至顶网›网络频道 ›如何选择远程访问身份认证方案

如何选择远程访问身份认证方案

扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条

在执行远程访问网络的操作过程中，有好几种可供用户选择的访问认证方案。通过了解每一种方案的优势和缺陷，你可以找到一种既安全可靠又可扩展的解决方案。

作者：techrepublic.com.com 2006年4月19日

如今，几乎所有商用网络都通过拨号或VPN技术，为客户端提供远程访问网络的功能。在移动时代，企业的员工都需要在他们离开办公室的期间，通过网络远程访问公司的一些内部资源的能力，比如：一些出差的人需要可以从宾馆的房间接入网络，从分公司接入的漫游用户；一些需要在家联网的远程办公人员。

身份认证能力对于那些远程用户比对在办公室接入的人更加重要。如果没有身份认证安全方案，任何人都可以进入网络，查看、复制、更改，甚至是损毁重要数据。你所选择的解决方案必须能够适应你网络成长带来的管理和安全需求的提高。

远程访问认证选项
远程访问服务器的配置和拨号服务器或VPV服务器一样。拨号服务器使用的是点到点协议（PPP），也有一些旧的拨号服务器，在链路层使用串行线路网络协议（SLIP）。VPV服务器则可以使用点到点隧道协议（PPTP）、第二层隧道协议（L2TP）或者IPSec隧道协议，在互联网之上建立一个可以提供安全传输“通道” 。使用Windows的远程访问服务器都支持以下身份认证方式：

密码身份验证协议（PAP）

挑战握手验证协议（CHAP）

微软的挑战握手验证协议（MS-CHAP）

新版MS-CHAP的协议（MS-CHAP2）

可扩展的认证协议/传输层安全协议（EAP/TLS）

PAP
通常，大多数企业不会选择使用PAP，因为它以纯文本的方式通过电话或互联网发送密码。因此企业只有当远程访问客户端和远程访问服务器端无法使用其他安全认证方式时，才使用PAP协议。出于对安全性的考虑，目前大多数的VPN/防火墙产品都不支持PAP协议。

CHAP
CHAP是RFC 1994文档中所定义的标准。它通过三次握手来验证身份。整个身份验证过程包含以下三个步骤：

第一步：认证服务器向客户端发出质询消息。
第二步：客户端响应质询消息，向服务器发送用MD-5单向哈希算法计算的返回值。
第三步：认证服务器也计算hash值。把自己计算的结果和客户端发来的返回值进行比较，如果两个值匹配，则连接建立成功。

由于它不会通过网络明文发送密码，因此CHAP认证比PAP认证更安全。CHAP协议被大多数第三方远程访问服务器所使用。