các giao thức khác không phải IP như IPX,
NetBEUI một cách mềm dẻo.
Hình 2.4 – Mô hình kết nối PPTP
2.1.2.1. Khái quát hoạt động của PPTP
PPP đã trở thành giao thức truy nhập Internet và các mạng IP rất phổ biến hiện nay, nó
làm việc ở lớp liên kết dữ liệu (Datalink Layer) trong mô hình OSI, PPP bao gồm các
phương thức đóng, tách gói cho các loại gói dữ liệu khác nhau để truyền nối tiếp, PPP
18
có thể đóng các gói tin IP, IPX và NetBEUI để truyền đi trên kết nối điểm – điểm từ
máy gửi đến máy nhận.
PPTP đóng gói các khung dữ liệu của giao thức PPP và các IP datagram để truyền qua
mạng IP (Internet hoặc Intranet). PPTP dùng một kết nối TCP (gọi là kết nối điều
khiển PPTP) để khởi tạo, duy trì, kết thúc đường hầm và một phiên bản của giao thức
GRE để đóng gói các khung PPP. Phần tải tin của khung PPP có thể được mật mã hóa
và/hoặc nén.
PPTP sử dụng PPP để thực hiện các chức năng:
-
Thiết lập và kết thúc kết nối vật lý
-
Xác thực người sử dụng
-
Tạo các gói dữ liệu PPP
PPTP giả định tồn tại một mạng IP giữa PPTP client và PPTP server. PPTP client có
thể được kết nối trực tiếp thông qua việc dial-up tới máy chủ truy nhập mạng NAS để
thiết lập kết nối IP. Khi một kết nối PPP được thiết lập thì người dùng thường đã được
xác thực, đây là giai đoạn tùy chọn trong PPP, tuy nhiên nó luôn được cung cấp bởi
các ISP.
Việc xác thực trong quá trình thiết lập kết nối dựa trên PPTP sử dụng các cơ chế xác
thực của kết nối PPP. Các cơ chế xác thực có thể là:
-
EAP (Extensible Authentication Protocol): giao thức xác thực mở rộng
-
CHAP (Challenge Handshake Authentication Protocol): giao thức xác thực đòi
hỏi bắt tay.
-
PAP (Password Authentication Protocol): giao thức xác thực mật khẩu.
Với PAP, mật khẩu được gửi qua kết nối dưới dạng văn bản đơn giản (clear text),
không có bảo mật. CHAP là một giao thức xác thực mạnh hơn sử dụng phương thức
bắt tay ba bước. CHAP chống lại các vụ tấn công quay lại bằng cách sử dụng các giá
trị thách đố (Challenge Value) duy nhất và không thể đoán trước được.
PPTP cũng thừa hưởng vật mật mã và/hoặc nén phần tải tin từ PPP. Để mật mã phần
tải tin, PPP có thể sử dụng phương thức mã hóa điểm – tới – điểm MPPE (Microsoft
Point to Point Encryption). MPPE chỉ cung cấp mật mã mức truyền dẫn, không cung
cấp mật mã đầu cuối đến đầu cuối. Nếu cần sử dụng mật mã đầu cuối đến đầu cuối thì
có thể sử dụng IPSec để mật mã lưu lượng IP giữa các đầu cuối sau khi đường hầm
PPTP đã được thiết lập.
Sau khi PPP thiết lập kết nối, PPTP sử dụng các qui luật đóng gói của PPP để đóng các
gói truyền trong đường hầm. Để tận dụng ưu điểm của kết nối tạo ra bởi PPP, PPTP
định nghĩa hai loại gói là gói điều khiển và gói dữ liệu, sau đó gán chúng vào hai kênh
riêng là kênh điều khiển và kênh dữ liệu. PPTP phân tách các kênh điều khiển và kênh
dữ liệu thành luồng điều khiển với giao thức TCP và luồng dữ liệu với giao thức IP.
19
Kết nối TCP tạo giữa máy trạm PPTP và máy chủ PPTP được sử dụng để truyền tải
thông báo điều khiển.
Các gói dữ liệu là dữ liệu thông thường của người dùng, các gói điều khiển được gửi
theo chu kỳ để lấy thông tin về trạng thái kết nối và quản lý báo hiệu giữa ứng dụng
khách PPTP và máy chủ PPTP. Các gói điều khiển cũng được dùng để gửi các thông
tin quản lý thiết bị, thông tin cấu hình giữa hai đầu đường hầm.
2.1.2.2. Duy trì đường hầm bằng kết nối điều khiển PPTP
Kết nối điều khiển PPTP là kết nối giữa địa chỉ IP của máy trạm PPTP (cổng TCP
được cấp phát ngẫu nhiên) và địa chỉ IP của máy chủ PPTP (sử dụng cổng mặc định là
1723). Kết nối điều khiển PPTP mang các bản tin điều khiển và quản lý được sử dụng
để duy trì đường hầm PPTP. Các bản tin này bao gồm PPTP echo-request và PPTP
echo-reply định kỳ để phát hiện các lỗi kết nối giữa máy trạm và máy chủ PPTP. Các
gói của kết nối điều khiển PPTP bao gồm tiêu đề IP, tiêu đề TCP, bản tin điều khiển
PPTP và tiêu đề, phần đuôi của lớp liên kết dữ liệu.
Tiêu đề liên
kết dữ liệu
Tiêu đề IP
Tiêu đề
TCP
Bản tin điều
khiển PPTP
Phần đuôi
liên kết dữ
liệu
Hình 2.5 – Gói dữ liệu kết nối điều khiển PPTP
2.1.2.3. Đóng gói dữ liệu đường hầm PPTP
Đóng gói khung PPP và GRE
Dữ liệu đường hầm PPTP được đóng gói thông qua nhiều mức, hình dưới đây mô tả
cấu trúc dữ liệu đã được đóng gói:
Tiêu đề
liên kết dữ
liệu
Tiêu đề
Tiêu đề
Tiêu đề
IP
GRE
PPP
Tải PPP được mã
hóa
(IP, IPX,
NetBEUI)
Phần đuôi
liên kết dữ
liệu
Hình 2.6 – Gói dữ liệu đường hầm PPTP
Phần tải của khung PPP ban đầu được mã hóa và đóng gói với tiêu đề PPP để tạo ra
khung PPP. Khung PPP sau đó được đóng gói với phần tiêu đề của phiên bản giao
thức GRE sửa đổi.
GRE là giao thức đóng gói chung, cung cấp cơ chế đóng gói dữ liệu để định tuyến qua
mạng IP. Đối với phần PPTP, phần tiêu đề của GRE được sửa đổi một số điểm như
sau:
20
-
Một trường xác nhận 32bit được thêm vào.
-
Một bit xác nhận được sử dụng để chỉ định sự có mặt của trường xác nhận
32bit.
-
Trường Key được thay thế bằng trường độ dài Payload 16bit và trường chỉ
số cuộc gọi 16bit. Trường chỉ số cuộc gọi được thiết lập bởi máy trạm PPTP
trong quá trình khởi tạo đường hầm PPTP.
Đóng gói IP
Phần tải PPP (đã được mật mã) và các tiêu đề GRE sau đó được đóng gói với một tiêu
đề IP chứa các thông tin địa chỉ nguồn và đích thích hợp cho máy trạm và máy chủ
PPTP.
Đóng gói lớp liên kết dữ liệu
Để có thể truyền qua mạng LAN hoặc WAN, gói IP cuối cùng sẽ được đóng gói
với một tiêu đề và phần đuôi của lớp liên kết dữ liệu ở giao diện vật lý đầu ra. Ví dụ,
nếu gói IP được gửi qua giao diện Ethernet, nó sẽ được đóng gói với phần tiêu đề và
đuôi Ethernet. Nếu gói được gửi qua đường truyền WAN điểm – tới – điểm, nó sẽ
được đóng gói với phần tiêu đề và đuôi của giao thức PPP.
Xử lý dữ liệu tại đầu cuối đường hầm PPTP
Khi nhận được dữ liệu đầu cuối đường hầm PPTP, máy trạm và máy chủ PPTP
sẽ thực hiện các bước sau:
-
Xử lý loại bỏ phần tiêu đề và đuôi của lớp liên kết dữ liệu
-
Xử lý và loại bỏ tiêu đề IP
-
Xử lý và loại bỏ tiêu đề GRE và PPP
-
Giải mã và/hoặc giải nén phần tải PPP (nếu cần thiết)
-
Xử lý phần tải tin để nhận hoặc chuyển tiếp
2.1.2.4. Ưu và nhược điểm của PPTP
Ưu điểm của PPTP là được thiết kế để hoạt động ở lớp 2 trong khi IPSec chạy ở lớp 3
của mô hình OSI. Bằng cách hỗ trợ việc truyền dữ liệu ở lớp 2, PPTP có thể truyền
trong đường hầm bằng các giao thức khác IP (ví dụ IPX, NetBEUI...) trong khi IPSec
chỉ có thể truyền các gói IP trong đường hầm.
Tuy nhiên, PPTP là một giải pháp tạm thời vì hầu hết các nhà cung cấp đều có kế
hoạch thay thế PPTP bằng L2TP khi giao thức này đã được chuẩn hóa. PPTP thích
hợp cho việc dial-up truy nhập với số lượng người dùng giới hạn hơn là cho VPN kết
nối LAN-LAN. Một vấn đề của PPTP là xử lý xác thực người dùng thông qua
Windows Server hay thông qua RADIUS. Máy chủ PPTP cũng quá tải với một số
lượng lớn người dùng dial-up hay một lượng lớn dữ liệu truyền qua, mà điều này là
một yêu cầu của kết nối LAN-LAN.
21
2.1.3. Giao thức định đường hầm lớp 2 (L2TP - Layer 2 Tunneling Protocol)
Để tránh việc hai giao thức định đường hầm không tương thích cùng tồn tại gây khó
khăn cho người sử dụng, IETF đã kết hợp 2 giao thức L2F và PPTP và phát triển thành
L2TP. L2TP được xây dựng trên cơ sở tận dụng các ưu điểm của PPTP và L2F, đồng
thời có thể sử dụng được trong tất cả các trường hợp ứng dụng của hai giao thức này.
Một đường hầm L2TP có thể được khởi tạo từ một PC ở xa dial-up về LNS (L2TP
Network Server) hay từ LAC (L2TP Access Concentrator) về LNS. Mặc dù L2TP vẫn
dùng PPP nhưng L2TP định nghĩa cơ chế tạo đường hầm của riêng nó tùy thuộc vào
phương tiện truyền chứ không dùng GRE.
Hình 2.7 – Mô hình kết nối sử dụng L2TP
L2TP đóng gói các khung PPP để truyền qua mạng IP, X25, Frame Relay hoặc ATM,
tuy nhiên hiện nay mới chỉ có L2TP trên mạng IP được định nghĩa. Khi truyền qua
mạng IP, các khung L2TP được đóng gói như các bản tin UDP. L2TP có thể được sử
dụng như một giao thức định đường hầm thông qua Internet hoặc các mạng riêng
Intranet. L2TP dùng các bản tin UDP qua mạng IP cho các dữ liệu đường hầm cũng
như các dữ liệu duy trì đường hầm. Phần tải của khung PPP đã đóng gói có thể được
mã hóa và nén. Mã hóa trong các kết nối L2TP thường được thực hiện bởi IPSec ESP
(chứ không phải là MPPE như đối với PPTP). Ta cũng có thể tạo kết nối L2TP không
sử dụng mật mã IPSec, tuy nhiên đây không phải là kết nối IP-VPN vì dữ liệu riêng
được đóng gói bởi L2TP không được mã hóa. Các kết nối L2TP không mã hóa có thể
được sử dụng tạm thời để sửa các lỗi kết nối L2TP dùng IPSec.
L2TP giả định tồn tại mạng IP giữa máy trạm (VPN client dùng giao thức đường hầm
L2TP và IPSec) và máy chủ L2TP. Máy trạm L2TP có thể được kết nối trực tiếp với
mạng IP để truy nhập tới máy chủ L2TP hoặc gián tiếp thông qua việc dial-up tới NAS
(máy chủ truy nhập mạng) để thiết lập kết nối IP. Việc xác thực trong quá trình hình
thành đường hầm L2TP phải sử dụng các cơ chế xác thực trong kết nối PPP như EAP,
22
MS-CHAP, CHAP, PAP. Máy chủ L2TP là máy chủ IP-VPN sử dụng giao thức L2TP
với một giao diện nối với Internet và một giao diện khác nối với mạng Intranet.
Giống như PPTP, L2TP cũng dùng hai kiểu bản tin là điều khiển và dữ liệu. Các bản
tin điều khiển chịu trách nhiệm thiết lập, duy trì và hủy các đường hầm. Các bản tin dữ
liệu đóng gói các khung PPP được truyền trong đường hầm. Các bản tin điều khiển
dùng cơ chế điều khiển tin cậy bên trong L2TP để đảm bảo việc phân phối, trong khi
các bản tin dữ liệu không được gửi lại khi bị mất trên đường truyền.
2.1.3.1. Duy trì đường hầm bằng bản tin điều khiển L2TP
Không giống như PPTP, việc duy trì đường hầm L2TP không được thực hiện thông
qua một kết nối TCP riêng biệt. Các lưu lượng điều khiển và duy trì cuộc gọi được gửi
đi như các bản tin UDP giữa máy trạm và máy chủ L2TP (đều được sử dụng cổng
UDP 1701).
Các bản tin điều khiển L2TP qua mạng IP được gửi như các gói UDP, gói UDP lại
được mã hóa bởi IPSec ESP như hình dưới đây.
Tiêu đề
liên kết
dữ liệu
Tiêu
đề
IP
Tiêu đề
IPSec
ESP
Tiêu
đề
UDP
Bản tin
L2TP
Phần
đuôi
IPSec
ESP
Phần
đuôi xác
thực
IPSec
ESP
Phần
đuôi liên
kết
dữ liệu
Mã hóa bởi IPSec
Hình 2.8 – Bản tin điều khiển L2TP
Vì không sử dụng kết nối TCP nên L2TP dùng thứ tự bản tin để đảm bảo việc truyền
các bản tin L2TP. Trong bản tin điều khiển L2TP, trường Next-Received (tương tự
như TCP Acknowledgment) và Next-Sent (tương tự như TCP Sequence Number)
được sử dụng để duy trì các bản tin điều khiển. Các gói không đúng thứ tự bị loại bỏ,
các trường Next-Sent và Next-Received cũng có thể được sử dụng để truyền dẫn tuần
tự và điều khiển luồng cho các dữ liệu đường hầm.
L2TP hỗ trợ nhiều cuộc gọi trên mỗi đường hầm. Trong bản tin điều khiển L2TP và
phần tiêu đề L2TP của dữ liệu đường hầm có một mã số đường hầm (Tunnel ID) để
xác định đường hầm và một mã nhận dạng cuộc gọi (Call ID) để xác định cuộc gọi
trong đường hầm đó.
2.1.3.2. Đóng gói dữ liệu đường hầm L2TP
Dữ liệu L2TP được thực hiện thông qua nhiều mức đóng gói như sau:
Đóng gói L2TP: Phần tải PPP ban đầu được đóng gói với một tiêu đề
PPP và một tiêu đề L2TP.
23
Đóng gói UDP: Gói L2TP sau đó được đóng gói với một tiêu đề UDP,
các địa chỉ cổng nguồn và đích được đặt bằng 1701.
Đóng gói IPSec: Tùy thuộc vào chính sách IPSec, gói UDP được mã hóa
và đóng gói với tiêu đề IPSec ESP, đuôi IPSec ESP và đuôi IPSec
Authentication.
Đóng gói IP: Gói IPSec được đóng gói với tiêu đề IP chứa địa chỉ IP
nguồn và đích của máy trạm và máy chủ.
Đóng gói lớp liên kết dữ liệu: Để truyền đi được trên đường truyền LAN
hoặc WAN, gói IP cuối cùng sẽ được đóng gói với phần tiêu đề và đuôi
tương ứng với kỹ thuật lớp liên kết dữ liệu của giao diện vật lý đầu ra. Ví
dụ, khi gói IP được gửi vào giao diện Ethernet, nó sẽ được đóng gói với
tiêu đề và đuôi Ethernet. Khi các gói được gửi trên đường truyền WAN
điểm - tới - điểm, chúng sẽ được đóng gói với tiêu đề và đuôi PPP.
Hình dưới đây chỉ ra cấu trúc cuối cùng của gói dữ liệu đường hầm L2TP trên nền
IPSec.
Tiêu
đề
liên
kết
dữ
liệu
Tiêu
đề
IP
Tiêu
đề
IPSec
ESP
Tiêu
đề
UDP
Tiêu
đề
L2TP
Tiêu
đề
PPP
Tải PPP
(IP, IPX,
NetBEUI)
Phần
đuôi
IPSec
ESP
Phần
đuôi
nhận
thực
IPSec
ESP
Phần
đuôi
liên
kết dữ
liệu
Được mã hóa
Được xác thực
Hình 2.9 – Đóng gói dữ liệu đường hầm L2TP
2.1.3.3. Xử lý dữ liệu tại đầu cuối đường hầm L2TP trên nền IPSec
Khi nhận được dữ liệu đường hầm L2TP trên nên IPSec, máy trạm và máy chủ L2TP
sẽ thực hiện các bước sau:
- Xử lý loại bỏ tiêu đề và đuôi của lớp liên kết dữ liệu.
- Xử lý và loại bỏ tiêu đề IP.
- Dùng phần đuôi IPSec ESP Authentication để xác thực tải IP và tiêu đề IPSec
ESP.
- Dùng tiêu đề IPSec ESP để giải mã phần gói đã được mã hóa.
- Xử lý tiêu đề UDP và gửi gói tới L2TP.
24
- L2TP dùng chỉ số đường hầm và chỉ số cuộc gọi trong tiêu đề L2TP để xác
định đường hầm L2TP cụ thể.
- Dùng tiêu đề PPP để xác định tải PPP và chuyển tiếp nó tới đúng giao thức để
xử lý.
2.1.3.4. Các thành phần của hệ thống VPN dựa trên L2TP
Như đã minh họa trên hình 2.7, một hệ thống VPN dựa trên L2TP bao gồm các thành
phần chủ yếu sau đây:
Máy chủ L2TP
Máy chủ L2TP có 2 chức năng chính là đóng vai trò là điểm kết thúc của đường hầm
L2TP và chuyển tiếp các gói từ đường hầm đến mạng LAN riêng hay ngược lại. Máy
chủ chuyển các gói đến máy đích bằng cách xử lý gói L2TP để có được địa chỉ mạng
của máy tính đích. Không như máy chủ PPTP, máy chủ L2TP không có khả năng lọc
các gói, chức năng lọc gói trong L2TP được thực hiện bởi tường lửa. Tuy nhiên, trong
thực tế, người ta thường tích hợp máy chủ L2TP và tường lửa, việc tích hợp này mang
lại một số ưu điểm hơn so với PPTP là:
- L2TP không đòi hỏi chỉ có một cổng duy nhất gán cho tường lửa như trong
PPTP, chương trình quản lý có thể tùy chọn cổng để gán cho tường lửa, điều
này gây khó khăn cho kẻ tấn công khi cố gắng tấn công vào một cổng khi
cổng đó có thể dễ dàng thay đổi.
- Luồng dữ liệu và thông tin điều khiển được truyền trên cùng một giao thức
UDP nên việc thiết lập tường lửa sẽ đơn giản hơn. Do một số tường lửa
không hỗ trợ giao thức GRE nên chúng tương thích với L2TP hơn là với
PPTP.
Phần mềm client L2TP
Nếu như các thiết bị của ISP đã hỗ trợ L2TP thì không cần bổ sung phần cứng hay
phần mềm nào cho các máy trạm, chỉ cần kết nối chuẩn PPP là đủ. Tuy nhiên với các
thiết lập như vậy thì không sử dụng được mã hóa của IPSec. Do vậy, ta nên sử dụng
các phần mềm client tương thích L2TP cho kết nối L2TP VPN. Một số đặc điểm của
phần mềm client L2TP là:
- Tương thích với các thành phần khác của IPSec như máy chủ mã hóa, giao
thức chuyển khóa, giải thuật mã hóa...
- Đưa ra một thông báo rõ ràng khi IPSec đang hoạt động.
- Hàm băm (hashing) xử lý được các địa chỉ IP động.
- Có cơ chế bảo mật khóa (mã hóa khóa với mật khẩu).
- Có cơ chế chuyển đổi mã hóa một cách tự động và định kỳ.
25
