微軟把手伸向SSL 了

itecn文章,作者 zarthur

感謝sealango的投遞:

一直以來,微軟都是通過pptp實現***的互聯功能,看來在ssl ***市場,他也想像防毒市場進軍一樣,讓***的生存廠商難以生存吧.目前國內***廠商,還未有幾個建立起這樣的危機意識.

基於sstp協議的***隧道通訊

在即將到來的windows longhron server beta3以及windows vista sp1中（注意是sp1，呵呵，還沒上市就考慮sp1了），針對遠端訪問中的***連線，微軟將提供乙個新的協議，稱為sstp（secure socket tunneling protocol，安全套接字隧道協議）。這個協議將用來替代pptp和l2tp協議，以提高***訪問的靈活性，不過sstp還不是乙個標準，將來肯定還有一段路需要走。

大家在使用pptp和l2tp協議進行***的時候，肯定遇到***連線不能正常工作的情況，很多時候是因為防火牆或者nat路由器沒有開放pptp gre或者l2tp esp的埠。對於使用者來說，這樣的***連線的體驗肯定是不好的，他們希望的是***連線就像ie連線一樣好用。sstp就是為了解決這樣的問題而出現的。

為了避開防火牆或者nat對***連線的影響，sstp通過https（ssl）建立***隧道，大部分防火牆是允許出方向的ssl訪問通過的。但是sstp並不支援站點到站點的***，只適合於客戶端到站點的遠端訪問連線。下面將描述sstp的運作流程：

1、客戶端通過internet和伺服器建立tcp連線，這個連線是通過tcp埠443進行的。假定客戶端的ip位址是100.100.100.1，伺服器的ip位址是200.200.200.1。

2、當這個tcp會話開始之初，將進行ssl協商。通過ssl協商過程，客戶端將獲取並驗證伺服器的證書（如果驗證失敗，連線將終止）。在這個過程中，伺服器並不驗證客戶端的身份。

3、客戶端將通過加密的ssl會話，往伺服器傳送https請求。

4、通過https會話，sstp協議將開始運作，客戶端將傳送sstp控制資料報，在客戶端和伺服器上開啟sstp狀態機。然後將在ppp層建立鏈路通訊。

5、在ppp會話（這個會話建立於sstp over https之上）的初始將進行ppp驗證，驗證的方法取決於驗證演算法，一般情況下此時伺服器將驗證客戶端的身份，而客戶端對伺服器的身份驗證是可選的。

6、 ppp驗證結束後，sstp將在客戶端和伺服器通過***連線介面進行通訊，該介面將使用「內部ip」，比如客戶端為192.168.1.2，伺服器為192.168.1.1。這個ip位址是在rras伺服器上進行配置，用來訪問公司的內部網路。

7、客戶端和伺服器通過sstp進行***通訊，傳送資料報。假設客戶端（192.168.1.2）需要傳送乙個資料報到伺服器（192.168.1.1），此時sstp將提交此資料報到ssl層進行加密，然後ssl層新增新的資料報頭部（源位址為100.100.100.1，目的位址為 200.200.200.1），通過internet連線介面將資料報發往伺服器。

sstp協議同時還具有以下的特點：

整合的nap支援

支援ipv6

sstp使用的是單通道的https連線，相比於其他廠商的多通道實現，有更好的網路利用率，以及更佳的負載均衡效能。

以上內容部分翻譯自微軟rras blog，samirj jain的文章。通過郵件聯絡了samirj之後，他表示計畫在3/4月份推出的lh beta3和vista sp1 beta中加入sstp的beta release。看來只有等longhorn server定型了，vista才算是完整了吧，特別是bussiniss這個版本，繼續等待吧。

微軟把手伸向SSL 了

微軟把手伸向SSL 了

微軟把手伸向SSL 了

微軟終於出手了

相關推薦