能士VPN系统技术白皮书NESECSRVPN-GseriesNESECSRVPN-MseriesNESECSRVPN-Sseries版本V1.01四川川大能士信息安全有限公司SCU-NESECINFOSECCO.,LTD.公司信息四川川大能士信息安全有限公司SCU-NESECINFOSECCO.,LTD.成都市一环路南一段24号四川大学科技创新中心201邮编：610065电话：（86-028）6671218466711475传真：（86-028）85403488网址：wwnesecwwnesecE-mail：cd@nesec北京能士信息安全技术有限公司BEI激NGNESECINFOSECTECHNOLOGYCO.,LTD.北京市北三环西路43号当代青云大厦1504室邮编：100086电话：（86-010）88356851传真：（86-010）62135979转8032E-mail：bj@nesec深圳市能士信息安全有限公司SHENZHENNESECINFOSECCO.,LTD.深圳市福田区八卦路众鑫大厦2209-2210邮编：518209电话：（86-0755）2588780825884162传真：（86-0755）25884172E-mail：sz@nesec服务与支持若您需要更详细的服务与技术支持或有相关问题需要咨询，请按以下方式联系我们。电话：（86-028）6671204566712047传真：（86-028）85403488E-mail：support@nesec版本说明本技术白皮书中所涉及到的相关说明、技术指标、硬件参数等内容随着产品硬件、软件的不断升级可能会发生改变，对此，能士公司保留修改的权利。能士公司将不定期对本技术白皮书的内容进行更新，相关更新情况恕不另行通知，详情请向能士公司咨询。版权声明本技术白皮书版权归四川川大能士信息安全有限公司所有，未经能士公司书面许可，任何单位或个人不得改变（包括删除、修改、增加等操作）本技术白皮书中的内容，否则，能士公司将追究相应责任。目录1前言网络信息安全技术是一门综合技术。对于现有的信息网络，一方面要加强对网络信息系统的功能性开发应用，另一方面要用最先进的技术来保证网络信息系统的安全运行。网络信息系统的不安全因素源于：在网络技术发展之初期，特别是开发互联网TCP/IP协议系列的初衷，人们的精力主要放在互联网络的连通性、服务质量、带宽的提高上。从构建网络协议和生产网络设备开始就忽视了由于开放系统互连可能带来的种种安全问题。而随着网络用户与日俱增，网上用户和应用的复杂性、利益冲突的尖锐性，其安全风险日益突出；而这些安全风险正是利用了网络信息系统从应用程序、操作系统到通信协议中的固有脆弱性和安全漏洞。为了保护用户已有的投资，不可能将旧设备抛弃，更不可能将基于原有的网络协议上数以万计的应用软件淘汰。正是基于这一安全空缺的应用背景，人们采用了安全加固等一系列“安全补丁”的方法。但是打补丁的安全方法是有限的，并非根本性和体系性的安全策略。通过研究和工程实践，人们提出了从信息安全体系结构入手解决网络信息安全问题的完整思想。信息安全体系结构可通过以下的三维示意图来描述。安全体系结构的构成要素是安全服务与机制、信息系统单元及网络参考模型层次（OSI）。信息系统构成单元安全管理数据机密性数据完整性信息可用性鉴别技术安全管理协议层次（TCP/IP）可靠性审计性认证用户权限抗否认其它安全服务访问控制技术密码技术安全机制安全服务安全机制通信平台网络平台系统平台应用平台物理环境及保障能士VPN系统专门用于解决利用公共通信基础设施构造网络平台的安全问题，尽可能提供互联网络（即IP）层的所有安全特性，在安全管理的约束下，兼顾系统资源，构筑一个网络安全平台。作为国内安全VPN领域的先驱，川大能士不断分析、挖掘用户新的安全需求，遵循安全性、可用性、可靠性原则，扩充和完善VPN，以实现用户信息系统安全整体解决方案。2关键技术简介2.1VPN技术简介VPN（VirtualPrivateNetwork虚拟专用网络）指在公共通信基础设施上构建的虚拟专用或私有网络。虽然VPN在本质上并不是完全独立的网络，它与真实网络的差别在于VPN以隔离方式通过公共通信基础设施，提供了不与非VPN通信共享任何相互连接点的排他性通信环境。而VPN技术是指在公共通信基础设施上构成虚拟专用网络的技术。这些技术包括配置管理技术、隧道技术、协议封装技术和密码技术等。这些技术可应用在TCP/IP协议层的数据链路层、IP层、TCP层和应用层。实现VPN技术的相关协议有很多，包括PPTP、L2TP、IPse...