大型园区网络建设与管理4.6

2. VPN 实现的主要安全协议
        VPN 区别于一般网络互联的关键是隧道的建立， 数据包经过加密后， 按隧道协议进行
封装、 传送以保证安全性。 一般， 在数据链路层实现数据封装的协议叫第二层隧道协议， 常
用的有 PPTP、 L2TP 等； 在网络层实现数据封装的协议叫第三层隧道协议， 如 IPSec。 另外，
SOCKSv5 协议则在 TCP 层实现数据安全。
（1） PPTP /L2TP
        1996 年 Microsoft 和 Ascend 等在 PPP 协议的基础上开发了 PPTP， 它集成于 Windows NT
Server4. 0 中， Windows NT Workstation 和 Windows 9. X 也提供相应的客户端软件。 PPP 支持
多种网络协议， 可把 IP 、 IPX、 AppleTalk 或 NetBEUI 的数据包封装在 PPP 包中， 再将整个
报文封装在 PPTP 隧道协议包中， 最后， 再嵌入 IP 报文或帧中继或 ATM 中进行传输。 PPTP
提供流量控制， 减少拥塞的可能性， 避免由于包丢弃而引发包重传。 PPTP 的加密方法是采
用 Microsoft 点对点加密 （ MPPE： Microsoft Point-to-Point） 算法， 可以选用较弱的 40 位密钥
或强度较大的 128 位密钥。 1996 年， Cisco 提出 L2F （ Layer 2 Forwarding） 隧道协议， 它也
支持多协议， 但其主要用于 Cisco 的路由器和拨号访问服务器。 1997 年底， Microsoft 和 Cisco
公司把 PPTP 协议和 L2F 协议的优点结合在一起， 形成了 L2TP 协议。 L2TP 支持多协议， 利
用公共网络封装 PPP 帧， 可以实现和企业原有非 IP 网的兼容。 还继承了 PPTP 的流量控制，
支持 MP （ Multilink Protocol） ， 把多个物理通道捆绑为单一逻辑信道。 L2TP 使用 PPP 可靠性
发送 （ RFC 1663） 实现数据包的可靠发送。 L2TP 隧道在两端的 VPN 服务器之间采用口令握
手协议 CHAP 来验证对方的身份。 L2TP 受到了许多大公司的支持。
        PPTP /L2TP 协议的优点： PPTP /L2TP 对用微软操作系统的用户来说很方便， 因为微软
已把它作为路由软件的一部分。 PPTP /L2TP 支持其他网络协议。 如 NOWELL 的 IPX、 NETBEUI 和 APPLETALK 协议， 还支持流量控制。 它通过减少丢弃包来改善网络性能， 这样可
减少重传。
        PPTP /L2TP 协议的缺点： PM 和 L2TP 将不安全的 IP 包封装在安全的 IP 包内， 它们用
IP 帧在两台计算机之间创建和打开数据通道， 一旦通道打开， 源和目的用户身份就不再需
要， 这样可能会带来问题， 它不对两个节点间的信息传输进行监视或控制。 PPTP 和 L2TP
限制同时最多只能连接 255 个用户， 端点用户需要在连接前手工建立加密信道， 认证和加密
受到限制， 没有强加密和认证支持。 PPTP /L2TP 最适合于远程访问 VPN。

（2） IPSec 协议
        IPSec 是 IETF （ Internet Engineer