我们先来了解一下三种协议：
PPTP
PPTP (Point-to-Point Tunneling Protocol，点对点信道协议) 是常用的 解决方案，且大多数的客户端 (包含 Windows、Mac、Linux 及行动装置) 皆支持。
若要启动 PPTP 服务器：
1、开启 Server 并前往左侧面板的 PPTP。
2、勾选启动 PPTP 服务器。
3、在动态 IP 地址字段输入 服务器的虚拟 IP 地址。请参阅下方的关于动态 IP 地址来了解更多信息。
4、设定最大联机数量来限制 联机的共同联机数量。
5、设定同一账号最多联机数量来限制使用同一个账号所进行 联机的共同联机数量。
6、从认证下拉式选单中选择下列任一项目来认证 客户端：
PAP：认证过程中，将不加密 客户端的密码。
MS-CHAP v2：认证过程中，将使用 Microsoft CHAP version 2 加密 客户端的密码。
7、若您选择 MS-CHAP v2 验证，请从加密下拉式选单中选择下列任一项目来加密 联机：
No MPPE： 联机不会受到加密机制保护。
Optional MPPE：客户端设定将决定 联机会 / 不会受到 40-bit 或 128-bit 加密机制保护。
Require MPPE：客户端设定将决定 联机会受到 40-bit 或 128-bit 加密机制保护。
8、设定 MTU (最大传输单元) 来限制 网络传输的数据封包大小。
9、勾选手动设定 DNS 并指派 DNS 服务器的 IP 地址来发送给 PPTP 客户端。若停用此选项，则会将 Synology NAS 目前所使用的 DNS 服务器发送给客户端。
10、单击套用来让变更生效。
注意：
联机至 时， 客户端的验证及加密设定必须与 Server 上的相同，否则客户端将无法成功联机。
为兼容于运行在 Windows、Mac OS、iOS 与 Android 系统的大部分 PPTP 客户端，预设的 MTU 值为 1400。若您的网络环境较为复杂，可能需要设定一个较小的 MTU 值。若您经常收到逾时讯息或联机不稳定，请降低 MTU 值。
请检查 Synology NAS 与路由器上的端口转送规则与防火墙设定，确认 TCP 1723 端口已开启。
部分路由器内建 PPTP 服务，因此可能已占用 1723 端口。您需先透过路由器的管理接口关闭其内建的 PPTP 服务，才能确保 Server 上的 PPTP 服务可以正常运作。此外，部分旧式路由器可能会封锁 GRE 协议 (IP 协议 47)，造成 联机失败；建议使用支持 pass-through 联机的路由器。
Open
Open 是开放原始码的 服务解决方案，会以 SSL / TLS 加密机制保护 联机。
若要启动 Open 服务器：
1、开启 Server，前往左侧面板的 Open。
2、勾选启动 Open 服务器。
3、在动态 IP 地址字段输入 服务器的虚拟内部 IP 地址。请参阅下方的关于动态 IP 地址来了解更多信息。
4、设定最大联机数量来限制 联机的共同联机数量。
5、设定同一账号最多联机数量来限制使用同一个账号进行 联机的共同联机数量。
6、为 Open 数据传输设定端口与通讯协议。您可以决定要将何种协议的数据封包透过 转送至 Synology NAS 的哪个端口。默认值为 UDP 端口 1194
注意： 为确保 Synology NAS 上的服务可以正常运作，请避免将同样的一组端口与通讯协议指派给其他 Synology 服务。请参阅此篇应用教学以了解更多信息。
7、在加密下拉式选单中择一，以加密 信道中的数据封包。
8、在验证下拉式选单中择一，以验证 客户端。
9、若要在传输数据时压缩数据，请勾选启动 压缩联机。此选项可提升传输速度，但可能会消耗较多系统资源。
10、勾选允许客户端存取服务器的局域网络来让客户端存取服务器的局域网络。
11、勾选启动 IPv6 服务器模式来启动 Open 服务器，以传送 IPv6 地址。您必须先在控制面板 > 网络 > 网络接口中，透过 6in4/6to4/DHCP-PD 取得 Prefix，并在此页面中选择该 Prefix。
12、单击套用来让变更生效。
注意：
Server 不支持站台对站台的桥接模式。
请检查 Synology NAS 与路由器上的端口转送规则与防火墙设定，确认 UDP 1194 端口已开启。
在 Windows Vista 或 Windows 7 上执行 Open GUI 时，请注意，UAC (用户帐户控制) 预设为开启。此设定开启时，需使用以系统管理员身份执行选项来透过 Open GUI 进行联机。
在 Windows 上透过 Open GUI 启动 IPv6 服务器模式时，请注意以下事项：
所使用的接口名称不可包含空格，例如：LAN 1 须变更为 LAN1。
重新导向网关 (redirect-gateway) 选项须由客户端于 openo 档案中设定。若您不想设定此选项，应手动设定 接口的 DNS。您可以使用 Google IPv6 DNS：2001:4860:4860::8888。
若要汇出配置文件：
单击汇出配置文件。Open 让 服务器可颁发证书供客户端使用。所汇出的档案为 zip 压缩文件，其中包含 cacrt ( 服务器的凭证档案)、openo (客户端使用的配置文件案)，以及 READMEtxt (客户端如何设定 Open 联机的简易说明)。
注意：
每次启动 Server 时，便会自动复制、使用显示于控制面板 > 安全性 > 凭证之凭证。若您需使用第三方凭证，请到控制台 > 安全性 > 凭证 > 新增来汇入凭证，并重新启动 Server。
每次修改凭证文件 (显示于控制面板 > 安全性 > 凭证) 后， Server 将会自动重新启动。
L2TP/IPSec
L2TP (Layer 2 Tunneling Protocol) over IPSec 提供更安全的虚拟私有网络，且大多数的客户端 (如 Windows、Mac、Linux 及行动装置) 皆支持。
若要启动 L2TP/IPSec 服务器：
1、开启 Server 并前往左侧面板的 L2TP/IPSec。
2、勾选启动 L2TP/IPSec 服务器。
3、在动态 IP 地址字段输入 服务器的虚拟 IP 地址。请参阅下方的关于动态 IP 地址来了解更多信息。
4、设定最大联机数量来限制 联机的共同联机数量。
5、设定同一账号最多联机数量来限制使用同一个账号进行 联机的共同联机数量。
6、从认证下拉式选单中选择下列任一项目来认证 客户端：
PAP：认证过程中，将不加密 客户端的密码。
MS-CHAP v2：认证过程中，将使用 Microsoft CHAP version 2 加密 客户端的密码。
7、设定 MTU (最大传输单元) 来限制 网络传输的数据封包大小。
8、勾选手动设定 DNS 并指派 DNS 服务器的 IP 地址来发送给 L2TP/IPSec 客户端。若停用此选项，则会将 Synology NAS 目前所使用的 DNS 服务器发送给客户端。
9、若要发挥 最大效能，选取执行核心 (kernel) 模式。
10、输入并确认预先共享密钥。您应将此密钥提供给 L2TP/IPSec 使用者以验证联机。
11、勾选启动 SHA2-256 兼容模式 (96 bit)，以让特定客户端 (非 RFC 标准) 可以使用 L2TP/IPSec 联机。
12、单击套用来让变更生效。
注意：
联机至 时， 客户端的验证及加密设定必须与 Server 上的设定相同，否则客户端将无法成功进行联机。
为兼容于运行在 Windows、Mac OS、iOS 与 Android 系统的大部分 L2TP/IPSec 客户端，预设的 MTU 值为 1400。若您的网络环境较为复杂，可能需要设定一个较小的 MTU 值。若您经常收到逾时讯息或联机不稳定，请降低 MTU 值。
请检查 Synology NAS 与路由器上的端口转送规则与防火墙设定，以确认 UDP 1701、500、4500 端口已开启。
部分路由器内建 L2TP 或 IPSec 服务，因此可能已占用 1701、500 或 4500 端口。您需先透过路由器的管理接口关闭其内建的 L2TP 或 IPsec 服务，才能确保 Server 上的 L2TP/IPsec 服务可以正常运作。建议使用支持 pass-through 联机的路由器。
关于动态 IP 地址
Server 会依据您在动态 IP 地址中输入的数字，从虚拟 IP 地址范围中选择一个 IP 地址来分配给 客户端使用。例如：若 服务器的动态 IP 地址设定为「10000」，则 PPTP 客户端的虚拟 IP 地址范围为「10001」至「1000[最大联机数量]」；Open 客户端的虚拟 IP 地址范围则为「10002」至「1000255」。
重要事项： 指定 服务器的动态 IP 地址之前，请注意：
1、 服务器可使用的动态 IP 地址必须为下列其一：
从「10000」至「102552550」
从「1721600」至「172312550」
从「19216800」至「1921682550」
2、您指定的 服务器动态 IP 地址以及指派给 客户端的虚拟 IP 地址，皆不能与局域网络中任一已使用的 IP 地址冲突。
关于客户端进行 联机时使用的网关设定
使用 联机至 Synology NAS 的局域网络之，客户端可能需要为 联机变更网关设定；否则，在 联机建立之后，它们可能会无法联机至因特网。
在比较 IPsec 与 SSL 的之前需要做的第一步是确定组织及其用户的要求，并确定 最重要的特性和功能。
那么通过下面这张图可以直观的看出IPsec 和 SSL 之间的区别，下面的文字内容是加以补充和扩展，更有助于您详细的了解两者之间的区别：
性能：对于现代硬件，IPsec 和 SSL 使用的加密类型通常不会导致性能问题，但组织应该使用基准测试来测试 候选者。IPsec 使用客户端上的一个软件配置客户端和服务器之间的隧道，这可能需要相对较长的设置过程；通过 Web 浏览器运行的 SSL 通常能够更快地建立连接。
安全性：一种类型的 不一定在所有情况下都更安全。确定哪种类型的 更安全的最重要因素是组织基于其 要求的威胁模型。每种 类型都应根据组织要防御的攻击类型进行评估。所使用的加密算法的安全性很重要，但实现的其他组件的安全性也很重要。
数据认证： 可以加密所有传输的数据，但它们也可以添加数据认证以防止篡改，通过使用强大的加密认证算法来验证数据在 客户端和服务器之间的传输过程中没有被修改。但是，它们确实需要安全的密钥交换机制来启用身份验证。虽然 SSL/TLS[1] 协议包含密钥交换算法的协商，但 IPsec 依赖外部协议 Internet 密钥交换来实现此目的。
攻击防御：对 IPsec 和 SSL 的攻击——以及对这些攻击的防御——将根据底层 协议、实现和附加功能而有所不同。IPsec 和 SSL 之间的主要区别在于每种协议的端点不同。IPsec 通常支持远程访问整个网络以及该网络上提供的所有设备和服务。如果攻击者获得对安全隧道的访问权限，他们可能能够访问专用网络上的任何内容。SSL 支持设备、特定系统和应用程序之间的连接，因此攻击面更加有限。
客户端安全性：虽然 IPsec 协议是 TCP/IP 套件的一部分，但它并不总是作为支持 TCP/IP 的 *** 作系统的默认组件来实现。相比之下，SSL 依赖于 TLS，它默认包含在 Web 浏览器中，以及许多其他应用层协议。因此，比较 IPsec 和 SSL 应该包括考虑客户端如何连接和使用 ，以及这些选项的安全性。实施者应考虑客户端如何连接到 、启用 的客户端的攻击面和 用户配置文件。
网关：SSL 网关可能会启用更精细的配置选项，以限制对受保护网络上特定系统或服务的访问。IPsec 产品的网关的可配置性可能要低得多。虽然他们可能添加了数据包过滤功能，使策略或配置能够限制对受保护网络的特定 IP 地址或子集的访问，但应注意避免增加不必要的复杂性和软件附加组件带来的额外安全风险。在任何一种情况下，都可以考虑在网络访问控制系统旁边部署 ，该系统可以通过基于明确定义的策略限制对网络资源的访问来增强整体安全性。
端到端网络：TLS用于传输层，即在进程之间进行通信的网络层。相比之下，IPsec 在网络层运行，在该层中，具有 IP 地址的网络节点之间进行通信。当受保护的 电路的任一端位于使用网络地址转换 ( NAT) 虚拟化 IP 地址的网络上时，这使得保护端到端加密更加困难。使用 IPsec ，实现跨 NAT 网关的安全通信需要额外的配置和管理。
虽然 IPsec 和 SSL 之间的许多差异可归因于正在实施的底层协议之间的差异，但也应考虑具体的实施。
1、PPTP,即PPTP协议。该协议是在PPP协议的基础上开发的一种新的增强型安全协议，支持多协议虚拟专用网（），可以通过密码身份验证协议（PAP）、可扩展身份验证协议（EAP）等方法增强安全性。可以使远程用户通过拨入ISP、通过直接连接Internet或其他网络安全地访问企业网。
2、L2TP是一种工业标准的Internet隧道协议，功能大致和PPTP协议类似，比如同样可以对网络数据流进行加密。不过也有不同之处，比如PPTP要求网络为IP网络，L2TP要求面向数据包的点对点连接；PPTP使用单一隧道，L2TP使用多隧道；L2TP提供包头压缩、隧道验证，而PPTP不支持。
3、IPSec 是安全联网的长期方向。它通过端对端的安全性来提供主动的保护以防止专用网络与 Internet 的攻击。在通信中，只有发送方和接收方才是唯一必须了解 IPSec 保护的计算机。在 Windows XP 和 Windows Server 2003 家族中，IPSec 提供了一种能力，以保护工作组、局域网计算机、域客户端和服务器、分支机构（物理上为远程机构）、Extranet 以及漫游客户端之间的通信。
4、SSL 是解决远程用户访问公司敏感数据最简单最安全的解决技术。与复杂的IPSec 相比，SSL通过简单易用的方法实现信息远程连通。任何安装浏览器的机器都可以使用SSL ， 这是因为SSL 内嵌在浏览器中，它不需要象传统IPSec 一样必须为每一台客户机安装客户端软件。
什么是 IPsec？IPsec 是 虚拟私密网络（***） 的一种，用于在服务器和客户端之间建立加密隧道并传输敏感数据之用。它由两个阶段组成，第一阶段（Phrase 1, ph1），交换金钥建立连接，使用互联网金钥交换（ike）协议; 第二阶段（Phrase 2, ph2），连接建立后对数据进行加密传输，使用封装安全载荷（esp）协议。参考：维基百科 IPsec 词条。
其中，第一阶段和第二阶段可以使用不同的加密方法（cipher suites）。甚至，第一阶段 ike 协议的第一版（ikev1）有两种模式，主力模式（main mode）和积极模式（aggressive mode），主力模式进行六次加密握手，而积极模式并不加密，以实现快速建立连接的目的。
第一阶段的 ike 协议有两个版本（ikev1/ikev2），不同的开源/闭源软件实现的版本均不同，不同的设备实现的版本也不同。再联系到第一阶段/第二阶段使用的各种不同加密方法，使得 IPsec 的配置有点黑魔法的性质，要么完全懂，通吃; 要么完全不懂，照抄。
设备/ *** 作系统规格
这里主要介绍了设备/ *** 作系统使用的 ike 版本及其特殊要求。
Linux
命令行客户端就是 strongswan 本身，因此完美兼容，支持 ikev1/ikev2 和所有加密方法的连接。因此如果用户只使用 Linux 命令行客户端，不使用各种移动设备也不使用 Windows，那么完全没有那么多事。
但 Linux 的图形界面客户端 NetworkManager-strongswan 目前只支持 ikev2 连接，必须使用证书或 EAP （各种加密方法都支持，包括微软的 MSCHAPv2）进行认证，不支持纯密码（PSK）认证。这并不是 strongswan 的错误，或者技术不行（开源总是走在技术最前沿的，毕竟命令行是支持的），而仅仅是体现一种选择：ikev1 被 strongswan 项目认为是该淘汰的协议，而 PSK 加密被认为是非常不安全的。参考 strongswan 维基 NetworkManager 词条。
Android
Android 和 Linux 不一样，只支持 ikev1。其它方面和 Linux 一样，甚至有好多种 IPsec *** 配置模式可供选择。
iOS/Mac OS X
它们声明使用的 IPsec 客户端为 Cisco，实际为自己修改的 racoon。它只支持 ike 协议的第一版即 ikev1，可以使用证书或纯密码（PSK）认证，但必须辅之 xauth 用户名/密码认证。
该修改版的 racoon 会优先使用不加密的积极模式，而积极模式是 strongSwan 所不支持的。所以要使用主力模式。
iOS 6 还有一个「衔尾」故障：它在第一阶段握手时会把数据包拆分成小块（fragmentation），然后「加密」发送。然而这种加密仅仅是声明的，其实并未加密，这就导致 strongSwan 及其它标准服务器端/Cisco 设备无法解密。另外 ikev1 的 fragmentation 插件是闭源的。开源服务器端无法对这些小块进行重组。参考：Cisco *** stop working after upgrading to IOS 6
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）