- Kết thúc liên kết: Đây là pha cuối cùng của LCP và Server để kết thúc liên kết đã thiết lập giữa hai thực thể cuối. Việc kết thúc liên kết có thể theo trình tự hoặc đột xuất. Kết thúc đúng trình tự là kết thúc sau khi việc trao đổi dữ liệu giữa hai thực thể cuối đã hoàn tất hay do yêu cầu của thực thể cuối. Kết thúc liên kết đột xuất có thể làm mất dữ liệu. Frame kết thúc liên kết dữ liệu được trao đổi giữa các nhóm có liên quan trước khi liên kết được giải phóng. Ngoài Frame thiết lập và kết thúc liên kết, PPP sử dụng một loại Frame thứ ba gọi là Frame duy trì liên kết. Các Frame này như tên gọi của nó, được trao đổi trong trường hợp có vấn đề liên quan đến liên kết, thường được dùng để quản trị và debug các liên kết dựa trên PPP. Mặc dù không được dùng trong VPN ngày nay, tuy nhiên công nghệ PPP là cơ sở của các giao thức đường hầm khác được dùng rộng khắp trong VPN ngày nay. Thực tế, tất cả các giao thức đường hầm thông dụng đều dựa trên PPP và đóng gói Frame PPP vào trong gói IP hoặc các gói dữ liệu khác để truyền qua mạng không đồng nhất. 2.2. Các giao thức đường hầm tại tầng 2 trong mô hình OSI 2.2.1. Giao thức đường hầm điểm (PPTP) PPTP là giải pháp độc quyền cho phép truyền dữ liệu một cách an toàn giữa một Client từ xa và một Server của Doanh nghiệp bằng việc tạo ra một VPN qua một mạng dựa trên IP. Được phát triển bởi Consortium PPTP (Tập đoàn Microsoft, Ascend Communications, 3COM, US Robotics,và ECI Telematics). PPTP đề xuất dựa vào yêu cầu của VPN qua mạng không an toàn. PPTP không chỉ có khả năng bảo mật các giao dịch qua các mạng công cộng dựa trên TCP/IP mà còn cả các giao dịch qua mạng Intranet riêng. Về phương diện lịch sử, hai hiện tượng đóng vai trò chính vào sự thành công của PPTP trong việc bảo mật các kết nối đường dài là: - Việc sử dụng các Mạng điện thoại chuyển mạch công cộng(PSTN): PPTP cho phép sử dụng PSTN(Public Switched Telephone Network) để thực thi VPN. Kết quả là, qúa trình triển khai VPN đơn giản đi rất nhiều và tổng chi phí thực thi giảm một cách đáng kể. Lý do này hoàn toàn dễ hiểu – vì những yếu tố cần thiết cho giải pháp kết nối doanh nghiệp quy mô rộng dựa trên đường Leased Line và các Server truyền thông chuyên dụng hoàn toàn bị loại bỏ. - Hỗ trợ các giao thức không dựa trên IP: Mặc dù dành cho các mạng dựa trên IP, PPTP cũng hỗ trợ các giao thức mạng khác như: TCP/IP, IPX, NetBEUI, và NetBIOS. Vì vậy, PPTP đã chứng tỏ là thành công trong việc triển khai VPN qua một mạng LAN riêng cũng như qua mạng công cộng. PPP đóng vai trò chính trong các giao dịch dựa trên PPTP. Ta sẽ thảo luận chi tiết hơn vấn đề này trong phần tiếp sau đây. 2.2.1.1. Vai trò của PPP trong các giao dịch PPTP PPTP là một sự mở rộng logic của PPP, PPTP không thay đổi dưới công nghệ PPP, nó chỉ định nghĩa một cách vận chuyển lưu lượng PPP mới qua các mạng công cộng không an toàn. Hình 2.4 Mô tả vai trò của PPP trong các giao dịch dựa trên PPTP Khá giống PPP, PPTP không hỗ trợ nhiều kết nối. Tất cả các kết nối được hỗ trợ bởi PPTP phải là kết nối điểm - điểm, ngoài ra, PPP đáp ứng các chức năng sau trong giao dịch dựa trên PPTP: - Thiết lập và kết thúc các kết nối vật lý giữa các thực thể truyền thông cuối. - Xác thực các Client PPTP. - Mã hoá các gói dữ liệu IPX, NetBEUI, NetBIOS, và TCP/IP để tạo các gói PPP và bảo mật việc trao đổi dữ liệu giữa các nhóm liên quan. 2.2.1.2. Các thành phần của giao dịch PPTP Bất kỳ một giao dịch dựa trên PPTP nào cũng gồm ít nhất 3 thành phần, các thành phần này bao gồm: - Một Client PPTP. - Một Server truy cập mạng (Network Access Server - NAS). - Một Server PPTP. 1. PPTP Client Một PPTP Client là một Node mạng hỗ trợ PPTP và có yêu cầu đến Node khác cho một phiên VPN. Nếu kết nối được yêu cầu từ một Server từ xa, PPTP Client phải sử dụng các dịch vụ trên NAS của ISP. Vì thế, PPTP Client phải được kết nối tới một Modem, cái thường được dùng để thiết lập một kết nối quay số PPP tới ISP. Hình 2.5 Đường hầm PPTP và ba thành phần của giao dịch dựa trên PPTP PPTP Client cũng phải được kết nối tới một thiết bị VPN và như vậy nó có thể định đường hầm yêu cầu tới thiết bị VPN trên mạng từ xa. Liên kết đến thiết bị VPN từ xa trước hết sử dụng kết nối quay số tới NAS của ISP để thiết lập một đường hầm giữa các thiết bị VPN qua Internet hoặc qua mạng trung gian khác. Không giống như yêu cầu từ xa cho phiên VPN, yêu cầu cho một phiên VPN tới Server cục bộ không đòi hỏi một kết nối tới NAS của ISP. Cả Client và Server đều được kết nối vật lý đến cùng một mạng LAN, việc tạo ra một kết nối tới NAS của nhà cung cấp là không cần thiết. Client trong trường hợp này chỉ cần yêu cầu một phiên quay số đến thiết bị VPN trên Server. Như vậy thủ tục định tuyến của các gói PPTP cho một yêu cầu từ xa và một yêu cầu cục bộ là khác nhau, các gói của hai yêu cầu được xử lý khác nhau. Các gói PPTP đến Server cục bộ được đặt trên thiết bị vật lý gắn kèm với card mạng của PPTP Client. Gói PPTP đến Server từ xa được định tuyến qua một thiết bị vật lý gắn với một thiết bị truyền thông như một Router. Tất cả được minh hoạ như trong hình 2.6. Hình 2.6 Truyền các gói PPTP đến Node đích 2. Các Server PPTP Server truy cập PPTP là một Node mạng có hỗ trợ PPTP và có khả năng bảo quản các yêu cầu cho phiên VPN từ các Node từ xa hay cục bộ. Để phản hồi các yêu cầu từ xa, các Server này cũng phải hỗ trợ khả năng định tuyến. Một RAS và hệ điều hành mạng khác có hỗ trợ PPTP, chẳng hạn WinNT 4.0 có khả năng hoạt động như một Server PPTP. 3. Các Server truy cập mạng PPTP (PPTP NAS) Các NAS PPTP được đặt tại Site PPTP và cung cấp kết nối Internet tới các Client đang sử dụng đường quay số PPP. Xác suất nhiều Client cùng đồng thời yêu cầu một phiên VPN là rất cao. Các Server này phải có khả năng hỗ trợ các Client này. Ngoài ra, các PPTP Client không chỉ hạn chế với hệ điều hành mạng của Microsoft, vì vậy các NAS PPTP phải có khả năng hỗ trợ các Client dựa trên Window, các máy Unix. Tuy nhiên, điều quan trọng là các Client này hỗ trợ kết nối PPTP tới NAS. 2.2.1.3. Các tiến trình PPTP Bao gồm ba tiến trình để truyền thông an toàn dựa trên PPTP qua phương tiện không an toàn. Ba tiến trình đó là: Thiết lập kết nối dựa trên PPP. Kiểm soát kết nối. Tạo đường hầm PPTP và truyền dữ liệu. 1. Kiểm soát kết nối PPTP Sau khi một kết nối vật lý dựa trên PPP được thiết lập giữa PPTP Client và Server, quá trình kiểm soát kết nối PPTP bắt đầu. Như trong hình 2.7, Kiểm soát kết nối PPTP được thiết lập dựa trên địa chỉ IP của PPTP Client và Server. Nó sử dụng cổng TCP phân phối động và cổng TCP giành riêng số 1723. Sau khi kiểm soát kết nối được thiết lập, nó thực hiện việc kiểm soát và quản lý các thông điệp được trao đổi giữa các nhóm truyền thông. Các thông điệp này có nhiệm vụ duy trì, quản lý và kết thúc đường hầm PPTP. Các thông điệp này bao gồm cả chu kỳ giao dịch của các thông điệp "PPTP-Echo-Request, PPTP-Echo-Reply" chúng giúp phát hiện lỗi kết nối giữa PPTP Server và Client. Hình 2.7 Các thông điệp kiểm soát trao đổi dữ liệu PPTP qua PPP Một số thông điệp thường dùng để kiểm soát PPTP được liệt kê trong bảng sau đây: Bảng 2.1 Các thông điệp kiểm soát PPTP thông dụng Name Description Start-Control- Connection-Request Yêu cầu từ PPTP Client để thiết lập kết nối Start-Control- Connection-Reply Phản hồi từ PPTP server tới thông điệp Start-Control- Connection-Request của Client Outgoing-Call- Request Yêu cầu từ PPTP client tới server để thiết lập một đường hầm PPTP. Outgoing-Call-Reply Phản hồi từ PPTP server tới thông điệp Outgoing-Call-Request của Client. Echo-Request Cơ chế duy trì hoạt động từ Server hoặc Client. Nếu nhóm đối diện không trả lời thông điệp này thì đường hầm bị kết thúc. Echo-Reply Phản hồi tới thông điệp Echo-Request từ thực thể cuối đối diện. . phần này bao gồm: - Một Client PPTP. - Một Server truy cập mạng (Network Access Server - NAS). - Một Server PPTP. 1. PPTP Client Một PPTP Client là một Node mạng hỗ trợ PPTP và có yêu cầu. Start-Control- Connection-Request Yêu cầu từ PPTP Client để thiết lập kết nối Start-Control- Connection-Reply Phản hồi từ PPTP server tới thông điệp Start-Control- Connection-Request của Client Outgoing-Call- Request. kết thúc đường hầm PPTP. Các thông điệp này bao gồm cả chu kỳ giao dịch của các thông điệp "PPTP-Echo-Request, PPTP-Echo-Reply" chúng giúp phát hiện lỗi kết nối giữa PPTP Server và Client.