📚 课程目录第4章 VPN技术详解

4. VPN技术详解

在IP代理与异常网络环境识别中，VPN协议是最常见的“合法隧道”载体，也是异常流量检测的重点对象。理解每种协议在封装层次、握手方式、加密套件和端口使用上的差异，才能从流量特征上判断一条隧道是正常企业VPN、商业代理，还是被滥用的隐蔽通道。本节按“原理—特点—部署—流量特征”四个维度，逐一拆解主流VPN协议。

一、核心原理：隧道封装与协议分层

VPN的本质是把私有网络流量封装进另一层协议中传输。根据封装所在层次，可分为三类：

链路层隧道：PPTP、L2TP，封装PPP帧，通常不提供强加密，依赖外层协议补足。
网络层隧道：IPSec，直接封装IP包，提供AH/ESP两种安全载荷，是站点到站点VPN的主流。
传输层/应用层隧道：OpenVPN基于TLS，WireGuard基于UDP自定义协议，灵活性高，易穿透NAT。

封装层次决定了流量特征：链路层隧道往往保留PPP协商特征；IPSec在NAT环境下需要NAT-T；OpenVPN和WireGuard则更接近普通TLS或UDP流量，识别难度递增。

二、主流协议对比与流量特征

协议	传输层/端口	加密强度	典型流量特征	部署难度
PPTP	TCP 1723 + GRE	弱（MPPE）	TCP 1723握手后出现GRE协议号47，明文PPP协商	低
L2TP/IPSec	UDP 1701 + UDP 500/4500	中（依赖IPSec）	IKE协商在500/4500，L2TP在1701，NAT-T封装ESP	中
IPSec	UDP 500/4500 或 ESP(50)	强	IKE_SA_INIT、IKE_AUTH两阶段，ESP载荷无端口	中高
OpenVPN	UDP/TCP 1194（可改）	强（TLS）	TLS握手后长连接，UDP模式无TCP特征，易伪装	中
WireGuard	UDP（默认51820）	强（Noise）	固定长度握手包，无明文协商，静默性强	低

识别优先级建议：先看端口与协议号，再看握手特征，最后看包长与时间间隔。PPTP/L2TP特征最明显，WireGuard最难，OpenVPN介于两者之间。

三、部署方式与关键配置

不同协议的部署路径差异较大，下面给出典型场景下的最小可用配置思路。

1. PPTP（仅用于理解，不推荐生产）

# Linux下安装pptpd
apt install pptpd
# /etc/pptpd.conf
localip 192.168.0.1
remoteip 192.168.0.234-238
# 启动
systemctl start pptpd

PPTP因MS-CHAPv2缺陷已被认为不安全，现代环境几乎不应部署，但作为教学样本仍常见于老旧设备。

2. L2TP/IPSec

# strongSwan + xl2tpd 典型配置片段
# /etc/ipsec.conf
conn L2TP-PSK
    keyexchange=ikev1
    authby=secret
    left=%defaultroute
    right=%any
    type=transport
    auto=add

L2TP本身不加密，必须与IPSec配合。NAT环境下需启用NAT-T，否则ESP无法穿越。

3. IPSec站点到站点

# 查看IPSec状态
ipsec statusall
# 典型IKEv2配置
conn site-to-site
    keyexchange=ikev2
    leftsubnet=10.1.0.0/24
    rightsubnet=10.2.0.0/24
    ike=aes256-sha256-modp2048
    esp=aes256-sha256

4. OpenVPN

# 服务端启动
openvpn --config server.conf
# server.conf 关键项
port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem

OpenVPN可跑在TCP 443上伪装成HTTPS，这是其被代理滥用的重要原因。

5. WireGuard

# /etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.1/24
PrivateKey = <server_private_key>
ListenPort = 51820

[Peer]
PublicKey = <client_public_key>
AllowedIPs = 10.0.0.2/32

WireGuard配置极简，握手包固定148字节，无版本协商明文，流量特征非常“安静”。

四、案例与复盘：从流量中识别VPN类型

假设你在一次异常网络排查中抓到如下流量片段：

1. 192.168.1.10 -> 203.0.113.5  UDP 500   IKE_SA_INIT
2. 203.0.113.5 -> 192.168.1.10  UDP 500   IKE_SA_INIT response
3. 192.168.1.10 -> 203.0.113.5  UDP 4500  IKE_AUTH (NAT-T)
4. 192.168.1.10 -> 203.0.113.5  UDP 1701  L2TP control

判断路径：先看到UDP 500和4500，说明有IKE协商且启用了NAT-T；随后出现UDP 1701，说明上层是L2TP。结论是L2TP over IPSec，而非纯IPSec或PPTP。

常见误区：把“UDP 500”直接等同于IPSec VPN。实际上IKE也用于其他场景，必须结合后续ESP或L2TP流量确认。另一个误区是认为WireGuard“没有特征”，其实其固定包长和握手节奏本身就是特征。

复盘要点：识别VPN不能只看端口，要结合协议号、握手顺序、包长分布和连接持续时间。PPTP的GRE、L2TP的1701、IPSec的500/4500、OpenVPN的TLS握手、WireGuard的固定长度UDP，都是可组合的判断依据。

五、协议选择与识别策略小结

安全性排序：WireGuard ≈ OpenVPN > IPSec > L2TP/IPSec > PPTP。
穿透性排序：OpenVPN(TCP 443) > WireGuard > IPSec(NAT-T) > L2TP > PPTP。
识别难度排序：WireGuard > OpenVPN > IPSec > L2TP > PPTP。
部署复杂度排序：IPSec > OpenVPN > L2TP/IPSec > WireGuard > PPTP。

掌握这些差异后，你在面对一条未知隧道时，可以先根据端口和协议号缩小范围，再用握手特征和包长分布确认具体协议，从而为后续的异常网络环境判定提供可靠依据。