旅途

如果想飞得高,就该把地平线忘掉

网络基础知识讲座:初步了解隧道技术

 现在的计算机领域越来越依赖于各种类型的隧道技术。所有的远程接入VPN(虚拟专用网)都要用隧道,你还经常听到计算机狂人们在谈论SSH(安全 Shell)隧道。利用隧道技术你可以完成许多令人惊讶的工作,所以请舒舒服服地坐好吧,愉快地享受这一期关于隧道技术及其用途的知识讲座。如果你想了解 IP安全协议(IPSec)的具体情况,我们会在以后的基础知识讲座中阐述。

  隧道技术的主要作用是让一种网络不支持的外来协议通过该网络。隧道协议可以让你利用诸如IP等协议通过IP数据包的“数据”部分发送另一种协 议。大多数隧道协议作用在第4层,这就意味着这些协议可以用来代替TCP(传输控制协议)或UDP(用户数据报协议)等协议的功能。

  VPN隧道技术允许远程客户通过隧道进入我们的网络,这一点证明了早前关于隧道被用于那些“不受支持协议”的观点,尽管该作用并不显而易见。如 果我们要通过VPN才能实现打印机和文件共享,那可能是因为端口139和445(Windows的配对端口)已被关闭,实际上对于我们的边界路由器来说, 这两个端口是不受支持的TCP端口。然而,如果在已知的VPN服务器上采用IPSec或PPTP(点对点隧道协议),那么一切就“都没问题”了。

  被发往活动目录(Active Directory)服务器端口445的数据包将被隐藏为VPN数据包。当这些数据包到达VPN服务器时,服务器会对数据包进行解包(demux,即de -multiplex,也被称为disassemble),然后将其发送到内部网络上。当数据包到达内部网络时,其源地址现在就是VPN服务器的内部 IP,这样内部网络做出的响应就能返回VPN服务器。除了这一点,数据包都会完全按照你的意图行事。VPN服务器一收到响应,就会给该数据包添加VPN头 并封装起来,然后通过其外部接口把它发回给你。

  关于VPN隧道要注意几个有意思的地方:一旦你的数据到达内部网络,它就已经被解密;而当这些数据通过Internet时,会有一些特别的“东西”被加入到数据包中。

  有一点我们没有提及,但是也许很明显,那就是VPN协议在传送你的数据包之前会为其加密。对于理解隧道概念这无关紧要,不过却值得一提。注意这 种加密并不是端对端,也就是说你和服务器之间的通信不是真正安全的。当然你自己和你的网络之间很安全,别人无法窥探,然而一旦数据包从VPN服务器出来, 就会再一次被解密。

  说到第二个有意思的地方,我们先来了解一下最基本的IP封装原理。从概念上来说,我们是把数据包嵌套,更确切地说, 外部的IP数据包的数据部分要包含一个完整的IP数据包。很妙,是不是?这样我们就解释了IPIP隧道的概念:IP被包含在IP数据包中。

  

  图1



  如图1所示,IP数据包的数据部分包含了一个崭新的IP数据包。除了加密,它与VPN隧道技术的作用是一样的。当你的数据包顶端带了个“附加的 包头”时,你无法发送大量的数据,因为第一个IP头就占用了20个节字。认识这一点非常重要,因为在采用隧道技术时会突然出现Path MTU(最大传输单元)问题。

  "建立SSH隧道"是一件很奇妙也很让人费解的事,也就是采用SSH协议通过隧道传送数据。X11程序(例如一个图形用户界面程序)如果需要连 接一个显示终端。它可以非常轻松地通过SSH隧道传送数据。X的客户(例如弹出窗口程序)会试图连接显示器所在的工作站上的X服务器,如果你与一台服务器 之间采用了SSH,并且各选项设置无误,那么程序试图连接X的信息将被通过隧道返回给你本地的计算机,解密后再传送给你本机机上的X服务器。现在来试着建 立SSH隧道吧:执行“ssh-Y user@hostname.com”命令,然后一旦进入就运行firefox,它应该显示在你的本地计算机上,而且是通过加密SSH隧道实现的。

  因为OpenSSH的能力很有趣,并且有助于我们理解隧道概念,所以我们来看看SSH另外两个小技巧。

  你可以把到自己计算机上的一个端口的连接转发给一台远程计算机,它将你的数据通过SSH隧道传送,使之安全可靠。这看起来似乎没什么用处,毕 竟,为什么我要把自己计算机上的端口发给另一台计算机呢?要回答这个问题我们先要澄清一些概念。SSH转发端口之前首先要侦听本地端口是否有连接,当建立 连接后,SSH就把整个连接发送给远程主机和端口,这是一个单端口VPN!

  例如:ssh -L80:workserver.com:80 user@workdesktop.com

  这条命令在本机与workdesktop.com计算机之间建立一个SSH连接,而与此同时也打开了你本地计算机上的端口80。如果你让web 浏览器指向http://localhost,此连接就会通过SSH连接被发送至workdesktop.com,进而又发送至 workserver.com服务器的端口80上。这非常有益于从家里访问那些仅存在于Intranet上的站点,而无需先连接至VPN服务器。

  最新的OpenSSH版本同样支持SSH上的IP隧道技术。实际上,它也支持以太网(Ethernet),目的是将两个以太网广播域桥接在一 起;也就是通过SSH加密!在OpenSSH的隧道选项中,人们可以设置全功能的SSH-VPN隧道,使之在任何SSH网络上都能实现。它在两端都创建隧 道接口,而唯一需要手动配置的只是路由表。如果你想让所有发往目的网络的数据都通过加密隧道来发送,那么你只需为目的网络增加一条路由,并把它指向SSH 自动创建的隧道接口。这确实是目前最无可争议的VPN设置了。

  隧道也传送其它协议。希望上述内容能够让你深入了解隧道技术,激发一点兴趣,或者至少让某些人不再觉得这种技术多么神秘。

  小结

  隧道技术用于在各种不同的网络中发送不受支持的协议。

  通过隧道的数据、VPN或其它内容使数据包增大,所以每个数据包所发送的数据量减少。

  一般来说,通过SSH隧道发送数据是一种根据具体应用建立的VPN,然而最新版本的OpenSSH可实现一个完全成熟、无可争议的VPN。

posted on 2007-08-14 23:58 旅途 阅读(638) 评论(0)  编辑 收藏 引用 所属分类: 网络技术


只有注册用户登录后才能发表评论。
网站导航: 博客园   IT新闻   BlogJava   知识库   博问   管理