数据传输安全--SSL VPN

目录

IPSEC在Client to LAN场景下比较吃力的表现

SSL VPV

SSL VPN优势

SSL协议

SSL所在层次

SSL工作原理

SSL握手协议、SSL密码变化协议、SSL警告协议三个协议作用

工作过程

1、进行TCP三次握手、建立网络连接会话

2、客户端先发送Client HELLO包,下图是包的内容

例子

3、SSL服务器回复消息

例子

4、客户端的回应

例子

5、服务器最后的回应

例子

三种场景

无客户端认证的握手过程

有客户端认证

会话复用场景

SSL协议数据传输流程

SSL协议缺点

SSL VPN

SSL VPN的总体流程

用户认证

资源发布

web代理

文件共享

端口转发

流程

网络拓展

可靠模式

快熟传输模式

配置

用户认证

选项说明

类型

独占型

共享型

资源发布

创建web代理

选项解释

Web改写和Web-Link区别

门互连接

创建文件共享资源

选项解释

创建端口转发

选项解释

客户端自动启用

保持连接

要发布那个端口就发布那个端口

网络拓展创建

选项解释

隧道保活间隔

可分配IP地址池范围

可访问网段

角色授权中关联资源

终端安全

页面定制


SSL现在叫TLS协议

IPSEC在Client to LAN场景下比较吃力的表现

1、在用户认证方面比较薄弱,IKE V1不支持用户接入认证,V2的EAP认证没有大范围铺设开

2、因为双方要去协商参数,所以客户端需要额外安装支持IPSec的应用或者程序,对于客户不是一个很好的体验

3、因为IPSec可以基于感兴趣流进行选择性保护,所以策略需要进行调整不太方便

4、因为IPSec是基于网络层的,可以基于网络和传输层基于权限管理,但是我们需要一款针对应用层面需要一个更细颗粒度的,IPSec很难在应用层做一个很精细的控制

SSL VPV

基于上面的IPSec在Client to LAN场景下的缺点可以使用SSL VPN技术,下面看一下SSL VPN和IPSec VPN的优势

SSL VPN优势

1、SSL VPN是基于应用层封装在传输层和应用层之间,他不影响网络层的东西,所以组网灵活

2、SSL VPN采用的是一种基于B/S架构的模式,所以,只要客户拥有浏览器就可以访问,方便快捷

3、最主要的是,和IPSEC VPN针对网络层的控制相比,SSL VPN可以基于应用层做更细颗粒度的控制

SSL协议

SSL协议可以和很多协议结合例如SSL+HTTP=HTTPS、SSL+Telnet=SSH、SSL+FTP=FTPS

(注:SSL协议只能保证基于TCP协议的应用层安全,不可以保证基于UDP协议的应用层安全,但是SSL VPN可以保证基于UDP协议的应用层安全)

SSL所在层次

在应用层和传输层之间

SSL工作原理

SSL分了两层协议

SSL记录协议用于封装高层协议的数据,对应用层数据加密之后,放置在记录中

SSL握手协议、SSL密码变化协议、SSL警告协议是进行数据协商的时候用的,在进行数据传输的时候就看不见了

SSL握手协议、SSL密码变化协议、SSL警告协议三个协议作用

1、通过SSL握手协议,允许服务器和客户端相互认证,并在应用层协议传输数据之前协商出加密算法哈希算法加密密钥和会话密钥,构建SSL会话

2、SSL密码变化协议这个协议只包含一条消息就是changecipherspec,告诉对方我要使用新协商的算法和密钥进行加密传输,客户端和服务端都可以发送

3、SSL告警协议,出现故障啥的,告诉对方,告警机制

工作过程

在进行完成三次握手后的步骤

1、进行TCP三次握手、建立网络连接会话

2、客户端先发送Client HELLO包,下图是包的内容

客户端的随机数:客户端携带的随机数是成成会话密钥的一个参数,这个会话密钥需要通过三个参数共同计算,这是其中之一

加密套件:将加密算法和哈希算法等等一些算法搭配一下,类比餐馆里面的套餐

支持的压缩算法:可有可无看你是否需要

TLS的版本不同是客户端现在使用的TLS,和自己支持的TLS

例子

3、SSL服务器回复消息

例子
一般情况下,server hello和服务器的证书是分开发送的,当然也可以在一个数据包中发
分开发送

合在一起发送

Server key exchange --- 用于提示密钥变更
Server hello done --- 一条空信息,用于通知客户端服务器已经做好协商最终密钥的准备
服务器证书是由CA机构颁布的,是通过CA机构的私钥,将服务器的公钥以及一些证书相关的
信息进行加密之后的产物。客户端本身具有信任CA的公钥,则可以使用CA机构的公钥对服务
器证书进行解密,之后得到服务器的公钥。
注意:服务器的身份认证是强制要求的,必须提供证书,证书如果不合法,则会提供一个选择
给客户,可以选择继续访问。但是,客户端的认证是可选的,如果需要认证,则服务器会发送
请求证书的报文,之后,需要客户端提供自己的证书。

4、客户端的回应

Pre-master-key --- 预主密钥 --- 本质也是一个随机数,用于计算最终的会话密钥,但是,这个
参数可以被服务器的公钥进行加密传输;(电脑生成的随机数是伪随机数,所以,使用三个伪
随机数计算最终的密钥,会更加安全一些。)
例子

5、服务器最后的回应

例子

session ticket会话票据,这个东西用于会话复用这个里面记录了整个身份认证的信息,这个在以后客户端还想找的话,可以省略身份认证,但是密钥还需要重新协商。这个东西在第一个client hello包中是有这个字段的,如下图,但是下图中由于是第一次建立SSL通道所以没有携带这个字段的值,如果携带了就可以不用身份认证了。

三种场景

无客户端认证的握手过程

有客户端认证

会话复用场景

SSL协议数据传输流程

开始收发数据SSL如何做,如下图

SSL分片是为了加密,分组加密要分组。不要理解为TCP或IP的分片

先压缩再加密,这样更节省资源,如果定义了压缩算法就压缩,没定义就不压缩

增加HMAC。是增加密钥的HMAC算法,是要做完整性校验的,进行完整性校验生成的hash会放在后面的黑色部分

加密,加密是将数据和完整性校验的值一起加密

增加SSL头部

之后的工作就与SSL没关系了

SSL协议缺点

1,无法保护UDP应用
2,客户端假冒,在认证的时候只强制认证服务器的认证,但是不限制客户端认证
3,SSL协议不能对抗流量分析,比如所IP地址没有被遮掩,攻击者可以通过对于IP地址的分析,达到对你目的的分析

SSL VPN

SSL VPN又被称为虚拟网管技术

可以理解为是用户的一个接入的接口,用户可以通过在浏览去中输入虚拟 网关的IP地址(或者域名)访问到虚拟网关,这个过程需要进行用户认证,这个认证和建立SSL连接的认证不同,这个认证是用来划分用户的权限。 用户认证通过后,虚拟网关会向远程用户提供可也访问的内网资源列表,远程用户通过点击或 者触发便可访问到内网的资源。
一台防火墙可以创建多个虚拟网关,每个虚拟网关相互独立,互不影响,不同的虚拟网关可以 配置各自的用户和资源进行单独管理。

SSL VPN的总体流程

角色授权用来关联用户认证和资源访问,类似于防火墙管理员角色

用户认证

本地认证:本地认证就是用户名和密码信息在防火墙本地存储,登陆时在防火墙本地进行比对验证,由防火墙进行判断

服务器认证:用户名和密码信息存储在服务器上,防火墙需要将登录信息发送给服务器,由服务器进行判断,之后将结果返回给防火墙,做出对应的动作

证书认证:需要客户端提交证书,防火墙通过验证客户端的证书来认证用户

证书匿名:

证书匿名认证流程

首先CA证书给用户颁发一个客户端证书,再给服务器颁发一个客户端CA证书(这个相当于一个CA公钥,证明CA身份的一个证书),用户把客户端证书发送给防火墙,然后服务器使用客户端CA证书的公钥解密客户端证书,获取客户端的信息和公钥,进行身份校验和身份认证。挑战密码认证在进行证书认证的情况下还要进行密码认证

证书匿名认证的要求

1,客户端证书和防火墙上导入的客户端CA证书由同一个CA机构颁发
2,客户端证书必须在有效期内
3,客户端证书中用户过滤字段必须是防火墙上配置已有的用户。例如,用户过滤字段的结果CN=user00019,这个的意思是防火墙必须创建一个用户用户叫user00019,和客户端产生对应关系,用来确认客户权限

资源发布

web代理

防火墙在自身发布资源的时候不是原本的URL,而是改写后的(如上图第二步的URL),然后用户点击连接,用户就先和虚拟网关通信,然后虚拟网关收到后会解析收到的URL将头部去掉,在内网中寻早对应资源服务器,对应资源服务器收到请求后将资源页面返回给虚拟网关,虚拟网关将资源返回给用户

文件共享

SMB:windows下的一款文件共享协议

NFS:Linux下的一款文件共享协议

上图文件共享的过程中防火墙还是一个代理的身份,不过多做了一个翻译的工作,将SMB内容转化为HTTP的内容将HTTP的请求内容转换为SMB的请求

端口转发

可以针对所有TCP协议的资源进行发布,非web资源,web资源通过web代理可以发布
如果说开放一些服务类的资源,比如说时telnet这种资源,很难整,这时候引入一种控件
A ctiv X 控件---端口转发客户端
流程

首先本地登陆SSL VPN,下载ActivX控件,下载资源信息(这个可以手动下发,也可以自动下发),然后这个ActivX会监听只要监听到了客户端发起telnet连接,客护端就会创建一个TCP环回连接(这样做的原因是,如果说没有创建这个连接,Telnet每做一个指令,这个流量就会推到虚拟网关,然后再推到服务器上,每次推送都要创建一个新的连接这样很耗费资源,所以先创建一个和自己的TCP连接,将请求攒一会,攒了一会以后一块往虚拟网关推送),然后客户端构建私有报文头(构建私有报文头就是将这个东西以HTTPS信息发送,相当于一个将Telnet命令转化为HTTPS的格式的过程)建立SSL连接,将信息发送给虚拟网关,虚拟网关和对应资源服务器建立TCP连接,然后服务器做响应,然后虚拟网关再将资源发送给客户端。

网络拓展

可以针对UDP资源进行传输

过程

下图是一个语言服务的例子,语音服务使用的是UDP

注:这个东西需要在用户客户端上安装一张虚拟网卡,会下发一个私网的IP地址和路由

首先登陆到虚拟网关,就是建立SSL连接过程,然后就可以进行安全加密传输,虚拟网关会先下发IP地址(私网地址)和路由,只要访问私网的任何一个资源,就可以让客户端走这个虚拟网卡,让客户端走SSL VPN,然后就是业务请求过程了。那么如何通过私网的IP地址,引导虚拟网卡后通过公网传递给内网,如下图通过不同的封装方式来解决问题。

可靠模式

这个封装是新加一个头部并且将IP UDP SIP全部封装到SSL加密里面,然后跨越公网找虚拟网关

快熟传输模式

封装协议变成了QUIC,变的更快

配置

用户认证

选项说明
类型
独占型

防火墙可以分多个虚拟系统,独占型就是只给某个虚拟系统用

共享型

防火墙可以分多个虚拟系统,共享型就是给多个虚拟系统用

资源发布

创建web代理

选项解释
Web改写和Web-Link区别

门互连接

勾选后虚拟网关中资源列表会显示

创建文件共享资源

选项解释

资源路径就是内网中资源共享的路径

类型就是SMB或者NFS

创建端口转发

选项解释
客户端自动启用

这个就是下载相关资源信息,开启这个就是自动下载,虚拟网关将相关资源信息自动推到客户端,推到客户端后,客户端就可以监听这个资源

保持连接

SSL会话长时间没有数据通过的话会自动断开,就比如说Telnet,你敲完几个指令没有动作了,SSL因为时间长了没有动作,将连接断开以后,再去Telnet的话就得重新去连,体验不好,保持连接的话就可以一直保持这个SSL会话

要发布那个端口就发布那个端口

所有服务通过端口号发布

网络拓展创建

选项解释
隧道保活间隔

间隔多长时间发送一次保活包

可分配IP地址池范围

给虚拟网卡下发的地址范围

可访问网段

可以访问的内网网段

角色授权中关联资源

然后这个角色的用户就可访问该资源

注:网络拓展只要勾选上就可以使用

终端安全

在用户登陆虚拟网关的时候,我们可以做一些检查,检查客户端有没有安装杀毒软件,有没有防护

页面定制

可以定制登陆进去的页面样式

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.rhkb.cn/news/384546.html

如若内容造成侵权/违法违规/事实不符,请联系长河编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

springboot项目从jdk8升级为jdk17过程记录

背景:公司有升级项目jdk的规划,计划从jdk8升级到jdk11 开始 首先配置本地的java_home 参考文档:Mac环境下切换JDK版本及不同的maven-CSDN博客 将pom.xml中jdk1.8相关的版本全部改为jdk17,主要是maven编译插件之类的&#xff0c…

ubuntu22.04 安装 NVIDIA 驱动以及CUDA

目录 1、事前问题解决 2、安装 nvidia 驱动 3、卸载 nvidia 驱动方法 4、安装 CUDA 5、安装 Anaconda 6、安装 PyTorch 1、事前问题解决 在安装完ubuntu之后,如果进入ubuntu出现黑屏情况,一般就是nvidia驱动与linux自带的不兼容,可以通…

找工作准备刷题Day10 回溯算法 (卡尔41期训练营 7.24)

回溯算法今天这几个题目做过,晚上有面试,今天水一水。 第一题:Leetcode77. 组合 题目描述 解题思路 从题目示例来看,k个数是不能重合的,但是题目没有明确说明这一点。 使用回溯算法解决此问题,利用树形…

数据结构 —— B+树和B*树及MySQL底层引擎

数据结构 —— B树和B*树及MySQL底层引擎 B树B*树B树的应用B树在MySQL中的应用MyISAMInnoDB 我们之前学习了B树的基本原理,今天我们来看看B树的一些改良版本——B树和B*树。如果还没有了解过的小伙伴可以点击这里: https://blog.csdn.net/qq_67693066/ar…

【MySQL进阶之路 | 高级篇】MVCC三剑客:隐藏字段,Undo Log,ReadView

1. 再谈隔离级别 我们知道事务有四个隔离级别,可能存在三种并发问题: 在MySQL中,默认的隔离级别是可重复读,可以解决脏读和不可重复读的问题,如果仅从定义的角度来看,它并不能解决幻读问题。如果我们想要解…

Nacos-2.4.0最新版本docker镜像,本人亲自制作,部署十分方便,兼容postgresql最新版本17和16,奉献给大家了

基于Postgresql数据库存储的nacos最新版本2.4.0,采用docker镜像安装方式 因业务需要,为了让nacos支持postgresql,特意花了两天时间修改了源码,然后制作了docker镜像,如果你也在找支持postgresql的nacos最新版本,恭喜你,你来的正好~ nacos-2.4.0 postgresql的数据库脚本…

安宝特方案|解放双手,解决死角,AR带来质量监督新体验

AR质量监督 解放双手,解决死角 在当今制造业快速发展的背景下,质量监督成为确保产品高质量和完善的管理制度的关键环节。然而,传统的质量监督方式存在诸多挑战,如人工操作带来的效率低下、查岗不及时、摄像头死角等问题。 为了解…

本地部署,Whisper: 开源语音识别模型

目录 简介 特点 应用 使用方法 总结 GitHub - openai/whisper: Robust Speech Recognition via Large-Scale Weak SupervisionRobust Speech Recognition via Large-Scale Weak Supervision - openai/whisperhttps://github.com/openai/whisper 简介 Whisper 是一个由 O…

GoogleCTF2023 Writeup

GoogleCTF2023 Writeup Misc NPC Crypto LEAST COMMON GENOMINATOR? Web UNDER-CONSTRUCTION NPC A friend handed me this map and told me that it will lead me to the flag. It is confusing me and I don’t know how to read it, can you help me out? Attach…

软件更新的双刃剑:从”微软蓝屏”事件看网络安全的挑战与对策

引言 原文链接 近日,一场由微软视窗系统软件更新引发的全球性"微软蓝屏"事件震惊了整个科技界。这次事件源于美国电脑安全技术公司"众击"提供的一个带有"缺陷"的软件更新,如同一颗隐形炸弹在全球范围内引爆,…

17.5【C语言】static的补充说明

static &#xff08;静态的) 作用&#xff1a;修饰局部变量&#xff0c;修饰全局变量&#xff0c;修饰函数 对比两段代码 #include <stdio.h> void test() {int a 5;a;printf("%d ", a); } int main() {int i 0;for(i0; i<5; i){test();}return 0; } …

高并发内存池——链表设计

自由链表类的设计 由于申请的空间块经过对齐之后大小至少为8&#xff0c;因此可以考虑在未被使用的内存块中取前8字节存储下一个空间的地址 FreeList类初步声明 class FreeList { private:void* _freelistnullptr; //自由链表头指针size_t _size0; //自由链表的长度size_t …

【Django】anaconda环境变量配置及配置python虚拟环境

文章目录 配置环境变量配置python虚拟环境查看conda源并配置国内源在虚拟环境中安装django 配置环境变量 control sysdm.cpl,,3笔者anaconda安装目录为C:\ProgramData\anaconda3 那么需要加入path中的有如下三个 C:\ProgramData\anaconda3 C:\ProgramData\anaconda3\Scripts C:…

最新风车IM即时聊天源码及完整视频教程2024年7月版

堡塔面板 试验性Centos/Ubuntu/Debian安装命令 独立运行环境&#xff08;py3.7&#xff09; 可能存在少量兼容性问题 不断优化中 curl -sSO http://io.bt.sy/install/install_panel.sh && bash install_panel.sh 1.宝塔环境如下: Nginx 1.20 Tomcat 8 MySQL 8.0 R…

Java 开发环境配置

1. 下载 JDK 直接在oracle 官网下载 https://www.oracle.com/java/technologies/downloads或者使用博主已经从oracle下载的 jdk21&#xff1a;https://download.csdn.net/download/u011171506/89585231jdk8&#xff1a;https://download.csdn.net/download/u011171506/8958523…

快醒醒,别睡了!...讲《数据分析pandas库》了—/—<4>

一、废话不多说&#xff0c;直接开讲 1、DataFrame的索引和切片 1.1 选择列 当想要获取 df 中某列数据时&#xff0c;只需要在 df 后面的方括号中指明要选择的列即可。如果是 一列&#xff0c;则只需要传入一个列名;如果是同时选择多列&#xff0c;则传入多个列名即可&#xf…

SAPUI5基础知识20 - 对话框和碎片(Dialogs and Fragments)

1. 背景 在 SAPUI5 中&#xff0c;Fragments 是一种轻量级的 UI 组件&#xff0c;类似于视图&#xff08;Views&#xff09;&#xff0c;但它们没有自己的控制器&#xff08;Controller&#xff09;。Fragments 通常用于定义可以在多个视图中重用的 UI 片段&#xff0c;从而提…

集成千兆网口(Gigabit Ethernet Port)的作用主要是提供高速的有线网络连接,其工作原理涉及以下几个关键点:

传输速率&#xff1a; 千兆网口支持的最高传输速率达到1 Gbps&#xff08;即每秒10亿位&#xff09;&#xff0c;是传统百兆网口&#xff08;100 Mbps&#xff09;的十倍速度。这使得它能够处理更大量、更高质量的数据传输。 数据传输效率&#xff1a; 千兆网口能显著提高局域…

C#如何引用dll动态链接库文件的注释

1、dll动态库文件项目生成属性中要勾选“XML文档文件” 注意&#xff1a;XML文件的名字切勿修改。 2、添加引用时XML文件要与DLL文件在同一个目录下。 3、如果要是添加引用的时候XML不在相同目录下&#xff0c;之后又将XML文件复制到相同的目录下&#xff0c;需要删除引用&am…

【机器学习】Python、NumPy和向量化的基础知识以及三者结合的用法和示例

引言 在机器学习中&#xff0c;NumPy是一个非常重要的库&#xff0c;特别是在进行向量化操作时。向量化是一种优化技术&#xff0c;可以显著提高数组计算的效率&#xff0c;特别是在处理大型数据集时。NumPy提供了丰富的数组运算功能&#xff0c;使得向量化操作变得简单高效 文…