Протокол общей инкапсуляции gre

Для туннелирования кадров РРР в IP-пакеты протокол РРТР использует обновленную версию протоколаGRE (GenericRoutingEncapsulation, v2).GRE– это протокол общей инкапсуляции для маршрутизации(RFC1701,RFC2637). Он достаточно часто применяется вInternetпри инкапсуляции на сетевом уровне одних протоколов в другие.

Пакет GREсостоит из кадра РРР, к которому добавляется заголовокGRE(рис.1). Заголовок (16 байт) содержит 6 полей, из которых последние два поля – опциональные.

Поле 1 (2 байта) – набор указателей наличия опциональных полей и код версии.

Поле 2 (2 байта) – код протокола-пассажира. ДляIPэто код880Вh.

Поле 3 (2 байта) – длина кадра РРР в байтах (без заголовкаGRE), без поляFCS, без флагов и других вставляемых в кадр РРР символов, необходимых при передаче кадра на физическом уровне.

Поле 4 (2 байта) – идентификатор сеанса данной пары VPN-партнеров.

Поле 5 (4 байта) – порядковый номер пакета GREотправителя.

Поле 6 (4 байта) – порядковый номер последнего принятого пакета GRE.

Нумерация пакетов необходима для управления потоком, является средством защиты от пропуска и повторения передачи пакетов. При открытии сеанса нумерация пакетов начинается с нуля.

Для указания того, что в несущий IP-пакет инкапсулирован пакетGRE, в полеПротоколзаголовкаIP-пакета записывается код47 (для справки: код6 – если инкапсулирован ТСР, код17– еслиUDP, код1 – еслиICMPи т.д.).

Протокол туннелирования рртр

Протоколы туннелирования вместе с протоколами шифрования создают в произвольной сети защищенные виртуальные сетевые каналы – соединения VPN. Эти каналы обеспечивают взаимодействующим партнерам безопасную аутентификацию, целостность и конфиденциальность передаваемых данных.

Системные средства поддержки защищенных каналов могут встраиваться в разные уровни эталонной модели OSI– от канального до прикладного. Чем ниже по стеку находятся средства защищенного канала, тем легче их сделать прозрачными для вышележащих протоколов и приложений. С другой стороны, на верхних уровнях проще обеспечить требуемую безопасность передаваемых данных. Наиболее популярны следующие протоколы защищенных каналов.

IPSec (InternetProtocolSecurity) – протокол безопаснойIP-связи (RFC2401 и др.). Набор открытых стандартовсетевогоуровня для безопасной аутентификации пользователей или компьютеров, обеспечения целостности и конфиденциальности передаваемых данных, а также для автоматического снабжения конечных точек защищенного канала секретными ключами аутентификации и шифрования данных.

РРТР (Point-to-PointTunnelingProtocol) – протокол организации защищенного соединенияканальногоуровня (RFC2637). Обеспечивает безопасную взаимную аутентификацию партнеров туннеля и конфиденциальность передаваемых по туннелю данных. Базируется на протоколе РРР.

L2TP(LayerTwoTunnelingProtocol) – протокол организации туннеля наканальном (втором) уровне (RFC2661). Базируется на протоколе РРР, но шифрованием данных не занимается. Работает быстрее, чем РРТР, т.к. для управления туннелем применяется протоколUDP. Обычно используется совместно с протоколом IPSec, который и обеспечивает необходимую безопасность канала. В общем случае для использованияL2TP требуется служба цифровых сертификатов субъектов взаимодействия.

Протокол РРТР является расширением протокола РРР. В своей работе использует еще протоколы GRE(см. выше) иTCP.

Для управления криптозащищенным туннелем взаимодействующие пограничные устройства обмениваются специальными сообщениями. Это сообщения-команды, сообщения -ответы установки, поддержки и разрыва туннеля. Обмен управляющими сообщениями выполняется по ТСР-соединению, устанавливаемому между клиентом и сервером РРТР-туннеля (рис.2). Сообщения помещаются в поле данных протокольного ТСР-сегмента. При создании этого ТСР-соединения на сервере используется логический порт с номером 1723, а наVPN-клиенте – случайный свободный номер порта. Наличие служебного ТСР-соединения сVPN-сервером создает угрозу попадания на сервер непредусмотренного трафика. Для его подавления на интерфейсе А1 устанавлиается фильтр, пропускающий только трафик туннеля (код 47 протоколаGRE), трафик кVPN-серверу только через порт 1723 и от сервера с порта 1723.

Безопасная аутентификация партнеров РРТР-туннеля осуществляется средствами протокола РРР (MS-CHAPv2).

Шифрование данных, передаваемых по РРТР-туннелю, также поддерживается протоколом РРР (шифрование МРРЕ). МРРЕ обеспечивает толькоконфиденциальностьпередаваемых по туннелю данных, но явноне проверяет целостностьполучаемых по туннелю данных. В этом – некоторый недостаток протокола РРТР.

Лекция 16. Виртуальные частные сети VPN на базе протокола туннелирования РРТР: средства построения сетей VPN, сети VPN на основе ОС Windows Server 2003/XP