- •Лекция 12 тема: «технология виртуальных корпоративных сетей Основные протоколы, применяемые в технологии vpn. Протоколы pptp. L2lp. Ip-sec
- •Методы реализации vpn сетей
- •Туннелирование
- •Аутентификация
- •Протоколы формирования защищенных каналов на канальном уровне
- •Рассмотрим реализацию первой схемы туннелирования (рис. 10.3). Удаленный пользователь устанавливает удаленное соединение с локальной сетью с помощью
- •Протокол управления каналом lcp
- •Три класса lcp-пакетов
- •IpSec (сокращение от ip Security
- •Архитектура iPsec
- •Подключение нескольких параллельных каналов (mp)
- •Обработка выходных ip-пакетов
- •Обработка входных ip-пакетов
- •Обработка выходных iPsec-пакетов
- •Обработка входных iPsec-пакетов
- •Использование
- •Базы данных sad и spd
Три класса lcp-пакетов
Существует три класса LCP-пакетов:
Пакеты конфигурации канала, которые используются при формировании виртуального канала (Configure-Request, Configure-Ack, Configure-Nak и Configure-Reject)
.
Пакеты закрытия канала (Terminate-Request и Terminate-Ack).
Пакеты поддержания, которые служат для управления и отладки (Code-Reject, Protocol-Reject, Echo-Request, Echo-Reply и Discard-Request).
Аналогом LCP является протокол IPCP (IP Control Protocol). В поле код протокола в этом случае записывается 8021 (RFC-1332). Формат пакета IPCP показан на рис. 3.5.4.
Рис. 3.5.4. Формат пакета IPCP. Младшие биты слева.
Поле тип содержит 2, в поле длина заносится число байт в пакете (≥4). В поле протокол сжатия IP заносится код алгоритма сжатия (0х02D - в случае алгоритма Ван Джекобсона). Поле данные может содержать нуль или более октетов. Конфигурационный запрос может потребовать присылки (присвоения) IP-адреса. Для решения этой задачи предусмотрена опция IPCP-пакета, где полетип=3, длина=6, а последующие 4 байта выделены для IP-адреса, куда отправитель должен его записать. Если туда записаны нули, это говорит о том, что отправитель запрашивает свой IP-адрес.
Протоколы PPP, LCP (Link Control Protocol), CCP (Compression Control Protocol; RFC-1962, -1967), и некоторые другие управляющие протоколы содержат 8-битовые поля код. Значения этих кодов приведены в таблице 3.5.2.
Таблица 3.5.2 Значения поля код LCP-заголовка
Код |
Тип пакета |
|
1 |
Запрос конфигурации |
Configure-Request |
2 |
Подтверждение конфигурации |
Configure-Ack |
3 |
Не подтверждение конфигурации |
Configure-Nak |
4 |
Отклонение конфигурации |
Configure-Reject |
5 |
Запрос завершения |
Terminate-Request |
6 |
Подтверждение завершения |
Terminate-Ack |
7 |
Отклонение кода |
Code-Reject |
8* |
Отклонение протокола |
Protocol-Reject |
9* |
Запрос отклика |
Echo-Request |
10* |
Эхо-отклик |
Echo-Reply |
11* |
Запрос отмены |
Discard-Request |
12* |
Идентификация |
|
13* |
Остающееся время |
|
14** |
Запрос сброса |
|
15** |
Отклик на запрос сброса |
|
*) Только LCP; |
**) Только CCP |
|
Для случая запроса Discard-Request между полями длина и данные помещается 4-байтовое поле Magic-Number (магическое число).
Протокол PPP многолик, он способен поддерживать и многоканальные соединения (RFC-1990). Это бывает полезно при работе через ISDN, X.25, Frame Relay или при необходимости расширить пропускную способность за счет подключения нескольких параллельных каналов (MP - MultiLink Protocol). Так как я не сталкивался со случаями, когда пропускной способности было вполне достаточно, данную модификацию PPP-протокола следует считать крайне важной. При этом одной из проблем является распределение пакетов по каналам и последующее их упорядочение принимающей стороной. Особую осторожность в этом случае следует соблюдать при использовании заполнителей. В этом режиме по виртуальному каналу MultiLink запрещается посылать конфигурационные LCP-пакеты Configure-Request, -Reject, -Ack, -Nak, Terminate-Request или -Ack. Принимающая сторона в случае их обнаружения должна их игнорировать. Применение других LCP-пакетов допускается (например, Code-Reject, Protocol-Reject, Echo-Request, Echo-Reply и Discard-Request).
