【GB国家标准】 /IsO/IEC 18028-5:2006 信息技术安全技术IT网络安全第5部分:使用虚拟专用网的跨网通信安全保护

ICS35.020
中华人民共和国国家标准
GB/T25068.5—2010/ISO/IEC18028-5:2006信息技术
安全技术
IT网络安全
第5部分：使用虚拟专用网的跨网通信安全保护
Information technology-Security techniques-IT network security-Part 5:Securing communications across networks using virtual private networks（ISO/IEC18028-5:2006,IDT）
2010-09-02发布
中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会
2011-02-01实施
GB/T25068.5-2010/ISO/IEC18028-5:2006目
规范性引用文件
术语和定义
缩略语
VPN综述
VPN类型
VPN相关技术
安全方面
VPN安全目标
VPN安全要求·
保密性
完整性
可用性
隧道端点
8安全VPN选择指南
法规和法律方面
VPN管理方面·
8.3VPN体系结构方面·
9安全VPN实施指南
9.1VPN管理考量.·
VPN技术考量·
附录A（资料性附录）实现VPN所使用的技术和协议A.1
第2层VPN
第3层VPN
高层VPN..
典型VPN协议安全特点比较
参考文献
GB/T25068.5—2010/ISO/IEC18028-5:2006前言
GB/T25068在《信息技术安全技术IT网络安全》总标题下，拟由以下5个部分组成：第1部分：网络安全管理；
一一第2部分：网络安全体系结构；一第3部分：使用安全网关的网间通信安全保护：第4部分：远程接人的安全保护；一第5部分：使用虚拟专用网的跨网通信安全保护。本部分为GB/T25068的第5部分。本部分使用翻译法等同采用国际标准ISO/IEC18028-5：2006《信息技术安全技术IT网络安全第5部分：使用虚拟专用网的跨网通信安全保护》（英文版）。根据GB/T1.1一2000的规定，做了如下一些纠错性和编辑性修改：
第2章中增加了引用文件GB/T17901.1：原文第4章的缩略语NAS对应的全称中“AreaStrong”和NCP对应的全称中Point-to-Point”是错误的，转换为本部分时NAS的全称更正为“NetworkAccessServer”，NCP的全称更正为\NetworkControlProtocol”。另外为使本部分易于理解，增加了7个缩略语，增加的缩略语在所在页边的空白处用单竖线“”标出。-8.1中增加了使用国家加密标准的规定。这些修改不影响等同采用的一致性程度。本部分的附录A为资料性附录。
本部分由全国信息安全标准化技术委员会（TC260）提出并归口。本部分起草单位：黑龙江省电子信息产品监督检验院、中国电子技术标准化研究所、哈尔滨工程大学、北京励方华业技术有限公司、山东省标准化研究院。本部分主要起草人：王希忠、徐铁、黄俊强、马遥、方舟、王大萌、树彬、张清江、王智、许玉娜、张国印、李健利、肖鸿江、祝宇林、刘亚东、邱意民、王运福。GB/T25068.5—2010/IS0/1IEC18028-5:2006引言
通信和信息技术业界一直在寻找经济有效的全面安全解决方案。安全的网络应受到保护，免遭恶意和无意的攻击，并且宜满足业务对信息和服务的保密性、完整性、可用性、抗抵赖、可核查性、真实性和可靠性的要求。保护网络安全对于适当维护计费或使用信息的准确性也是必要的。产品的安全保护能力对于全网的安全（包括应用和服务）是至关重要的。然而，当更多的产品被组合起来以提供整体解决方案时，互操作性的优劣将决定这种解决方案的成功与否。安全不仅是对每种产品或服务的关注，还必须以促进全面的端到端安全解决方案中各种安全能力交合的方式来开发。因此，GB/T25068的目的是为IT网络的管理、操作和使用及其互连等安全方面提供详细指南。组织中负责一般IT安全和特定IT网络安全的人员应能够调整GB/T25068中的材料以满足他们的特定要求。GB/T25068的主要目标如下：
GB/T25068.1定义和描述网络安全的相关概念，并提供网络安全管理指南一包括考虑如何识别和分析与通信相关的因素以确立网络安全要求，还介绍可能的控制领域和特定的技术领域（在GB/T25068的后续部分中涉及）；-GB/T25068.2定义一个标准的安全体系结构，它描述一个支持规划、设计和实施网络安全的一致框架；
-GB/T25068.3定义使用安全网关保护网络间信息流安全的技术；GB/T25068.4定义保护远程接人安全的技术；-GB/T25068.5定义对使用虚拟专用网（VPN）建立的网络间连接进行安全保护的技术。GB/T25068.1与涉及拥有、操作或使用网络的所有人员相关。除了对信息安全（IS）和/或网络安全及网络操作负有特定责任的，或对组织的全面安全规划和安全策略开发负有责任的管理者和管理员外，还包括高级管理者和其他非技术性管理者或用户。GB/T25068.2与涉及规划、设计和实施网络安全体系结构方面的所有人员（例如IT网络管理者、管理员，工程师和IT网络安全主管）相关。GB/T25068.3与涉及详细规划、设计和实施安全网关的所有人员（例如IT网络管理者、管理员、工程师和IT网络安全主管）相关。GB/T25068.4与涉及详细规划，设计和实施远程接人安全的所有人员（例如IT网络管理者，管理员、工程师和IT网络安全主管）相关。GB/T25068.5与涉及详细规划、设计和实施VPN安全的所有人员（例如IT网络管理者，管理员，工程师和IT网络安全主管）相关。1范围
GB/T25068.5—2010/IS0/IEC18028-5:2006信息技术安全技术IT网络安全
第5部分：使用虚拟专用网的跨网通信安全保护
GB/T25068的本部分规定了使用虚拟专用网（VPN）连接到互联网络以及将远程用户连接到网络上的安全指南。它是根据ISO/IEC18028-1中的网络管理导则而构建的。本部分适用于在使用VPN时负责选择和实施提供网络安全所必需的技术控制的人员，以及负责随后的VPN安全的网络监控人员。本部分提供VPN综述，提出VPN的安全目标，并概括VPN的安全要求。它给出安全VPN的选择、实施以及VPN安全的网络监控的指南。它也提供有关VPN所使用的典型技术和协议的信息。2规范性引用文件
下列文件中的条款通过GB/T25068的本部分的引用而成为本部分的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本部分，然而，鼓励根据本部分达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本部分。
GB/T9387（所有部分）信息技术开放系统互连基本参考模型（ISO/IEC7498，IDT）GB/T17901.1—1999信息技术安全技术密钥管理第1部分：框架（ISO/IEC11770-1：1996.IDT
GB/T19715.1信息技术安全技术信息安全管理指南第1部分：信息技术安全概念和模型(GB/T19715.1—2005,ISO/IECTR13335-1:2004,IDT)GB/T22081—2008信息技术安全技术信息安全管理实用规则（ISO/IEC27002：2005，IDT）GB/T25068.3信息技术安全技术IT网络安全第3部分：使用安全网关的网间通信安全保护（GB/T25068.3—2010,ISO/IEC18028-3:2005,IDT）GB/T25068.4信息技术安全技术IT网络安全第4部分：远程接人的安全保护(GB/T25068.4—2010,ISO/IEC18028-4:2005,IDT)ISO/IEC18028-1：2006信息技术安全技术IT网络安全第1部分：网络安全管理ISO/IEC18028-2：2006信息技术安全技术IT网络安全第2部分：网络安全体系结构3术语和定义
GB/T9387（所有部分）、GB/T19715.1和ISO/IEC18028-1确立的以及下列术语和定义适用于GB/T25068的本部分。
第2层交换技术layer2switching使用内部交换机制并利用第2层协议在设备之间创建和控制连接的技术。注：它通常对于上层协议模拟局域网环境。1
GB/T25068.5—2010/IS0/IEC18028-5:20063.2
第2层VPNlayer2VPN
在网络基础设施上提供模拟局域网环境的虚拟专用网。注：由第2层VPN链接的各个站点，能够像它们在同一个局域网上那样运行。3.3
第3层交换技术layer3switching使用内部交换机制并与标准路由机制相结合或使用MPLS技术以建立和控制网络之间连接的技术。
第3层VPNlayer3VPN
在网络基础设施上提供模拟广域网环境的虚拟专用网。注：由第3层VPN链接的各个站点，能够像它们在一个专用广域网上那样运行。3.5
private
只限于授权组成员使用：在VPN环境中，它指VPN连接中的通信流。3.6
专用网
gprivatenetwork
受到访问控制的网络，只限于得到授权的组成员使用。3.7
protocol encapsulation
协议封装
通过传输包装在一个协议内的协议数据单元而将一个数据流封装在另一数据流之内。注：在VPN技术中，这是可用于建立隧道的一种方法。3.8
虚电路
virtual circuit
使用诸如X.25、ATM或中继等包或信元交换技术而建立的网络设备之间的数据通道。4缩略语
ISAKMP
访问控制列表（AccessControlLists）鉴别头（AuthenticationHeader)异步传输模式（AsynchronousTransferMode）封装安全载荷（EncapsulatedSecurityPayload）侵检测系统（IntrusionDetectionSystem）互联网密钥交换（InternetKeyExchange）互联网络包交换（InternetworkPacketExchange）互联网安全关联和密钥管理协议（InternetSecurityAssociation andKeyManagement Protocol)
信息技术（InformationTechnology）第2层转发（协议)[Layer2Forwarding（Protocol)]第2层隧道协议（Layer2TunnelingProtocol)局域网(LocalAreaNetwork)
标签分发协议（LabelDistributionProtocol)微软点对点加密协议（MicrosoftPoint-to-PointEncryption）多协议标记交换（Multi-ProtocolLabelSwitching）-
5VPN综述
5.1简介
GB/T25068.5-2010/IS0/1EC18028-5.2006网络访问服务器（NetworkAccessServer）网络控制协议（NetworkContralProtocol)点对点协议（Point-to-PointProtocol)点对点隧道协议（Point-to-PointTunnelingProtocol）安全套接层协议（SecureSockets Layer）虚拟专用LAN服务（VirtualPrivateLANService）虚拟专用网（VirtualPrivateNetwork）虚拟专用线路服务（VirtualPrivate WireService）广域网（WideAreaNetwork)
作为一种网络互连方式和一种将远程用户连接到网络的方法，VPN一直在快速发展。VPN是种能实现ISO/IEC18028-2中所描述的通信流安全维技术的实例。其安全作为服务安全层（参见ISO/IEC18028-2中的定义）的一部分来考患。目前存在着范围较广的VPN定义。按照其最简单的定义，VPN提供一种在现有网络或点对点连接上建立一至多条安全数据信道的机制。它只分配给受限的用户组独占使用，并能在需要时动态地建立和撤销。主机网络可为专用的或公共的。VPN的示例表示如图1所示。它具有一条跨越不安全的公共网来连接两个端点的安全数据信道。攻击者1
用户和中心系统之间的VPN
公共I网
中心系统
攻击者2
图1VPN的示例表示
使用VPN的远程接人是在普通的点对点连接之上实现的。宜按照GB/T25068.4的规定，首先在本地用户和远程位置之间建立连接。该连接可采用有线或无线网络技术的方式。一些VPN作为一种管理服务来提供。在这种VPN中，安全可靠的连通性、管理和寻址功能（与专用网上的相同是在共享的基础设施上提供的。因此，可能需要考虑本部分所指明的附加安全控制来增强VPN。
穿越VPN的数据和代码宜只限于使用VPN的组织，且宜与下层网络的其他用户保持分离。属于其他用户的数据和代码不宜有访问同一VPN信道的可能。当可能需要评测附加安全控制的范围时，宜考虑拥有或提供VPN的组织在保密性和其他安全方面的可信度。5.2VPN类型
如上所述，有多种方式来表示VPN类型。从体系结构角度，VPN包括：
单一的点对点连接（例如客户端经由站点网关远程接入组织网络，或者一个站点网关连接到另一个站点网关）；
GB/T25068.5—2010/ISO/IEC18028-5:2006一点对云连接（例如，通过MPLS技术实施）。从OSI基本参考模型角度，VPN主要有三种类型：一第2层VPN提供模拟的局域网设施，它使用运行在主机网络（例如提供商网络）上的VPN连接来链接组织的站点或提供到组织的远程连接。提供商在该领域通常提供的服务包括虚拟专用线路服务（VPWS)或虚拟专用局域网服务VPN是使用物理网络的系统资源（例如，通过使用加密和/或穿越真实网络的虚拟网络的隧道链接)构建的。
VPN能在其所属组织控制下的专用网内完整实现，能穿越公共域中的网络实现，或能穿越以上两种网络的组合实现（VPN完全有可能在现有的专用广域网上构建。由于通常可提供成本相对较低的互联网访问，这使得这种公共网络系统逐渐成为很多应用程序中支持广域VPN和远程接人VPN的经济有效工具）。另一种方案是，这种信道可使用穿越互联网服务提供商网络而构建的安全隧道来建立。在这种情况下，公共的互联网就有效地成为下层传输系统。对于VPN的保密性，这意味着不确定度更高。
隧道是联网设备之间的数据通道，是跨越现有的网络基础设施而建立的。它对正常的网络操作是透明的，在很多实际场合，其用法能够类似于正常网络连接。需要时，隧道能够容易地打开或关闭，而不必对下层的物理网络基础设施进行任何更改。因此，用隧道创建的VPN比基于物理链接的网络更加灵活。
能使用以下技术创建隧道：
虚电路：
标签交换；
协议封装。
为虚电路而创建的隧道，通常使用包交换技术（例如顿中继或ATM）作为租用线路在常规的广域网设施中建立。这些技术确保隧道之间的数据流是分离的。标签交换是创建隧道的另一种方式。流经一个隧道的所有数据包都被分配一个识别标签。这种标签确保每个标签不同的包都将被穿过网络的特定路径排除在外。虽然隧道所使用的技术确实保证隧道与下层网络之间的数据流适当分离，但却不能满足一般的保密性要求。如果需要保密性，就需要使用加密技术来提供所需的安全级别。隧道也能够使用协议封装技术来创建，即一个协议的数据单元被包装和承载在另一个协议中。例如，一个IP包被使用IPsecESP协议的隧道模式来包装。在插人附加的IP头后，这种包再在IP网络上传输。
VPN隧道能在OSI模型的不同层上创建。虚电路在第2层上形成隧道。标签交换技术允许隧道在第2或第3层上创建。协议封装技术能在除物理层之外的所有层上使用（多数在第3层及以上实施）。4
GB/T25068.52010/ISO/IEC18028-5:2006加密技术可用于为基于虚电路、协议封装和标签交换的隧道提供附加安全级别。5.4安全方面
虽然对于普通的网络用户，隧道是隐藏的，但并非不可见，因此不是内在安全的。用于构建隧道的基本划分过程（划分为虚电路或标签交换通道）或封装过程，在攻击者使用网络分析器或探测器进行确定性检测时，不能得到保护。如果隧道没有使用加密技术实现，则这些攻击者将能访问其通信流。即便使用了加密技术，也不能隐藏隧道及其端点的存在。此外，也可能不必保护隧道端点免受未授权的逻辑和/或物理访问。因此，为了实现安全的VPN，必须根据组织安全策略和风险承受级别对隧道应用安全控制措施。
是否接受这种脆弱性将取决于组织的安全策略。5.4.1虚电路
用于建立下层安全信道的安全控制可使用常规广域电信设施中的虚电路，例如租用线路，它使用顿中继或ATM等技术。在这些技术中，对于电信操作人员保持私人用户的租用线路设施与所提供的公共访问互联网服务之间分离的程度而言，其下层网络也是基本安全的。虚电路中使用的技术使通道内在具有一定程度的保密性，但不具有绝对的安全性。在这种传统虚电路上构建的VPN被认为相对不大可能受到损害，因为安全违规或攻击通常需要源自提供商的核心网络之内。5.4.2标签交换
标签交换VPN的安全问题包括：
标签交换网络上承载的VPN之间的地址空间和路由的分离；一一确保标签交换网络核心的内部结构对外部网络是不可见的（例如，对潜在攻击者可用的信息加以限制）；
提供对拒绝服务攻击的抵抗；
一提供对未授权访问攻击的抵抗；一抵御标签欺骗（虽然有可能从外部将错误标签插人到标签交换网中，但由于地址分离，所以欺骗包只能损害产生欺骗包的VPN)。5.4.3协议封装
使用协议封装保持的密级取决于封装协议的属性。例如，如果使用仅具有AH协议的IPsec隧道来创建隧道，因为被第三方拦截的任何数据都清晰可见，所以它不提供保密性。这是因为AH协议只鉴别通信双方。
5.4.4加密
密码学通用安全方面的指南参见ISO/IEC18028-1:2006、GB/T17901.1--1999和GB/T22081—2008。有关特定算法和协议的信息在其他出版物中论及，并且宜考虑作为安全VPN选择的一部分（见第8章）。
5.4.5完整性保护
没有完整性保护的加密包能受到篡改。因此，易于改变的通信流，无论其是否被加密，也宜得到完整性保护。
6VPN安全目标
VPN的主要安全目标是抵御未授权访问，因而VPN才能用于完成更多的网络安全目标：防护网络中的和与网络相连的系统中的信息以及它们所使用的服务：保护支撑网络基础设施；
保护网络管理系统。
ISO/IEC18028-1：2006讨论与VPN相关的关键安全风险。5
GB/T25068.5—2010/ISO/IEC18028-5:20067VPN安全要求
为实现上述第6章中概述的目标，VPN的实施方式宜确保：在VPN端点之间传输的数据和代码的保密性；在VPN端点之间传输的数据和代码的完整性；VPN用户和管理员的真实性
VPN用户和管理员的授权；
VPN端点和网络基础设施的可用性。总之，这意味着用于构建VPN的下层隧道宜按照满足安全目标的方式实现。图2中概括这些安全目标。
隧道端点
真实性
可用性
保密性、完整性、可用性
随道中的数据和代码
图2映射到下层隧道上的VPN一般安全要求以下将详细讨论这些要求。
ISO/IEC18028-1也讨论用于实现安全VPN的安全控制类型。7.1保密性
隧道端点
真实性
可用性
隧道中正在传输的数据和代码的保密性不宜受到损害。使用隧道技术可能意味着正在传输的数据和代码对网络中的其他用户是不可见的。然而，这并不意味着这种通信流一直是保密的，特别是隧道中的数据和代码流不能抵御使用数据分析器或探测器进行的确定的检测。因此保持隧道中正在传输的数据和代码的保密性关键依赖于这种检测发生的可能性。总之，这是支持VPN的下层网络中存在的可信度因素。它将依赖于传输网络的所有权而变化。如果传输网络未处于可信域（有关可信域的更多信息参见ISO/IEC18028-1：2006），或者如果认为被传输的数据和代码是敏感的，就可能需要采取附加安全控制措施来进一步保护保密性。在这些情况下，所采用的隧道机制宜支持加密，或者所发送的项在VPN上传输前宜离线加密。隧道端点的安全也不宜被忽视（见7.6）。7.2完整性
隧道中所传输的数据和代码的完整性不宜受到损害。用于实现VPNV隧道的机制宜支持所传输数据和代码的完整性检查，使用的技术包括消息验证码、消息鉴别码和防止重放机制等。如果隧道实施不可用这类保护，或者如果传输的数据和代码特别敏感，那么完整性保护控制宜在终端系统中实现，因而完整性保护就以端到端的方式提供。7.3鉴别
隧道的建立和操作过程宜得到鉴别控制的支持，从而能保证隧道的每一端都正在与正确的伙伴端点（可能是一个远程访问系统）通信以及所接收的数据和代码来自正确的得到授权的源。这些安全控制包括，例如，密码保护、密码挑战保护、基于安全证书的系统、安全密钥交换规程、数据原发鉴别码和防止重放机制。
7.4授权
GB/T25068.5—2010/ISO/IEC18028-5:2006隧道的建立和操作过程宜得到访问控制的支持，诸如ACL，从而能保证隧道的每一端都正在与得到授权的伙伴端点（可能是一个远程接入系统）通信以及所接收的数据和代码来自得到授权的源。对穿越已建立隧道的数据通道的访问进行控制超出了隧道机制的范畴，宜由端系统中的适当访问控制来处理。
7.5可用性
隧道的可用性，以及VPN的可用性，是支撑网络基础设施和端点系统的可用性的功能。对抗特定于隧道机制的拒绝服务攻击的安全控制措施，宜在任何可能之处结合使用。对于特定的服务级协定，宜检验多种弹性隧道备用。7.6隧道端点
对于VPN端点的安全要求也宜考虑。通常每个VPN端点宜确保在主机网络与VPN之间只有受控的网络通信流。这通常意味着关闭路由和至少也使用包过滤器或防火墙技术。更多细节见8.3.1（端点安全）和8.3.2（终止点安全）。8安全VPN选择指南
法规和法律方面
与网络连接和VPN使用相关的国家法规法律的安全要求，特别是国家加密标准的使用规定，都应予以考虑：
这包括关注以下方面的法规和/或法律：—隐私/数据的保护；
密码技术的使用；
—一操作风险管理/治理。
8.2VPN管理方面
在考虑VPN的使用及其对管理、控制和终端用户安全面的影响时，组织中其职责与VPN相关的所有人员都宜明白其业务要求和利益。此外，他们和VPN的所有其他用户宜意识到这种连接的安全风险以及相关控制域。业务要求和利益可能影响在如下过程中的很多决定和行动：考虑VPN连接，识别潜在的控制域，然后是最终的选择，设计，实施和维护安全控制。因此，在整个选择过程中，都需考虑这些业务要求和利益。
有关安全服务管理框架和整个网络安全管理的详细指南见ISO/IEC18028-1：2006，且作为“安全管理面”的一部分在ISO/IEC18028-2：2006中论及。8.3VPN体系结构方面
选择VPN时，下列体系结构方面宜得到处理：端点安全；
终止点安全，
恶意软件保护；
一鉴别；
人侵检测系统
安全网关（包括防火墙）：
网络设计；
其他连通性；
隧道分离；
一审计日志和网络监控：
一技术脆弱性管理。
GB/T25068.5—2010/IS0/IEC18028-5:2006下面逐一概述这些方面。
8.3.1端点安全
VPN的功能是提供一条安全跨越一些网络介质的安全通信信道。但是，建立VPN的时候却不可能监视其数据流包含的内容。如果任何一个端点受到损害，这种损害可能扩散到跨越VPN的会话。端点安全不仅适用于设备本身，也适用于这些设备上的应用程序以及与使用相关的规程/物理方面。
一些用于远程接入的端点用户设备（例如移动/远程工作计算设备）可能未受到与VPN相同的管理控制。这些设备可能被连接到不同的网络，例如，在不同时段获得互联网和组织专用网的访问权。这些网络可能带来额外的风险，宜给予考量以确保应用适当的安全控制。在考虑此类端点设备的安全时，宜考虑GB/T22081一2008中的安全控制，这些安全控制与以下方面相关：设备安全；
抵御恶意代码和移动代码：
设备使用人员的信息安全意识的培养、教育和培训；——VPN相关技术和设备的技术脆弱性管理；宜考虑其他控制，例如包过滤或个人防火墙。8.3.2终止点安全
影响VPN安全的关键因素之一是如何在每个端点终止VPN。如果终止点直接设在端点的核心（例如，处于网络的安全区），安全直接取决于远程伙伴的安全。如果终止点设在非安全区中某处，通信就可能被轻易地欺骗。
VPN终止的标准方法包括：
使用外部防火墙终止设施在防火墙上终止：适用于点对点的连通性（例如在2个网络之间）。(GB/T25068.3中进一步讨论防火墙）；在中间区部署专门的VPN端点，允许其有进一步处理来自VPN信息的能力（例如，决定是否许可访问安全区中的应用/系统）。中间区终止可能允许更多地控制VPN及其用户。在以上任何一种情况下，VPN端点在允许访问前都宜鉴别实体（例如用户或设备）。对于为设置VPN链接而在端点之间进行的鉴别，这是一种附加鉴别。例如，对用户而言，这种鉴别通常包括用户名和口令，也可能要求使用附加形式的鉴别（称作“强鉴别”），例如令牌、卡或生物技术。8.3.3恶意软件保护
一旦表明信息系统无任何恶意软件，那么引人此类代码的唯一途径就是通过数据（或可执行代码）。VPN端点提供良好的控制点来实现恶意软件保护，以控制此类代码的传输。更多有关抵御（包括病毒、螨虫和特洛伊木马）恶意代码的信息见GB/T22081一2008。8.3.4鉴别
鉴别是建立VPN的关键阶段之一。必然地，每一端宜鉴别预期的会话伙伴（换言之，需要相互鉴别）。这能用几种方法实现：
预共享密钥。此方法可提供便捷性，因为一旦设置这种密钥，就无需更多的管理。然而，如果它们受到损害，就可能被滥用（例如中间人攻击）。一一证书。这种方法提供更大的灵活性和弹性，尤其是在部署PKI备份以简化密钥管理、撤销和重发时。
有关鉴别和对鉴别使用基于密码服务的更多信息参见ISO/IEC18028-1:2006、GB/T17901.1-1999和GB/T22081--2008。
8.3.5入侵检测系统（IDS）bZxz.net
宜考入侵检测系统（IDS）技术的需要。IDS能在VPN的两端实现，以检测可能的人侵。然后IDS报警能由任何适当的机制发出，也可作为审计跟踪的一部分被记录（和管理）。值得注意的是，甚至8
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。