CISCO路由器VPN讲解.pptVIP

Easy VPN在client端的配置步骤1 点击“new”创建一个新条目 Easy VPN在client端的配置步骤2 设置Easy VPN server的IP地址 Easy VPN在client端的配置步骤3 设置组名和对应的pre-share key Xauth扩展认证 如果设置了Xauth扩展认证，在连接的过程中会提示输入用户名/口令 连接成功后的状态信息 目 录 VPN简介 IPSec VPN BGP/MPLS VPN IPSec基础 端到端IPSec VPN的工作原理及配置 Easy VPN（远程接入VPN）的工作原理及配置 BGP/MPLS VPN的工作原理 BGP/MPLS VPN的配置示例 VPN中的角色 CE CE CE CE PE PE P P 运营商网络 用户网络 用户网络 CE (Custom Edge Router)，用户边缘路由器，直接与运营商网络相连 PE (Provider Edge Router)，运营商边缘路由器，与CE相连，主要负责VPN业务的接入。 P (Provider Router)：运营商核心路由器，主要完成路由和快速转发功能。 对IPSec VPN的回顾 CE CE CE CE PE PE P P IPSec隧道在CE与CE之间建立，需要用户自己创建并维护VPN IPSec VPN的创建以及相关用户路由的配置等都需要手工完成 扩展不方便，如果用户VPN网络中新增一个节点，需要完成以下工作：1.在这个新增结点上建立与所有已存在的N个结点的隧道及相关的路由； 2.对于已存在的N个结点，需要在每个结点上都建立一个与新增结点之间的隧道及相关的路由。 VPN_A VPN_A VPN_B VPN_B 10.1.0.0 10.1.0.0 10.3.0.0 10.3.0.0 IPSec VPN tunnel VPN_A 10.4.0.0 BGP/MPLS VPN要达到的目标 CE CE CE CE PE PE P P 隧道在PE与PE之间建立，用户不需要自己维护VPN 把VPN隧道的部署及路由发布变为动态实现 VPN_A VPN_A VPN_B VPN_B 10.1.0.0 10.1.0.0 10.3.0.0 10.3.0.0 VPN tunnel 要解决的主要问题 CE CE CE CE PE PE P P 提供一种动态建立的隧道技术 解决不同VPN共享相同地址空间的问题 VPN_A VPN_A VPN_B VPN_B 10.1.0.0 10.1.0.0 10.3.0.0 10.3.0.0 MPLS BGP VPN tunnel 动态隧道----MPLS MPLS与动态隧道 MPLS（MultiProtocol label Switch，多协议标签交换）是根据标签对数据包进行转发，因此在三层数据包中可以使用私有地址，从而形成了一种天然的隧道。 MPLS标签的分发可以通过LDP等协议动态完成，所以MPLS能够提供动态的隧道。 三层包头 MPLS 标签 二层包头 MPLS包头结构 MPLS包头通常有32Bit: 20Bit用作标签（Label） 3个Bit的EXP, 协议中没有明确，通常用作COS 1个Bit的S,用于标识是否是栈底，表明MPLS的标签可以嵌套。理论上，标记栈可以无限嵌套，从而提供无限的业务支持能力。 8个Bit的TTL 2层头部 MPLS头部 IP头部 数据 标签 EXP S TTL 32Bit 0 20 23 24 32 MPLS标签的生成1 R1 R2 R3 R4 172.16.1/24 路由器发现有直连路由时就会向外发送标签 172.16.1/24 Label 20 In 20 MPLS标签的生成2 R1 R2 R3 R4 172.16.1/24 路由器发现自己有直连路由时就会向外发送标签 收到下游到某条路由的标签并且该路由生效（也就是说，在本地已经存在该条路由，并且路由的下一跳和标签的下一跳相同）时会发送标签。 172.16.1/24 Label 20 In 20 172.16.1/24 In 20 out 20 172.16.1/24 In 30 out 20 Label 30 Label 40 Label 50 172.16.1/24 out 30 MPLS标签生成的要点 R1 R2 R3 R4 172.16.1/24 运行MPLS的路由器中必须同时运行普通路由协议 通过标签形成的路经，与查找路由表形成的路径是相同的 In标签是由本地路由器发给其他路由器的，Out标签是由其他路由器发给自己的。 172.16.1/24 Label 20 In 20 172.16.1/24 In 20 out 20 172.16.1/24 In 30 out 20 La