点对点隧道协议（PPTP）常见问题解答 (2)

在最初设计开发远程访问服务（RAS，Remote Access Service）时，基于远程访问的角度，开发者就有一个支持虚拟广域网（Virtual WAN）的想法。也就是说，开发者意识到：如果能把已存在的公共主干网、SNA主干网、以及Internet主干网处理为虚拟广域网将是个非常好的想法，这一想法类似于PSTN（公用交换电话网）、ISDN（综合业务数字网）、X.25的处理方式。广域网或虚拟广域网仅仅是一种位管道。在PSTN/ISDN/X.25的情况下，远程访问客户通过分组网络建立一个与RAS服务器的POP连接，一旦建立好连接，网络数据包就可以从分组网络传输到RAS服务器，再路由到目标局域网。在虚拟广域网情况下，PPP数据包利用传输级会话（TCP/IP或NetBIOS），通过虚拟广域网传输到RAS服务器，而不是使用分组连接在广域网上传输数据包。

组织机构在通过Internet进行数据通信时，其安全性是如何得到保证的？

首先要使用Windows NT的远程访问服务中的认证协议（PAP、CHAP）进行用户身份验证。MS-CHAP（询问握手认证协议的微软扩展协议，Microsoft-Challenge Handshake Authentication Protocol）支持MD4散列和局域网管理器所使用的DES（数据加密标准）。额外的验证可以由Internet服务提供者在POP连接时进行。通过使用远程访问服务中的加密协议（RSA RC4）可以完成数据加密。另外，可以增加Microsoft的远程访问服务（RAS），借助已有的压缩、加密、与Windows NT管理工具的组合来保证通信安全。例如，RAS支持加密，点对点隧道协议可以不说明密钥分配问题就能提供Internet的安全访问，因为通信双方共享用户凭据的散列表格。

点对点隧道协议中采用的加密方案是什么？

点对点隧道协议利用PPP提供的安全性。MS-CHAP（PPP认证）认证协议用来使用户凭据生效，得到的会话密钥再用来加密用户数据。Microsoft的压缩控制协议（CCP，Compression Control Protocol）中有一协商加密位。RAS客户机可以只请求加密允许的连接，RAS服务器也可以设置成只允许加密的RAS会话，通常情况下，希望与Internet连接的Windows NT RAS服务器配置成只允许加密连接。远程访问服务（RAS）支持RAS客户机和RAS服务器之间共享机密棗通过客户机上用户提供的口令可以得到与服务器上Windows NT安全数据库中存储的口令一致的MD4散列。通过使用RAS客户机和RAS服务器之间的共享机密就可以解决一重要的加密问题：密钥分配问题。如果要协商加密，就将使用RSA RC4加密协议以及经过用户身份验证后得出的40位会话密钥。微软还将为美国的远程访问服务提供128位加密，并且计划在1996年11月底的服务包（service pack）和加密包中提供远程访问服务的128位加密。

对于安全套接字层（SSL），普遍认为由于它要占用大量的CPU进行加密和解密，所以必然增加了客户机/服务器的负荷。那么在点对点隧道协议中是不是也有类似的情况？

没有。事实上，安全套接字层（SSL，Secure Sockets Layer）运行特性降低主要有两个原因：（1）私钥操作要耗费85ms的实CPU时间来建立连接；（2）随后，序列密码加密是在用户模式下进行的，然后传送到套接字层，这与在内核模式中调用TransmitFile() 并且进行其它一些操作是不一样的。点对点隧道协议具有一优点，它的加密是在内核模式下进行的。

点对点隧道协议是如何与防火墙技术（Firewall Technology）配合使用的?

点对点隧道协议（PPTP）是防火墙技术策略的一个补充，它能完成不同的网络安全性需要。防火墙通过严格控制来自于Internet的数据信息来保证公共网的安全性，而点对点隧道协议能够保证远程用户与公共网之间的数据交换的安全性。一个组织机构可以在防火墙与Internet外部网之间配置一台Windows NT RAS服务器。这样，Windows NT服务器系统将会识别出来源于远程用户通过Internet网传送来的PPTP包，然后服务器再将TCP/IP、IPX/SPX或NetBEUI分组传送到防火墙，最后由防火墙提供与没有PPTP时一样的网络安全性。

点对点隧道协议是如何配置的？

点对点隧道协议（PPTP）可以按以下两种方式中的任何一种进行配置。在第一种方式中，客户机和服务器均使用点对点隧道协议驱动，所有的加密在客户机上进行，所有的解密在服务器上进行。这种情况下，Internet服务提供者并不需要为用户作任何改动。而在第二种方式中，Internet服务提供者要安装支持PPTP的拨号平台或者前端处理机。这种情况下，任何有呼叫请求的PPP客户都可以建立一个与公共PPTP服务器的加密PPTP连接。这两种PPTP配置都能够给用户带来更多的灵活性。在最初微软点对点隧道协议的声明中，四大设备提供者棗Ascend，3Com，Telematics和U.S.Robotics公司以及大的Internet服务提供者UUNET都声称支持点对点隧道协议。

为了使用点对点隧道协议，组织机构一定需要为自己的网络重新分配地址吗？

由于点对点隧道协议（PPTP）只是通过隧道传输PPP包，所以并不需要重新分配网络地址。利用PPTP，Internet服务提供者就有可能为拥有相同IPX网络号的两个机构或更多机构服务。另外，通过基于IP网际协议的网络，点对点隧道协议允许Internet服务提供者为组织机构提供专有网编址方案，尽管该方案的编址是与IANA（Internet号码分配局）分配给其他一些机构的地址相冲突的。而这正是点对点隧道协议所提供的一大好处，因为给整个网络重新分配地址是件很繁重的任务。

Internet服务提供者（ISP）如何为自己的用户提供点对点隧道协议这项网络技术？

为了提供这项技术，Internet服务提供者需要在已有的远程访问服务器中添加或升级软件。一些主要的远程访问服务器硬件系统的提供者已经或者正准备推出支持PPTP的产品。如3Com，Ascend，ECI Telematics，U.S.Robotics公司一直为这项技术努力，而且大部分已经在远程访问服务器中实现了点对点隧道协议这项技术。当Internet服务提供者升级POP后，用户就能够从中受益，使用PPTP的虚拟专用网（VPN）特性，同时并不需要对远程客户机或公共服务器作任何改动。

点对点隧道协议这项技术能够让远程用户访问专用网上的NetWare服务器和UNIX服务器吗？

答案是肯定的。点对点隧道协议安装于Windows NT服务器，Windows NT服务器是一开放式平台，它支持多种协议，其中包括IPX（网间分组交换协议）、NetBEUI（NetBIOS扩展用户接口协议）。另外，它还支持Internet的加密PPP链接，基于PPTP的服务器可以使Internet网成为主干网进行IPX、NetBEUI远程访问。

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有