锐客网

  1. 首页 > 睿知 > it技术 > >

网络基础知识讲座二10：初步知道隧道技术

IT知识VPN TCP UDP

网络技术是从1990年代中期发展起来的新技术，它把互联网上分散的资源融为有机整体，实现资源的全面共享和有机协作，使人们能够透明地使用资源的整体能力并按需获取信息 。资源包括高性能计算机、存储资源、数据资源、信息资源、知识资源、专家资源、大型数据库、网络、传感器等 。当前的互联网只限于信息共享，网络则被认为是互联网发展的第三阶段 。现在的计算机领域越来越依赖于各种类型的隧道技术 。所有的远程接入VPN(虚拟专用网)都要用隧道，你还经常听到计算机狂人们在谈论SSH(安全Shell)隧道 。利用隧道技术你可以完成许多令人惊讶的工作，所以请舒舒服服地坐好吧，愉快地享受这一期关于隧道技术及其用途的知识讲座 。如果你想了解IP安全协议(IPSec)的具体情况，我们会在以后的基础知识讲座中阐述 。
隧道技术的主要作用是让一种网络不支持的外来协议通过该网络 。隧道协议可以让你利用诸如IP等协议通过IP数据包的“数据”部分发送另一种协议 。大多数隧道协议作用在第4层，这就意味着这些协议可以用来代替TCP(传输控制协议)或UDP(用户数据报协议)等协议的功能 。
VPN隧道技术允许远程客户通过隧道进入我们的网络，这一点证明了早前关于隧道被用于那些“不受支持协议”的观点，尽管该作用并不显而易见 。如果我们要通过VPN才能实现打印机和文件共享，那可能是因为端口139和445(Windows的配对端口)已被关闭，实际上对于我们的边界路由器来说，这两个端口是不受支持的TCP端口 。然而，如果在已知的VPN服务器上采用IPSec或PPTP(点对点隧道协议)，那么一切就“都没问题”了 。
被发往活动目录(Active Directory)服务器端口445的数据包将被隐藏为VPN数据包 。当这些数据包到达VPN服务器时，服务器会对数据包进行解包(demux，即de-multiplex，也被称为disassemble)，然后将其发送到内部网络上 。当数据包到达内部网络时，其源地址现在就是VPN服务器的内部IP，这样内部网络做出的响应就能返回VPN服务器 。除了这一点，数据包都会完全按照你的意图行事 。VPN服务器一收到响应，就会给该数据包添加VPN头并封装起来，然后通过其外部接口把它发回给你 。
关于VPN隧道要注意几个有意思的地方:一旦你的数据到达内部网络，它就已经被解密;而当这些数据通过Internet时，会有一些特别的“东西”被加入到数据包中 。
有一点我们没有提及，但是也许很明显，那就是VPN协议在传送你的数据包之前会为其加密 。对于理解隧道概念这无关紧要，不过却值得一提 。注意这种加密并不是端对端，也就是说你和服务器之间的通信不是真正安全的 。当然你自己和你的网络之间很安全，别人无法窥探，然而一旦数据包从VPN服务器出来，就会再一次被解密 。
说到第二个有意思的地方，我们先来了解一下最基本的IP封装原理 。从概念上来说，我们是把数据包嵌套，更确切地说，外部的IP数据包的数据部分要包含一个完整的IP数据包 。很妙，是不是?这样我们就解释了IPIP隧道的概念:IP被包含在IP数据包中 。

网络基础知识讲座二10：初步知道隧道技术

文章插图
图1
如图1所示，IP数据包的数据部分包含了一个崭新的IP数据包 。除了加密，它与VPN隧道技术的作用是一样的 。当你的数据包顶端带了个“附加的包头”时，你无法发送大量的数据，因为第一个IP头就占用了20个节字 。认识这一点非常重要，因为在采用隧道技术时会突然出现Path MTU(最大传输单元)问题 。
＂建立SSH隧道＂是一件很奇妙也很让人费解的事，也就是采用SSH协议通过隧道传送数据 。X11程序（例如一个图形用户界面程序）如果需要连接一个显示终端 。它可以非常轻松地通过SSH隧道传送数据 。X的客户(例如弹出窗口程序)会试图连接显示器所在的工作站上的X服务器，如果你与一台服务器之间采用了SSH，并且各选项设置无误，那么程序试图连接X的信息将被通过隧道返回给你本地的计算机，解密后再传送给你本机机上的X服务器 。现在来试着建立SSH隧道吧:执行“ssh-Y user@hostname”命令，然后一旦进入就运行firefox，它应该显示在你的本地计算机上，而且是通过加密SSH隧道实现的 。
因为OpenSSH的能力很有趣，并且有助于我们理解隧道概念，所以我们来看看SSH另外两个小技巧 。
你可以把到自己计算机上的一个端口的连接转发给一台远程计算机，它将你的数据通过SSH隧道传送，使之安全可靠 。这看起来似乎没什么用处，毕竟，为什么我要把自己计算机上的端口发给另一台计算机呢?要回答这个问题我们先要澄清一些概念 。SSH转发端口之前首先要侦听本地端口是否有连接，当建立连接后，SSH就把整个连接发送给远程主机和端口，这是一个单端口VPN!
例如:ssh -L80:workserver:80 user@workdesktop
这条命令在本机与workdesktop计算机之间建立一个SSH连接，而与此同时也打开了你本地计算机上的端口80 。如果你让web浏览器指向http://localhost，此连接就会通过SSH连接被发送至workdesktop，进而又发送至workserver服务器的端口80上 。这非常有益于从家里访问那些仅存在于Intranet上的站点，而无需先连接至VPN服务器 。
最新的OpenSSH版本同样支持SSH上的IP隧道技术 。实际上，它也支持以太网(Ethernet)，目的是将两个以太网广播域桥接在一起;也就是通过SSH加密!在OpenSSH的隧道选项中，人们可以设置全功能的SSH-VPN隧道，使之在任何SSH网络上都能实现 。它在两端都创建隧道接口，而唯一需要手动配置的只是路由表 。如果你想让所有发往目的网络的数据都通过加密隧道来发送，那么你只需为目的网络增加一条路由，并把它指向SSH自动创建的隧道接口 。这确实是目前最无可争议的VPN设置了 。
隧道也传送其它协议 。希望上述内容能够让你深入了解隧道技术，激发一点兴趣，或者至少让某些人不再觉得这种技术多么神秘 。
小结
隧道技术用于在各种不同的网络中发送不受支持的协议 。
通过隧道的数据、VPN或其它内容使数据包增大，所以每个数据包所发送的数据量减少 。
【网络基础知识讲座二10：初步知道隧道技术】一般来说，通过SSH隧道发送数据是一种根据具体应用建立的VPN，然而最新版本的OpenSSH可实现一个完全成熟、无可争议的VPN 。

 
网络基础知识讲座之五：学习生成树协议
网络基础知识讲座之四：理解数据链路层
网络基础知识讲座之三：理解OSI网络分层
网络基础知识讲座之二：理解子网和CIDR
网络基础知识讲座之一：理解IPv4地址的含义

    推荐阅读


    上一篇：图解：rj45水晶头网线的做法　10分经典

    下一篇：WTD公布符合RoHS规范的GPON3向模块及器件