Introduction to Virtual Private Network (VPN).ppt

Introduction to Virtual Private Network (VPN)

1. Higher industry institute
Post Graduate Programme
ةيضارتفلإا ةصاخلا ةكبشلا
VPN
by
Ahmed joha

2. Introduction (ةمدقم)
كانهناتقيرطلاصتلالنعدعب:
الامعتسطخصاخ(ةكبشةصاخ).
–ةكبشنمعقومىلاعقوم(ريجأتطوطخةصاخطبرلعقاوملا–ةفلكتةيلاع).
–لوصولانعدْعُب
 مدوم(بلطيفتاه)
لامعتساتنرتنلإا.
–سيَل،صاخاذلجاتحيلنيمأتلاصتلاا.
–ةجاحلاءافخلإةكبشلاةيلخادلالخادتنرتنلإا.
–ةجاحلالوخدللىلاةكبشتلااصتاةيلحمنميأعقومثيحبحبصياذهعقوملاأكهن
ءزجنمةكبشلااهسفن.
لوصولانملآالامعتسابتنرتنلإالادبنمطخلاصاخلايمتنعقيرط
ةكبشلاةّصاخلاةيضارتفلاا.

3. ةصاخلا ةكبشلا
و نمآ لاصتاقوثوم.
ةصاخ طوطخ ريجأت ىلإ جاتحي هنلأ ةيلاع ةفلكت. ِ
عقوم1
صاخ طخ
عقوم2

4. Internet
ةيضارتفلاا ةصاخلا ةكبشلا(VPN)
ةكبشةصاخلمعتسَتةكبشةماع(ةداعتنرتنلإا)لطبر

عقاوملاوَأيمدختسملاننعدعب
عمضعبسفنبتازيمممأوانةكبشلاةصاخلا.
ةداعمتياهنيوكتنعقيرط:
–ءاشناقفن.
–ريفشتتانايبلا.
–ققحتلانمنيمدختسملا.
Acme Corp
Site 1VPN VPN Site 2

5. عاونأVPNs
Remote Access VPN(لاصتلاادعب نع)
– لوصو ةيناكمإ رفوي نيمدختسملاخادلا ةكبشلا ىلإ ةيل
للناكم يأ نم ةسسؤم.
–تليلق ةفلكتصتا ةصاخو فتاهلا قيرط نع لاصتلاا تلاا
ةليوطلا تافاسملا.
Internet
Corporate
Site
Remote
User

6. عاونأVPNs
RemoteAccessVPN(لاصتلاانعدعب)
Site-to-SiteVPN(عقومىلاعقوم)
–رفويةيناكمإطبرعورفةسسؤملاعماهضعبضعبلا.
–تليلقةفلكتلاصتلاانعقيرططوطخلاةصاخلاةرجؤملا.
Corporate
Site
Branch
Office
Internet

7. عاونأVPNs
RemoteAccessVPN(لاصتلاانعدعب)
Site-to-SiteVPN(عقومىلاعقوم)
ExtranetVPN
– لوصولا نم ءلامعلاو ءاكرشلا نكمي
تانايب ضعب ىلاةسسؤملا ةكبش.
–تليلقتايلمعلاو تاقفصلا ةفلكت.
Corporate
Site
Internet
Partner
Supplier

8. عاونأVPNs
RemoteAccessVPN(لوادتلنعدْعُب)
Site-to-SiteVPN(عقومىلاعقوم)
ExtranetVPN(ةكبشتامولعملاةدعاسملا)
Client/ServerVPN)ليمع/مداخ)
–يمْحَت ُتلااصتإ ُةيلخاد ُةساّسح
– ُأشْنَترثكأ تامجهلانمضةسسؤملا
Internet
LAN
clients
Database
Server
LAN clients
with
sensitive
data

9. تازيممVPNs
ةضفخملا ةفلكلا
– ةرجؤملاو ةصاخلا طوطخلا ةفلك ضيفخت
–ةليوطلا ةفاسملا تاملاكم ضيفخت
– ِ ةزهجلأا ةفلكت ضيفت(مدوملا فرصمModem Bank /CSU /DSUS)
– ُةينقتلا ةدعاسملا ةفلكت ضيفخت
رثكأ ةنورم
– تنرتنلإا ةمدخ دّوزم ةميق نم عفرلا
– ةدّدعتملا لاصتلإا عاونأ لامعتسا(cable, DSL, T1, T3)
رثكأ عسوت
–ةعرسب ددج نيمدختسم و َةديدج َعقاوم ةفاضإ
– بلطلا ةي بْلَتل ةعسلا نينقت

10. VPN تاجايتحا
مدختسملا نم ق�قحتلا
–وصولا دودح ُدّدحُيو لمعتسملا ةيوه نم َقّقحُتي ْنَأ ُب جَي نإ يب يفةكبشلا ىلا َل
–اىتمو مدختسملا اهيلع علطي نا بجي يتلا تامولعملا نيبت َتلاجس ددحي.
 ناونع ةرادإ
– ّصاخلا ةكبشلا ىلع مدختسملا َناونع َصّصخُي ْنَأ ُب جَي نإ يب يف نيوانعلا ّنأب ُنمْضَيو ة
ةّصاخ ىقْبَت.
 تانايبلا ريفشت
–ب ةءارقلل ةحلاص ريغ ىقبتت ْنأ بجي ةّماعلا ةكبشلا لخاد ةلوقنملا تانايبلا نئابزلل ةبسنلا
ةكبشلا ىلع نيلّوخم ريغلا.
حاتفملا ةرادإ
–خلاو ليمعل ريفشتلا َحيتافم َشعنُيو َدّلوُي ْنَأ ُب جَي نإ يب يف مدا.
ماظنلا دّدعتم معد
–ختسملا تلاوكوتوربلا ةَجَلاَعُم ىلع رداق َنوُكَي ْنَأ ُب جَي نإ يب يف ةّماعلا ةكبشلا لخاد ةمد .
تنرتنلإا لوكوتورب نمضتت هذه(يب يآ)اذكهو ،.

11. Tunneling
ش تانايب لقنل ةطيسولا ةكبشلا لخاد قفن رْفَحىرخأ ةكب
 ةلوقنملا تانايبلا( وَألاةلومح )وُكَت ْنَأ ُنكمُي َتاراطإ َن( وَأ
مَزُر ) رخلآا ماظنلا ْن م.
Transit Internetwork
Tunnel Endpoints
Payload Payload
Tunneled
Payload
Transit
Internetwork
Header
Tunnel

12. Tunneling
 الادب ْن ملاسرأتانايبلاامكمتاهنيوكتيفردصملامتياهفيلغتنعطقير
لوكوتوربقفنلاةفاضإبناونعلوكوتوربقفنلااهيلع.
ةطساوبناونعلوكوتوربقفنلانكميهيجوتتانايبلاةف�لَغُملايكل َربْعَتةكبشلا
َةطيّسولا.
تانايبلا َةف�لَغُملاتي ّماهرييستنيبيتياهن قفنلاللاخبشلاةكةطيسولا.
 ّنإ َقيرطلا �يقطنملايذلاربعتهتطساوبتانايبلاةف�لَغُملالاخلةكبشلاةطيسولا
ىمسيقفن.
امدنع ُل صَتتانايبلاةف�لَغُملاىلإةياهنقفنلاىلعةكبشلاولاةطيس،متيةلازإ
فلاغلااهنعلسرتوىلإاههاجتا يئاهنلا.
ةظحلاُم:ةيلمع ُرفْحقفن ُنّمضتَتءارجإتايلمعلاةيلاتلاىلعبلاتاناي
–فيلغت
–لاسرإ
–ةلازإفلاغلا

13. Voluntary tunnels(ةيعوطلا قافنلأا)
رْفَحقفنلا َأدَبين ملب قمدختسملا
– ُبّلطتَت ُجماربمعد قفنلاىلع بوساح مدختسملا
 ُلمْعَيعميأتانوكمةكبش
قفنلانوكيفاّفشتانوكملةكبشلاةطيسولا
جماربقفنلابجينأنوكتةقفاوتملكلنمليمعلاو مداخلا
–PPTP،L2TP،L2F،IPSec،IP-IP
ةيناكمإلوصولانمازتملاىلإ تنارتنلإا(نعقيرط قفنلا)تنرتنلإاو
نومدختسملا ُن كْمُي ْنَأاولمعتسَي َتاباسح َةيصخشوصولل لىلاةكبشةكرشلا
–تاقيبطت بتاكملا ةديعبلا
–بلطلايفتاهلايفيبنإيفتلااح رورملاضفخنملا

14. Voluntary tunnels
DialAccessProvider
VPNService
ecsAcs
Server
DialAccess
Server
ClientHost
PPPaccessprotocol
Tunnel

15. Compulsory Tunnels(ةيمازللإا قافنلأا)
 ةطيسولا ةكبشلا ىلا لوصولا مداخ لبق نم أدبي قفنلا رفحNAS وَأ
Router
– ىلع قفنلا معد جمارب بلطتتNAS وَأRouter
نوبز ّيأ عَم ُلمْعَي
NAS اهسفن قفن َةقيرط َمعْدَي ْنَأ ُب جَي
 ل فافش نوكي قفنلاrouters ةطيسولا
 قفنلا مداخ ةَرَطْيَس َتْحَت ُةكبشلا ُلخْدَت
طقف قفنلا للاخ رمت ُن كْمُي مدختسملا تانايب
تنرتنلإاب لاصتلإا ةيناكمإ
–اقبسم ةف�رَعُملا لئاسولاب َنوُكَي ْنَأ ُب جَي
–رثكأ مكحت رثكأ
–بقارُي ْنَأ ُن كْمُي

17. Tunneling Protocols
GenericRoutingEncapsulation(GRE),asdefinedinRFCs
1701/1702,isusedbyawidevarietyoftunnelingprotocols
ThePoint-to-PointTunnelingProtocol(PPTP),createdby
MicrosoftandAscendCommunications,isanextensionof
Point-to-Pointprotocol(PPP)forWindowsandNetware
client/serverenvironments.
Layer-2Forwarding(L2F)isatunnelingprotocolcreatedby
CiscoSystems.
TheLayer-2TunnelingProtocol(L2TP)isproposedstandardto
combinebestfeaturesofL2FandPPTP.
IPsecsupportstunnelingwithorwithoutencryption.

18. Why So Many VPN Solutions?
Forsomecompanies,aVPNisasubstitutefor
remote-accessservers.
Forothers,aVPNmayconsistoftrafficoverthe
InternetbetweenprotectedLANs.
TheprotocolsthathavebeendevelopedforVPNs
reflectthisdichotomy.
PPTP,L2FandL2TParelargelyaimedatdialupVPNs
IPSec'smainfocushasbeenLAN-to-LANsolutions.

19. PPP (Point to Point Protocol )
Flag-indicatesbeginningorendofframe(b^01111110).
Address-containsstandardbroadcastaddress.
Control-callsfortransmissioninuserdata.
Protocol-identifierforencapsulatedprotocolin
informationfield.
Information-datagramforprotocol.
FCS-FrameCheckSequence.

20. PPP (Point to Point Protocol )
Layer-2frameformatحضومهبframedelimitation(ةيادب
ةياهنوراطلإا)وerrordetection( فشكأطخلا).
PPP َمّمُصلاسْرلإ تانايبلاربعdial-up(بلطلايفتاهلا)وأ
dedicatedpoint-to-pointconnections(طخلاصصخملا)
LinkControlprotocol(LCP):
–Connectionestablishment(سيسأت لاصتلإا)،test
(رابتخإ)،negotiation(تاضوافم)وreleaseءاهنإلاصتلإا.
NetworkControlProtocols(NCPs):
–negotiatenetworklayeroptions(اضوافتلىلعتارايخ
ةقبطةكبشلا)ةقيرطبةلقتسمنععونةقبطةكبشلاةمدختسملا.
–NCPفلتخملكلةقبطةكبشمتياهمعد.

21. PPP (Point to Point Protocol )
Authenticationprotocols:
PasswordAuthenticationProtocol(PAP)
ChallengeHandshakeAuthenticationProtocol(CHAP)
ExtensibleAuthenticationProtocol(EAP)
Encryptionprotocols:
EncryptionControlProtocol(ECP)fornegotiation
PPPDESEncryptionProtocol(DESE)
PPPTripleDESEncryptionProtocol(3DESE)

22. PPP (Point to Point Protocol )
PPP
PPP
EncapsulationIP, IPXPayload
PSTN (POTS / ISDN)
IP, IPXPayload
Private
Network
Public Switched Telephone
Network
Remote Client Remote Access Server

23. GRE (Generic Routing Encapsulation)

24. GRE (Generic Routing Encapsulation)
موقياذهلوكوتوربلاةيلمعبفيلغتيألوكوتوربامبيفكلذIP
لخادIPProtocol

25. Point-to-Point Tunneling Protocol (PPTP)
PAC

26. Point-to-Point Tunneling Protocol (PPTP)
Mainlyimplementedandused (تقبطوتمدختسا) byMicrosoft[RFC
2637]
–Extension (دادتما) ofPPP.
–Easytouseandtoimplement (ةلوهسمادختسلااوقيبطتلا) .
Allowstunnelling (رفحقفن) ofPPPdatagramsbetweenPPTP
Client (ليمع),andPPTPserver (مداخ), موقيلصفب NAS دوجوملايف PPPىلا
–PPTPAccessConcentrator(PAC)
NetworkaccessdevicesupportingPPTP
–PPTPNetworkServer(PNS)
Corporate(VPN)gateway.
Authentication
–UsesPPPauthentication.
Encryption
–MPPE(MicrosoftPoint-to-pointencryption).
Manysessionsmultiplexedonasingletunnel.
(ةدعتاسلجىلعقفنديحو)

27. Point-to-Point Tunneling Protocol (PPTP)

28. Point-to-Point Tunneling Protocol (PPTP)

29. Point-to-Point Tunneling Protocol (PPTP)
IP, IPXPayload
Private
Network
Internet
IP
ISP NASRemote Client Network Access Server
PSTN
PPP
over PSTN
PPPIP, IPXPayload
PSTN
Layer 2
IPGREPPPIP, IPXPayloadLayer 3

30. Point-to-Point Tunneling Protocol (PPTP)
SecurecommunicationcreatedusingPPTPtypicallyinvolvesthree
processes.Eachrequiressuccessfulcompletionoftheprevious
process. (تاوطخلاصتلااحجانلا)
PPPConnection
–APPTPclientusesPPPtoconnecttoanISPbyusingastandard
telephonelineorISDNline.
(موقيليمعلاءاشنإبلاصتإىلادوزمةمدختنرتنلاا)
PPTPControlConnection
–UsingtheconnectiontotheInternetestablishedbythePPPprotocol,the
PPTPprotocolcreatesacontrolconnectionfromthePPTPclienttoa
PPTPserverontheInternet.ThisconnectionusesTCPandisacalleda
PPTPtunnel.
(مادختسابلاصتلاادوزمبةمدخلامتيرفحقفنلا)
PPTPDataTunneling
–PPTPcreatesIPdatagramscontainingencryptedPPPpacketswhichare
sentthroughPPTPtunneltothePPTPserver.
(فيلغتتانايبلاةرفشملاواهلاسراربعقفنلاىلامداخلا)
–ThePPTPserverdisassemblestheIPdatagramsanddecryptsthePPP
packets,andthenroutesthedecryptedpacketstotheprivatenetwork.
(دنعةياهنقفنلامتتةلازافلاغلاوكفةرفشلانعتانايبلاةلسرملااهرييستوىلالبقتسملا)

31. Layer 2 Forwarding Protocol (L2F)
IP, IPXPayload
Private
Network
Internet
IP
ISP NASRemote Client Network Access Server
PSTN
PPP
over PSTN
PPPIP, IPXPayload
PSTN
Layer 2
IP
UDP Port 1701
over IP
UDPL2FPPPIP, IPXPayloadLayer 3

32. Layer 2 Forwarding Protocol (L2F)
Developed (متتوطيرهةطساوب) byCisco[RFC2341]
L2FprovidestunnelingbetweenanISP’sdial-up
serverandthenetwork.UserconnectstotheISP
usingPPP.
ThePPPframesarethenencapsulatedinsidean
L2Fframewhichisthenforwardedtoarouterfor
transmissionacrosstheInternet.
Authentication
–LikePPTP,UsesPPPauthentication.
Encryption
–doesnotprovideanydataencryption.
لا ُدّوزُي ّيأريفشتتانايب) )
Allowsmultipletunnelsandmultipleconnections
ontunnel (قافنأةددعتموتاسلجةددعتملكلقفن)

33. Layer 2 Tunneling Protocol (L2TP)

34. Layer 2 Tunneling Protocol (L2TP)
CombinesbestfeaturesofL2FandPPTP جمدتلضفأتازيم) )
–DevelopedbyIETF[RFC2661]
AllowstunnellingofPPPdatagramsbetweenL2TPClient,and
L2TPserver, موقيلصفب NAS دوجوملايف PPPىلا
–L2TPAccessConcentrator(LAC)
NetworkaccessdevicesupportingL2TP
–L2TPNetworkServer(LNS)
Corporate(VPN)Gateway
Allowsmultipletunnelswithmultiplesessionsinsideevery
tunnel (قافنأةددعتموتاسلجةددعتملكلقفن)
CPEbaseddeploymentmodebyincludingLACfunctionalities
withinuserterminal
Commonly used with IPSec -> L2TP/IPSec

35. Layer 2 Tunneling Protocol (L2TP)

36. Layer 2 Tunneling Protocol (L2TP)
IP, IPXPayload
Private
Network
Internet
IP
ISP NASRemote Client Network Access Server
PSTN
PPP
over PSTN
PPPIP, IPXPayload
PSTN
Layer 2
IP
UDP Port 1701
over IP
UDPL2TPPPPIP, IPXPayloadLayer 3

37. Internet Protocol Security (IPSec)
InternetProtocolSecurity(IPSEC)isaframework (راطإلمع) to
providesecuredcommunication (لاصتإنمآ) forIP.
ThisIETFframeworkisdefinedinasuiteofRFCs.
Itdoesnotspecifytheauthenticationandencryptionprotocol
touse.Thismakesitflexible(نرم) andabletosupportnew
authenticationandencryptionmethodsastheyaredeveloped.
IPSECprovideanewsub-layerjustabove (ةقبطةديدجقوف) IP,
layer3ofOSImodel.Thishas2mainadvantages:
–Layer3isthelowestlayerintheOSImodelthatprovidesend-to-
endconnectivitybetween2nodes.Thatmeansthattheend-to-
endcommunicationissecured,youdonotneedtoprovide
securityserviceateachlinkinthepath. (لاصتانمآنمةدقعىلاةدقع)
–Thesecurityservicesaretotallytransparenttoupperlayers.
Specifically,TCPandUDPcantransparentlyusetheseservices.
ThisalsomeansthatallapplicationsthatuseTCPorUDPas
transportmechanismcannowhavetheircommunicationsecured
withoutanychanges.Canwethinkofsomeapplicationsthatcan
benefitfromthat? (تامدخنملااةفافشتاقبطللايلعلا–تاقيبطتلاديفتستنمهذه
ةزيملا)

38. IPSEC IETF Documents
RFC2401–Architecture
RFC2411–Roadmap
RFC2402–AuthenticationHeader(AH)
RFC2406–EncapsulatingSecurityPayload(ESP)
RFC1828–IPAuthenticationusingMD5
RFC2412–Oakleykeydetermination
RFC2408–ISAKMP(InternetSecurityAssociationandKey
ManagementProtocol)
RFC2409–IKE–InternetKeyExchange
RFC2104–HMAC–HashingforMessageAuthentication

39. IPSec: Network Layer Security
IPSec = AH + ESP + IPcomp + IKE
Protection for IP traffic
AH provides integrity and
origin authentication
ESP also confidentiality
Compression Sets up keys and algorithms
for AH and ESP
AHandESPrelyon (دمتعتىلع) anexistingsecurityassociation
–Idea:partiesmustshareasetofsecretkeysandagreeoneach
other’sIPaddressesandcryptoalgorithms
(فارطلااكرتشتيفةعومجمنمحيتافملاةيرسلاوقفتتىلعنيوانعلاتايمزراوخوريفشتلا)
InternetKeyExchange(IKE)
–Goal:establishsecurityassociationforAHandESP
–IfIKEisbroken (قارتخإ) ,AHandESPprovidenoprotection!

40. IPSec Architecture
IPSecisdefinedbythefollowingsetsof
specifications:
–Protocolmodes.
Transportandtunnelmode
–Authenticationheaderprotocol(AH)
–Encapsulatedsecurityprotocol(ESP)
–InternetKeyExchange(IKE)
–SecurityAssociations(SA)
–Encryptionalgorithms

41. IPSec Modes
Transportmode
–End-to-endsecuritybetweentwohosts
Typically,clienttogateway(e.g.,PCtoremotehost)
–RequiresIPSecsupportateachhost

42. IPSec Modes
TunnelMode
Gateway-to-gatewaysecurity
–Internaltrafficbehindgatewaysnotprotected
–Typicalapplication:virtualprivatenetwork(VPN)
OnlyrequiresIPSecsupportatgateways

43. Transport mode vs Tunnel mode
Transport mode
–secures packet payload and leaves IP header
unchanged
Tunnel mode
–encapsulates both IP header and payload into
IPSec packets
IP header
(real dest)
IPSec headerTCP/UDP header + data
IP header
(gateway)
IPSec header TCP/UDP header + data
IP header
(real dest)

44. Authentication Header (AH)
Provides integrity and origin authentication
Authenticates portions of the IP header
Anti-replay service (to counter denial of service)
No confidentiality
Next header
(TCP)
Payload length Reserved
Security parameters index (SPI)
Sequence number
ICV: Integrity Check Value
(HMAC of IP header, AH, TCP payload)
Identifies security
association (shared
keys and algorithms)
Anti-replay
Authenticates source,
verifies integrity of
payload

45. Authentication Header (AH)
IP HDR IP Payload
New IP HDR AH HDR IP HDR IP Payload
Tunnel Mode
authenticated
IP HDR AH HDR IP Payload
Transport Mode
authenticated

46. Encapsulating Security Payload (ESP)
Adds new header and trailer fields to packet
Confidentiality and integrity for payload
Optionally provides authentication
Identifies security
association (shared
keys and algorithms)
Anti-replay
TCP segment (transport mode)
or
entire IP packet (tunnel mode)
Pad to block size for cipher,
also hide actual payload length
Type of payload
HMAC-based Integrity
Check Value (similar to AH)

47. Encapsulating Security Payload (ESP)
IP HDR IP Payload
Transport Mode
IP HDR ESP HDR IP Payload
ESP
Trailer
ESP
Auth
encrypted
authenticated
Tunnel Mode
New IP HDR ESP HDR IP HDR IP Payload
ESP
Trailer
ESP
Auth
encrypted
authenticated

48. Internet Key Exchange (IKE)
IKEprotocolisakeyexchangeandmanagementsystem,which
providesecurekeydistributionservicesbetweenpartieswishing
tocommunicateoveranuntrustednetwork.
( ماظنلدابتةرادإوحيتافملاةيرسلارفويعيزوتنمآحيتافمللنيبفارطلااةلصتملاىلعةكبش
ريغةنمآ)
IKEisahybrid (نيجه) protocolcomposedoffeaturesfrom
–InternetSecurityAssociationandKeyManagement Protocol
(ISAKMP)framework
–OakleyKeyExchange
–SecureKeyExchangeMechanism(SKEME).
IKEisgeneralpurposesecurityexchangeprotocolSupports:
–Policy negotiation (تاسايسلا ىلع ضوافتلا )
–Establishment of authenticated keying material(ءاشنإ ) for security
associations.
ThesefacilitiescanbeusedfornegotiatingVPNlinks,aswellas
forprovidingremoteuserswithsecureaccesstoahostor
network.

49. Security Association (SA)
SAisonewayrelationshipbetweensenderandreceiverthat
definesasecurityrelationship
(ةقلاعهاجتإدحاونيبلسرملاولبقتسملافرعتلاصتلاانملآانيبنيفرطلا)
–Authentication and encryption algorithms (ريفشتلا و ققحتلا تايمزراوخ )
–Key exchange mechanisms (حيتافملا لدابت تايلآ )
–And other rules for secure communications (نملآا لاصتلال ىرخأ دعاوق )
Itisuniquelyidentifiedbythreeparameters (متياهزييمتيلاتلاب)
–SecurityParameterIndex(SPI)-
32bitidentifier
–IPDestinationAddress
–SecurityProtocolIdentifier
Securityassociationsarenegotiatedatleastoncepersession
–possiblymoreoftenforadditionalsecurity
(ضوافتلاةرمةدحاوىلعلقلاالكلةسلج,نملمتحملارثكأنملأليفاضلإا)
Bi-directionalcommunicationrequires (الالاصتيئانثهاجتلااجاتحيىلا)
twosecurityAssociations.

50. Security Association Database (SAD)
SADdefinesparametersassociated (ةطبترملا) with
eachSA.
Parametersinclude
–Sequencenumbercounter
–Sequencenumberoverflow
–Anti-replaywindow
–AHinformation
–ESPinformation
–LifetimeofSA
–IPSecProtocolmode
–PathMTU

51. Security Policy Database (SPD)
SPDdefinesthewayinwhichIPSecservicesareappliedtoIP
traffic. (فرعيةقيرطلايتلاقبطتاهبتامدخنملأاىلعتانايبلاةرباعلا)
EachSPDentry (لوخد) isdefinedbyselectorswhichareusedto
map (هيجوت) outgoingpackettoSA.
–DestinationIPaddress
–SourceIPaddress
–Transport layer protocol
–IPSec protocol
–Source/destinationportnumber
–UserID(ifavailabletotheIPSECsoftware)
–TOSorDiffServ
SPIofSAisobtained (متيلوصحلاهيلع) andIPSecprocessingdone
accordingly (اقفوكلذل) .
ifpacketdoesnotmatchanySPDcondition (قفاوتتلا)
–Dropthepacket
–Transmititinclear
ProvidesveryflexiblewayofapplyingIPSecservicestoIPtraffic.

52. SA Establishment
Phase 1 -IKE SA is established
Cookie exchange(يكوكلا لدابت)
Protects responderby requesting that initiator submits valid
cookie before value exchange and Diffie-Hellman key
exchange
( يمْحَيبيجتسملا ةميقلا لدابت لبق َحيحص يكوك ُمّدقُي ئدابلا ّنأب بَلَطلابلدابتوحيتافملا )
Valid cookie: computed and verified by the responder
Need cookie exchange
Value exchange(ميقلا لدابت)
Establishes a shared secret key(كرتشم يرس حاتفم ءاشنا)
Uses Diffie-Hellman key exchange ( حاتفملا لدابت ةقيرط مادختسا)
Negotiate parameters
Result: shared, un-authenticated secret key
Authentication exchange(ققحتلا لدابت)
Keys and SA are authenticated
Methods: preshared keys, DSS, RSA digital signature,
encrypted nonce with RSA

53. SA Establishment
Phase 2 -IPSec SA is established
IKESAisusedtoestablish( مدختسيءاشنلا)IPsec
SAbetweencommunicatingpeers(رئاظنلا
ةلصتملا)
Quickmodeexchange( طمنلدابتلاعيرسلا )
Negotiate(تاضوافم)IPsecSAunderthe
protectionof(تحتةيامح)IKESA
KeysderivedfromIKEsecretstate

54. Plain IPSec
Outgoing Packets: SAD Selects SA
Network A
Network B
Network C
SA #1
SAD
Selector SA
<A,B,*,*,*> #1
<A,C,*.*.*> #2
SPD
Selector Action
<A,B,*,*,*> Encrypt
<A,C,*.*.*> Encrypt
<A,*,*,*,*> Drop
A -> B
A -> B
A -> B

55. Plain IPSec
Incoming Packets: SAD Checks SA
Network A
Network B
Network C
SA #1
SAD
Selector SA
<A,B,*,*,*> #1
<A,C,*.*.*> #2
C->A
Let’s
Spoof C
C->A
Packets from
SA#1
Should match
<A,B,*,*,*>
Drop !

56. Plain IPSec
Incoming Packets: SPD Checks
Network A
Network B
Network C
SPD
Selector Action
<A,B,*,*,*> Encrypt
<A,C,*.*.*> Encrypt
<A,*,*,*,*> Drop
Let’s
Spoof C
Packets
<A,C,*,*,*> should
be encrypted
Drop !

57. Plain IPSec
Preventing Traffic Injection
Network A
Network B
Network C
SPD
Selector Action
<A,B,*,*,*> Encrypt
<A,C,*.*.*> Encrypt
<A,*,*,*,*> Drop
No
spoofing,
I’m D
Packets <A,*,*,*,*>
must be dropped !

58. Encryption Explained
Usedtoconvertdatatoasecretcodefor
transmissionoveranuntrustednetwork
 ُلمعَتسُيليوحَتل تانايبلاىلإمروزيرس لاسرلإلىلعش ةكب
ريغ ةنمَتْؤُم
Encryption
Algorithm
“The cow jumped
over the moon”
“4hsd4e3mjvd3sd
a1d38esdf2w4d”
Clear Text
Encrypted Text

59. What are Keys?
A series of numbers and
letters… ةلسلس نمدادعلأاولافورح
…usedinconjunctionwithan
encryptionalgorithm… لمعتست
طابترلإابعم َةيمزراوخ ريفشت
…toturnplaintextintoencrypted
textandbackintoplaintext
ليوحَتل ّصنيداعىلإ ّصَن رّفشموسكعلاب
Thelongerthekey,thestronger
theencryption
 حاتفملالوطلاايطعيريفشتىوقأ

60. Symmetric Encryption رظانتملا ريفشتلا
Samekeyusedtoencryptanddecryptmessage
سفنحاتفملامدختسيريفشتللوكفلريفشتلا
Fasterthanasymmetricencryption
عرسأ ْن م ريفشتلالالا ر ظانَتُم
UsedbyIPSectoencryptactualmessagedata
IPsec مدختسيريفشتلتانايبلاةيلعفلانملبف
Examples:DES,3DES,RC5,Rijndael
Shared Secret Key

61. Asymmetric Encryption رظانتملالا ريفشتلا
Differentkeysusedtoencryptanddecryptmessage(Onepublic,
oneprivate)
حيتافمةفلتخمريفشتللوكفلريفشتلا(دحاوماعورخآصاخ)
Providesnon-repudiationofmessageormessageintegrity
 رفويةملاستانايبلا
ExamplesincludeRSA,DSA,SHA-1,MD-5
Alice Public Key
Encrypt
Alice Private Key
Decrypt
Bob Alice

62. Key Management حاتفملا ةرادا
Amechanismfordistributing
keyseithermanuallyor
automatically
ةيلآعيزوَتل

حيتافملااّمأ اايوديوَأيلآ اا
Includes:
–Keygeneration ديلوتحاتفملا
–Certificationةداهشلا
–Distributionعيزوتلا
–Revocationءاغللاا

63. Key Management حاتفملا ةرادا
SharedSecret رسكرتشم
–Simplestmethod;doesnotscale
–Twositessharekeyout-of-band(overtelephone,
mail,etc)
PublicKeyInfrastructure
–Providesmethodofissuingandmanaging
public/privatekeysforlargedeployments
InternetKeyExchange
–Automatestheexchangeofkeysforscalabilityand
efficiency

64. VPN Classification فينصت
CustomerPremiseEquipment(CPEbasedVPNs)are
implementedwithincustomerpremiseequipment,
whereacustomercancreatetheirownVPNacrossan
Internetconnectionwithoutanyspecificknowledge
orcooperationfromtheserviceprovider.
ةكولممليمعللثيحيشنيليمعلالاصتاصاخيضارتفاللاختنرتنانودبيأ
ةفرعموانواعتنيعمنمدوزمةمدخلا
ProviderprovisionedVPNdonotrequirethe
deploymentofanyCPEdevicesbeyondbasicinternet
access.AllVPNservicesandequipmentareprovided
bytheserviceprovider’scoreinfrastructure.
ةكولممدوزملةمدخلاثيحنأ ّلُكتامدخلاولأاةزهجةدوزمةينبلابةيتحتلا
دوزملةمدخلا

65. Comparison of CPE Based Protocols
Security Issues

66. Comparison of CPE Based Protocols
Vulnerabilities

67. Comparison of CPE Based Protocols
Routed Desktop Protocols

68. Comparison of CPE Based Protocols
OSI reference model

69. Comparison of CPE Based Protocols
Performance: throughput and Latency.
L2TPutilizesmorecommandandcontrolmessages.
SothroughputmaybelessthanPPTP.Butit
performsbetterinhighlatencynetworkbecauseit
usesUDPforitscontrolpackets
PPTPusesTCPforcontrolpacketsandalsouses
lesscontrolmessagewhichmakesithighthroughput
protocolbutmakesisvulnerabletohighlatency
network.
IPSecuseslotofsecurityrelatedoverheadwhich
degradestheperformancefromboththroughputand
latencyprospective.