VPN的分类：应用层：SSL VPN等
传输层：Sangfor VPN
网络层：IPSec VPN、GRE等
网络接口层:L2F/L2TP、PPTP等
VPN常用技术：隧道技术、加解密技术、身份认证技术、数据认证技术、密钥管理技术
多种隧道技术比较：
| 隧道协议 | 保护范围 | 用户身份认证 | 加密和验证 |
| GRE | IP层及以上数据 | 不支持 | 支持简单的关键字验证 |
| L2TP | IP层及以上数据 | 支持基于PPP的CHAP\PAP\EAP认证 | 不支持 |
| IPSec | IP层及以上数据 | 支持预共享密钥或证书认证，支持IKEv2的EAP认证 | 支持 |
| Sangfor VPN | IP层及以上数据 | 支持多种身份认证 | 支持 |
| SSL VPN | 应用层特定数据 | 支持多种身份认证 |
支持 |
加解密技术：
目的:即使信息被窃听或者盗取，攻击者也无法知晓信息的真实内容。可以对抗网络攻击中的被动攻击。
对称算法的缺陷：1、密钥传输风险：①Alice和Bob必须要使用一个安全的信道建立密钥；②但是消息传递的通信链路是不安全的；
2、密钥多 难管理；
非对称加密算法：加密和解密使用的是不同的密钥（公钥、私钥），两个密钥之间存在着相互依存关系：用其中任一把密钥加密的信息只能用另一个密钥进行解密；即用公钥加密，用私钥解密就可以得到明文；这使得通信双方无需事先交换密钥就可进行保密通信。
对称算法VS非对称算法：
| 对称加密 | 非对称加密 | |
| 安全性 | 较低 | 较高 |
| 速度 | 较快 | 较慢 |
| 密钥数量 | N取2的组合 | N |
综上所述：①数据传输采用对称加密算法；②对称加密的密钥通过非对称加密算法进行加解密。
身份认证技术：是在网络中确认操作者身份的过程而产生的有效解决方法。
身份认证：通过标识和鉴别用户的身份，防止攻击者假冒合法用户来获取访问权限。
PKI体系：PKI是创建、颁发、管理、注销公钥证书所涉及到的所有软件、硬件的集合体，其核心元素是数字证书，核心执行者是CA认证机构。PKI采用证书管理公钥，通过第三方的可信任机构——CA认证中心把用户的公钥和用户的其他标识信息捆绑在一起放在用户证书中，在互联网上验证用户的身份。
CA中心：作用：签发证书，规定证书的有效期和通过发布证书废除列表确保必要时可以废除证书，以及对证书和密钥进行管理。
CA中心为每个使用公开密钥的用户发放一个数字证书，数字证书的作用是证明证书中列出的用户合法拥有证书中列出的公钥。使得攻击者不能伪造和篡改证书。
数字证书的内容包含：用户身份信息，用户公钥信息，身份验证机构数字签名的数据
可分为签名证书和加密证书：
签名证书：主要用于对用户信息进行签名，以保证信息的真实性和不可否认性；
加密证书：主要用于对用户传送的信息进行加密，以保证信息的机密性和完整性。
-------------------------------------------------------------------------------------------------------------------------------------------------------------------------
IPSec VPN：是基于IPSec协议族构建的在IP层实现的安全虚拟局域网。通过在数据包中插入一个预定义头部的方式，来保障OSI上层协议数据的安全，主要用于保护TCP\UDP\ICMP和隧道的IP数据包。
IPSec提供的安全服务：机密性、完整性、数据源鉴别、重传攻击保护、不可否认性、访问控制、有限的流量保密等其他安全服务。
传输模式：经常用于主机和主机之间端到端通信的数据保护。
封装模式：不改变原有的IP包头，在原数据包头后面插入IPSec包头，将原来的数据封装成被保护的数据。
隧道模式：经常用于私网与私网之间通过公网进行通信，建立安全VPN通道。
封装模式：增加新的IP（外网IP）头，其后是IPSec包头，之后再将原来的整个数据包封装。
IPSec通信协议：
AH（认证报头）：协议号51
提供的安全服务：①无连接数据完整性；②数据源认证；③抗重放服务
AH不提供任何保密性服务：它不加密所保护的数据包；
不论是传输模式还是隧道模式下，AH提供对数据包的保护时，它保护的是整个IP数据包。（不支持NAT）
ESP(封装安全有效载荷)：协议号50
提供的安全服务：①无连接数据完整性；②数据源认证；③抗重放服务；④数据保密；⑤有限的数据流保护
ESP在传输模式下封装：
ESP在隧道模式下封装：
ESP封装支持NAT穿越。
安全联盟SA：是通信对等体间对某些要素的约定，通信的双方符合SA约定的内容，就可以建立SA。
SA由三元组来唯一标识：安全参数索引、目的IP地址、安全协议号；
IKE（Internet 密钥交换）用途：IKE为IPSec协商生成密钥，AH/ESP加密和验证使用；在IPSec通信双方之间，动态的建立安全 关联SA，对SA进行管理和维护。
IKE工作过程：IKE经过两个阶段为IPSec进行密钥协商并建立安全联盟：
第一阶段交换：通信各方彼此间建立一个已通过身份验证和安全保护的通道，此阶段的交换建立了一个IKE SA。 第一阶段交换有两种协商模式： ◆主模式协商 ◆野蛮模式协商
第二阶段交换：用已经建立的安全联盟（IKE SA）为IPSec协商安全服务，即为IPSec协商具体的安全联盟，建 立 IPSec SA，产生真正可以用来加密数据流的密钥，IPSec SA用于最终的IP数据安全传送。
IKE阶段一：
主模式：默认使用IP地址作为身份标识，默认是传递自己的出口地址作身份标识，校验对端的公网IP作对端身份标 识。（自动生成双方身份ID）
主模式过程：1、协商建立IKE安全通道所使用的参数
2、交换DH密钥数据 （三次交换过程，6个消息交互包）
3、双方身份认证
4、建立IKE安全通道
野蛮模式：可以使用用户名或IP等作为双方身份标识，即可以手动配置身份ID。
野蛮模式 过程同样三个步骤，但仅通过3个包进行传输：
1、第一个交互包发起方建议SA，发起DH密钥交换
2、第二个交互包接收方接受SA
3、第三个交互包发起方认证接收方
野蛮模式交互过程少，所以在传输过程中，其传输的数据比较多，并且前两个数据为明文传输，仅消息3为加密传输。
两种模式对比：
| 主模式 | 野蛮模式 | |
| 消息交互 | 交互6个消息（以IP地址作为身份ID，自动生成本端身份ID和对端身份ID） | 交互3个消息（可以以多种形式生成本端和对端的身份ID） |
| 域共享密钥 | 只能基于IP地址来确定预共享密钥 | 基于ID信息（主机名和IP地址）来确定预共享密钥 |
| 安全性 | 较高（前4个消息以明文传输，最后两个消息加密，对对端身份进行了保护） | 较低（前两个消息以明文传输，最后一个消息进行加密，不保护对端身份） |
| 速度 | 较慢 | 较快 |
IKE阶段2：双方协商IPSec安全参数，包括：加密算法、Hash算法，安全协议，封装模式，存活时间（密钥更新时间）；
信息交换模式为快速模式：定义了受保护数据连接是如何在两个IPSec对等体之间构成的。
主要的两个功能：1、协商安全参数来保护数据连接
2、周期性的对数据连接更新密钥信息
第二阶段的效果为协商出IPSec单向SA，为保护IPSec数据流而创建。第二阶段整个协商过程受第一阶段IKE SA保 护。
数据传输阶段：是通过AH或ESP通信协议进行数据的传输，建立在网络层；
VPN隧道黑洞：
DPD：死亡对等体检测，检查对端的IKE SA是否存在。当VPN隧道异常的时候，能检测到并重新发起协商，来维持 VPN隧道。
DPD概述：DPD包并不是连续发送，而是采用计时器机制。每收到一个IPSec加密的包后就重置这个包对应IKE SA的 空闲定时器；如果空闲定时器计时开始到结束过程都没有收到该SA对应的加密包，那么下一次有IP包要被这个 SA加密发送或接收到加密包之前就需要使用DPD来检测对方是否存活。