VPN技术在邮政的应用与安全

开篇：润墨网以专业的文秘视角，为您筛选了一篇VPN技术在邮政的应用与安全范文，如需获取更多写作素材，在线客服老师一对一协助。欢迎您的阅读与分享！

摘 要 本文结合vpn在邮政的应用，对邮政目前使用VPN的IPSec和SSL技术的安全性进行重点分析。

关键词 VPN；IPSce；SSL；应用；安全

中图分类号TP39 文献标识码A 文章编号 1674-6708（2013）108-0201-03

随着邮政企业改革的进一步深化，邮政企业为了满足社会需求，也为了自身的发展需要，必然会不断开发新的业务种类，构建更加完善的服务体系。在计算机信息网络已经相当普及的今天，Internet给人们带来了方便快捷，越来越受到广大人民群众的欢迎，邮政业务的发展也必然和Internet紧密相连。Internet本质上是一个开放的网络，对大多数用户而言，根本无法提供所需的安全保障。然而，随着Internet应用的急剧增长，很多要求安全和保密的邮政业务需要通过Internet来实现，VPN技术的大力发展和广泛应用恰好满足了这种日益广泛的应用需求。在VPN为我们带来方便的同时，对它的安全性保持清醒的认识显然是必要的。

虚拟专用网络VPN（Virtual Private Network，VPN），就是指建立在公共网上的、由某一组织或某一群体用户专用的虚拟通信网络。虚拟性使其成本低廉，专用性使其安全可靠。

VPN以公用开放的网络（如IP网）作为基本传输媒介，使得任意一对VPN用户即便在公共网络上没有专用的物理连接，但利用隧道技术、加密解密技术、身份认证技术等技术就能实现VPN内部人员之间的安全通信，而VPN之外的用户无法访问VPN内部的网络资源。需要说明的是，我们这里所说的VPN是在Internet上建立的、由用户自行管理的VPN，也可称作IP-VPN，和一般电信网中的VPN不同，后者一般是指帧中继或者ATM虚拟专用线路。

1 VPN在邮政的应用分析

邮政办公需要经常访问的应用系统，如“中国邮政办公OA系统”，“人力资源管理系统”，“中国邮政速递综合信息处理平台”，“ERP系统”，“财务管理系统”等有将近40个。这些系统的访问要求是：安全，方便。这些应用系统的特点是：服务器主要集中在各省中心，统一管理；这些应用系统的访问安全级别要求并不需要达到邮政综合信息网那样高的安全级别；访问这些系统的的带宽和时延要求不是很高。由于邮政企业分支机构分布广泛，营业网点遍布城乡各地，考虑到访问这些系统的安全性，就会面临支付昂贵的专线租用费的问题。即使不租用专线，也会面临大量的长途费用的支付问题，并且，信息安全方面也无法得到保障。另外，出差员工对办公系统的访问需求也是不容忽视的，还有一些需要临时访问内部网络资源的用户，租用专线显然无法满足需求。

VPN能很好地解决这方面的问题。目前邮政的VPN应用如下图所示。

目前邮政各市、县级局并没有安装安全网关设备，都是以省信息技术局统一下发的用户名来访问VPN的。采用VPN以后，邮政员工无论在固定办公场所，还是出差在外，在访问个应用系统之前，首先要登录VPN，登录成功后，即可依据自己的权限访问自己所需的各应用系统。这样做，首先，登录VPN是在本地局域网登录的，不需要租用专线和长途连接，从而节约成本费用。其次，信息安全得到保障，因为VPN的隧道技术、加密认证技术都能较好地保护传输数据的安全性和完整性。登录VPN的目的是，在用户和应用系统之间搭建一条专用的安全通道，数据的交换传输都受这个安全通道保护。除了节约成本和较好安全性能，VPN还提供了多种管理手段，保障多种访问需求，带给用户比较满意的网络服务质量（Qos Quality of Service）。

VPN在邮政有很好的应用前景。随着中国邮政储蓄银行、邮政速递物流公司相继成立，邮政企业的改革逐步深化。要想使得邮储银行增强资金运作能力，使邮政速递物流真正融入电子商务之中，做大做强，真正实现资金流、实物流和信息流的有机结合，必不可缺少高效安全的服务手段，丰富多样的服务形式。B2B（Business To Business 是企业对企业之间的营销关系）、B2C（Business-to-Consumer 是商家对客户之间的营销关系）等电子商务模式是当前企业发展所不可回避的经营方式，比如，邮政储蓄银行将来的发展，和其它企业之间的联系必然愈加紧密，业务往来更加频繁，银行以B2B形式提供给企业安全快捷的数据安全访问服务是必需的，诸如银行和企业间的电子对账等。再加上地域、时效、便捷等因素，在银行和企业之间组建外联网VPN就是个不错的选择。电子商务兴起是经济发展的必然结果，也是大势所趋，邮政速递物流公司在发展B2B或者B2C业务时，外联网VPN和远程接入VPN都可以给予很大帮助。

安全是信息网络永远的话题。到目前为止，邮政通过VPN访问的内部应用系统有将近40个，这些系统都仅限邮政内部的相关人员使用，并且都有严格的访问权限限制。由于邮政分支机构较多，VPN使用量很大，使用人员的安全意识不够强等因素，VPN的技术安全显得尤为重要。需做到在方便员工使用的同时，还要保证各应用系统的信息安全。

2 IPSec VPN的安全性分析

IPSec（IP Security）是IETF（互联网工程任务组―The Internet Engineering Task Force）定义的一组协议，用于增强IP网络的安全性。IPSec提供的安全服务有数据完整性、认证、保密性、应用透明的安全性。IPSec认证头（Authentica-

Tion Header，AH）提供了数据完整性和数据源认证，但不提供保密服务。AH包含了对称密钥的散列函数，使得第三方无法修改传输中的数据。IPSec封装安全负荷（Encapsulating Security Payload，ESP）提供了数据加密功能。ESP利用对称密钥对IP数据进行加密，因此可以通过在AH中嵌套ESP来实现数据加密认证。另外，有一种带认证的封装安全负荷也可以实现数据的加密认证。

IPSec VPN在安全方面的优势有：

1）ESP使用了当前流行的密码学算法DES-CBC对保护的IP数据进行加密解密，使用HMAC-MD5-160和HMAC-SHA1-120认证算法，数据加密强度足够高，尤其适合对安全性要求很高的用户选择使用；

2）IPSec的密钥管理功能非常好。由于ESP协议把加密与协议本身分开处理，因此加密算法有更多选择，为进一步提高IPSec VPN的安全性提供了可能；

3）在隧道模式下，IPSec对IP数据报的封装方式还可以防止偷听者分析源和目标之间的通信量。在隧道模式下，IPSec对原来的IP数据报进行封装和加密，再加上了新的IP头，如果ESP用在网关中，外层的未加密IP头包含网关的IP地址，而内层加密了IP头包含的才是真实的源地址和目标地址。偷听者截获的也至多是网关的地址，从而保护了通信双方的真正IP地址安全；

4）IPSec VPN在VPN 交换机上，通过支持所有领先的通道协议、数据加密、过滤/防火墙、通过RADIUS、LDAP和 SecurID实现授权等多种方式保证安全。

安全是相对的，绝对安全只是一种理想。尽管采取了较好的加密算法和认证协议，但IPSec技术的产品并不一定意味着安全。与其他安全产品和安全协议一样，IPSec也可能被攻击和受到危害。即使有完善的密码算法，足够的密码强度，层出不穷的主动攻击仍有可能攻破建立起来的安全通道。

1）实现方式攻击。实现方式攻击是IPSec安全系统中最常见的攻击方式，这种攻击方式并不仅仅存在于IPSec协议中，在PPTP协议中也存在这种攻击方法。通信的双方通过安全联盟（SA）建立新的通信，但当一方建议使用一种加密/鉴别算法，而另一方建议使用另一种加密/鉴别算法时，如何协调使用双方建议的算法，则由厂商决定如何实现这些选择，但这种强制性选择会降低安全性；

2）剪贴攻击和短块攻击。剪贴攻击的攻击方法是骗取接收端的信任，使接收端解密敏感数据，并将这些数据泄露给攻击者。阻止攻击方对密文数据的修改是防止此类攻击的方法。短块攻击是针对一种特定情况，即当传输的最后报文块包含一个1字节长的明文，并且该报文块的剩余部分由随机数填充的情况下，就有可能遭受短块攻击；

3）利用ESP漏洞攻击。远程攻击者利用IPSec的封装安全负载（ESP）出现的漏洞，伪造包含已知源、目的地址和序列号码的、非常短的ESP包，蒙混过关，发送给IPSec实现处理时使内核出现错误，从而实施拒绝服务攻击；

4）安全的证书授权（Certificate Authority CA）非常必要。安全联盟密钥管理协议（ISAKMP）标准并没有没有指出采用何种类型的CA，也没有说明证书类型的标识和证书交换，甚至没有明确特定的数字签名算法。如果接收端使用了一个不安全的CA，或者把自己作为CA，如果攻击者破坏了CA，将来所有的通信都是会受到安全方面的威胁；

5）密钥管理协议（IKE）中的不同步问题，也会造成安全性的降低。在IPSec的IKE说明中，会话的终止无法让发送方和接受方同时知道，双方不能同时停止动作，如果接收端停止会话，可是发送端还会发送数据，此时如何阻止接收端接收这些数据就显得很关键了。

尽管IPSec还存在不少问题，但它支持多种数据加密方式和身份认证方式，技术成熟，安全性得到实践证明，它仍然是作为站点到站点的VPN事实上的标准。

3 SSL VPN安全性分析

安全套接层（Secure Socket Layer，SSL）是传输层安全协议，用于实现Web安全通信。

SSL VPN使用的是SSL协议，该协议对应用层是独立的，高层协议都可以透明地运行在SSL协议上。SSL的基本目标是实现两个应用实体之间安全可靠的通信。用握手协议定义了对称密钥之后，所有通信都被加密传送。SSL数据加密的安全性由加密算法来保证，由于可供采用的加密算法不止一种，并且算法本身也有相当好的抗解密能力，所以在连接上的保密性是可以信赖的。报文传输期间，由于是利用安全散列函数进行数据完整性检验，因此SSL提供的连接的可靠性得到了足够保证。

SSL VPN采用SSL协议通信端口443作为远程主机与SSL VPN网关之间的传输通道，这个通信端口一般是作为Web服务器对外的数据传输通道，因此，不需要在防火墙上作任何修改，也不会因为对不同应用系统的需求而修改防火墙上的设定，如果所有后台系统都通过SSL VPN的保护，那么防火墙只开启一个443端口就可以了，大大降低了端口开放过多带来的安全隐患。

4 IPSec VPN与SSL VPN安全性比较

IPSec VPN是在网络层建立虚拟安全通道，而SSL VPN则是在应用层建立虚拟安全通道，两者的实现目标是一致的，但由于技术实现上的区别，从而导致应用方式不同，不同的应用方式相应带来不同的非安全因素，这些非安全因素带来的对通道的安全威胁程度也是不尽相同的。

加密算法。SSL和IPSec都支持大部分的算法标准，有所区别的是IPSec还支持AES，SSL不支持AES，但TLS（Transport Layer Security，传输层安全标准，是对SSL协议的改进）支持。IPSec的每一个连接都由安全会话控制着，使用IPSec VPN，只要使客户端软件和网关的参数设置一样，就可以在连接中采用特殊的密码算法。而使用SSL VPN时，需要更改参数设置的是浏览器，但不是所有的浏览器都支持所有的密码算法。在这一方面IPSec VPN显然略胜一筹。

认证。SSL VPN和IPSec VPN都支持双向验证。IPSec客户端可以预先设置特定的服务器证书，或者只接受企业规定的用户名/密码。SSL VPN所采用的认证方式不同，当服务器发来新的证书时，它会提示用户，由用户自己选择接受或拒绝这个证书。虽然服务器证书可以预先安装到浏览器上，但是这样做SSL不需要安装、配置客户端的优势就不明显了。IPSec VPN要求客户端安装相应软件并进行配置，使用数字证书或是一组预共享密钥来做认证，并与双方设备的网络参数、策略设置和设备的IP地址等都有直接的关系，所以对于普通远程连接是相当安全的。相反，SSL VPN用户可以随意地在公共场所登录远程网络，黑客可能会利用客户端浏览器留下的Cookie信息通过SSL建立的隧道攻击内网。针对这一点，现在SSL VPN产品都支持超时断开功能，在一定时间内没有VPN流量，则VPN连接自动断开，比如，深信服的SSL VPN产品还会有一个人性化的提示，以供选择停止还是继续。在VPN断开以后，自动清理Cookie，从而消除这方面的安全隐患。所以在认证方面，两者没有太大差距。

防攻击。若远程用户以IPSec VPN的方式与公司内网建立连接，企业内部网络所连接的应用系统，黑客都可以侦测得到，这就给黑客攻击提供了机会。当然，既然知道了问题所在，自然不会坐以待毙，邮政系统的做法就是在内部应用系统设置安全防御，进入VPN以后，在进入各个应用系统之前，还需要相应的安全登录步骤。即便黑客进入VPN网络，短时间内也只能在里面瞎转悠，如果在VPN网关或者应用系统网关上设置无流量超时退出，那么即便VPN被攻破，仍然可以保证内部应用系统的安全。SSL VPN在应用层上建立连接后，直接开启应用系统，这样侦测出内部网络的应用系统的几率就会降低，而且受威胁的也仅是所联机的这个应用系统，攻击机会相对较少。

病毒。首先来看SSL VPN的防病毒优势。若采用IPSec VPN联机，若远程客户端电脑受到病毒感染，病毒就有机会感染到企业内部网络所连接的每台电脑，而对于SSL VPN连接，病毒传播仅局限于被访问的主机，而且是针对该主机应用系统类型的病毒才有可能感染到这台主机，这使得病毒通过SSL VPN连接感染内网的可能性大大减少。其次，来看IPSec VPN的优势。因为IPSec VPN在每一台接入电脑上都安装了客户端程序，仅从这一点，安全性就比随意接入的SSL VPN要高，再者，IPSec VPN客户端的每次登录都要求特定的用户名文件和密码，这些用户名文件都有专门机构统一管理，如果密码强度足够，安全性能自然更有保障。

5结论

基于SSL技术构建的VPN是新兴的一个热点，主要面向大量用户提供有限访问，为他们提供一种简单的安全接入方式。IPSec是目前构建VPN的主要的、成熟的技术，成为主流标准，IPSec VPN提供了网络层的接入和保密，可以为所有的应用提供安全访问，在实现站点到站点的安全连接方面的作用是不可替代的。面对网络安全的各个方面，不可能有一种解决方案能解决所有安全问题，IPSec VPN主要用于保护内部网络，而SSL VPN主要用于实现远程客户通过浏览器实现的应用安全，两者更多的是功能上的互补，而非完全的对立。因此，邮政选择IPSec和SSL融合一体的VPN产品显然是正确的。在使用的过程中，采取哪种安全防范措施，需根据具体的应用情况区别应对。

参考文献

[1]赵兵.IPSecVPN和SSLVPN2种技术的对比选择[J].电力信息化，2007（8）：43-45.

[2]王克苑，张维勇，王建新.SSL安全性分析研究[J].合肥工业大学学报：自然科学版，2004（1）：87-91.

[3]徐家臻，陈莘萌.基于IPScc与基于SSL的VPN的比较与分析[J].计算机工程与设计，2004（4）：26-27.

[4]张大陆，等.VPN的核心技术的研究.计算机工程，2009（3）：41-43.

[5]孔雷登.虚拟私用网络技术.北京.清华大学出版社，2000.5.

[6]CarIton R. Davis.IPSec VPN 的安全实施[M].清华大学出版社，2006，9.