SSL VPN 安全防御详解

目录

SSL VPN 技术

 IP SEC缺陷

SSL握手协议的第一阶段

SSL握手协议的第二阶段

SSL握手协议的第三阶段

SSL握手协议的第四阶段

​编辑

SSL VPN的实现 

WEB代理

文件共享

端口转发

网络扩展 

访问模式 

SSL VPN要求的终端安全

SSL VPN 功能总结

---

SSL VPN 技术

SSL和 IP SEC 安全防护做对比

 IP SEC缺陷

由于IPSEc是基于网络层的协议，很难穿越NAT 和防火墙，特别是在接入一些防护措施较为严格的个人网络和公共计算机时，往往会导致访问受阻。移动用户使用IPSec VPN需要安装专用的客户端软件，为日益增长的用户群发放、安装、配置、维护客户端软件已经使管理员不堪重负。因此，IPSec VPN在Point- to-Site远程移动通信方面并不适用。
 

SSL握手协议的第一阶段

客户端首先发送client hello 消息到服务端，服务端收到client hello信息后，再发送server hello 到客户端

 随机数： 32位时间戳 +28 字节随机序列，用于计算机摘要信息和预主密钥或者主密钥的参数

会话ID： 一次性会话ID，防止重放攻击

SSL握手协议的第二阶段

服务器的证书：包含服务器公钥的证书，用于客户端给服务器发送信息时加密

server key exchange服务端密钥交换：决定密钥交换的方式，比如DH,RSA，会包含密钥交换所需的一 系列参数。 

SSL握手协议的第三阶段

client key exchange客户端密钥交换：根据服务端随机数算出一个pre-master，发给服务器，服务器收 到后根据pre-master密钥生成一个main-matser。

预主密钥和主密钥的关系

初始化向量的用途

 

SSL握手协议的第四阶段

SSL VPN的实现 

虚拟网关

 SSL VPN每个虚拟网关可以独立管理，可以配置各自的资源，用户、认证方式，访问控制以及管理员。 并且相互隔离。

WEB代理

 实现方式

web-link：使用active X控件方式，对页面进行请求

web改写： 将所请求页面上链接进行改写，其他内容不变

实现结果

实现对内网web资源的安全访问

1. 内网web资源只有私网地址，在不做NAT的情况下，可以通过SSL VPN实现对其的代理安全访问

2. 内网web资源只有私网地址，在做NAT的情况下，公网用户可以实现对其访问，但是web资源没有使用安全传输协议，SSL VPN可以实现对其http安全访问

文件共享

实现过程

实现原理

 协议转化技术：无需客户端，直接通过浏览器安全访问转换为内网文件共享的相应协议格式，使用activeX控件

支持协议 

SMB windows

NFS linux

端口转发

实现过程        

实现原理： 安装activeX控件 ，本质就是NAT过程

提供内网TCP资源的访问，C/S资源

提供丰富的静态端口的TCP应用

单端口单服务：telent、SSH、MS RDP VNC

单端口多服务：notes

多端口多服务：outlook

动态端口TCP应用

动态端口：FTP

提供端口级访问控制

自动安装运行一个 ActiveX控件，获取到管理端配置的端口转发资源列表（目的服务器IP、端口）。控件 将客户端发起的TCP报文与资源列表进行比对，当发现报文的目的IP/Port与资源列表中的表项匹配，则 截获报文，开启侦听端口（目的端口经过特定算法得出），并将目的地址改写为回环地址，转发到侦听 端口。对该报文加密封装，添加私有报文头，将目的地址设为USG的IP地址，经由侦听端口发往USG。 USG收到报文进行解密，发往真实的目的服务器端口。USG收到服务器的响应后，再加密封装回传给用 户终端的侦听端口。

特点

网络扩展 

实现过程

访问模式 

三种流量：去对方内网流量，去互联网流量，去本地局域网络流量

1. 全路由模式： 三种流量都走隧道，意味着本地不能访问互联网，也可以通过隧道访问，也能补访问本地局域网

2. 分离模式: 对方内网流量走隧道，本地局域网流量走物理网卡，互联网流量不能走。意味着，能访 问对方内网，能访问本地局域网，不能访问互联网。

3. 手动模式：对方内网流量走隧道，本地局域网络流量和互联网流量走物理网卡。意味着，都能访 问，并且互联网走本地。

SSL VPN要求的终端安全

 终端安全是在请求内网主机上部署一个软件，通过该软件检查终端的安全性包括：主机检查，缓存清 除。

主机检查：

杀毒软件检查

防火墙设置检查

注册表检查

端口检查

进程检查

操作系统检查

缓存清除：

internet临时文件

浏览器自动保存密码

cookie记录

浏览器访问历史记录

收回站和最近打开的文件

指定文件或者文件夹

认证授权

db认证授权

第三方服务认证授权

数字证书的认证

短信辅助认证

SSL VPN 功能总结

配置