10-虚拟专用网解读.pptVIP

VPN概述 隧道技术是通过一种协议传送另外一种协议的技术，隧道协议利用附加的报头封装帧，附加的报头提供了路由信息，因此封装后的包能够通过中间的公网。封装后的包所途经的公网的逻辑路径称为隧道。一旦封装的帧到达了公网上的目的地，帧就会被解除封装并被继续送到最终目的地。 VPN概述 VPN的基本功能至少应包括： 1）加密数据。以保证通过公网传输的信息即使被他人截获也不会泄露。 2）信息验证和身份识别。保证信息的完整性、合理性，并能鉴别用户的身份。 3）提供访问控制。不同的用户有不同的访问权限。 4）地址管理。VPN方案必须能够为用户分配专用网络上的地址并确保地址的安全性。 5）密钥管理。VPN方案必须能够生成并更新客户端和服务器的加密密钥。 6）多协议支持。VPN方案必须支持公共因特网络上普遍使用的基本协议，包括IP、IPX等。 VPN概述 VPN主要采用以下四项技术来保证安全： 隧道技术 加解密技术 密钥管理技术 使用者与设备身份认证技术 VPN隧道技术 PPTP协议：主要由链路控制协议（LCP）、网络控制协议族（NCPs）和用于网络安全方面的验证协议族（PAP和CHAP）组成。利用MPPE加密法来加密 L2TP协议：允许对IP，IPX或NetBEUI数据流进行加密，然后通过支持点对点数据报传递的任意网络发送，具有身份认证、加密、数据压缩的功能。 IPSec隧道模式：允许对IP负载数据进行加密，然后封装在IP包头中通过企业IP网络或公共IP因特网络如Internet发送 VPN的定义 远程访问VPN 远程访问VPN部署 VPN拓扑图 远程访问VPN部署 1号机为内网的DNS和域控制器，域为(域控制器安全见P464) 1号机同时是DHCP/WINS服务器。 2号机是VPN服务器(加入域，见P466) 3号机是VPN客户端 通过下面设置，要求3号机能通过PPTP/L2TP协议用IP访问1号机;用计算机名访问1号机；能通过2号机在1号机上租到/24网段的地址。 2号机设置为VPN服务器 配置VPN客户端的IP地址 确认DHCP服务器正常 允许用户拨入 VPN客户端的配置 配置L2TP使用预共享密码 VPN客户端的配置 验证 站点对站点的PPTP VPN测试环境 站点对站点的 VPN 1号机A网络上的计算机 2、3号机为VPN服务器 4号机由物理机充当，在B网络上 3号机的本地连接2改为桥接 通过下面设置，要求4号机能通过PPTP/L2TP协议用IP访问1号机; 1号机能通过PPTP/L2TP协议用IP访问4号机 2号机配置VPN 远程访问策略简介 一组定义如何授权或拒绝连接的有序规则 每个规则有一个或多个条件、一组配置文件设置和一个远程访问权限设置 连接尝试至少与一个远程访问策略相匹配时，才会授权连接 远程访问策略存放在远程访问服务器或RADIUS服务器上 远程访问策略的元素 远程访问策略的元素 远程访问策略的验证过程 练习 什么是VPN？ VPN的类型？ 配置远程访问PPTP/L2TP VPN 配置站点到站点PPTP/L2TP VPN 配置远程访问L2TP/IPSec VPN(数字证书）－－课后作业 配置站点到站点L2TP/IPSec VPN(数字证书）－－课后作业（5和6选1做） VPN服务器的配置 站点对站点的PPTP VPN（学生自主练习） IP:0 VPNSA Win2008－1WINS IP:/24 内网卡 外网卡 1 2 3 IP:01 DNS: IP:01 VPN 内网卡 VPNSB IP:02 IP: A网络 B网络 4 物理机IP 远程访问策略 远程访问策略简介 远程访问策略的元素 远程访问策略的验证过程 配置远程访问策略 远程访问策略（Remote access policies） 包含以下元素: 条件：与连接请求进行比较的一个或多个属性 远程访问权限：如果远程访问策略的所有条件都满足，那么远程访问权限或者允许或者拒绝 配置文件：当远程访问连接被验证后（通过用户帐户或策略的权限设置），应用于连接的一组属性 拨入限制 IP属性 IP地址分配 IP过滤器 多链路 验证 加密 高级设置 远程访问用户 配置文件 有可以处理的策略吗? 开始 连接请求与策略的条件匹配吗? Yes 拒绝连接请求 用户帐户拨入属性中的远程访问权限是否设置为通过远程访问策略控制访问? 远程访问权限被设置为拒绝访问吗? Yes Yes No No 执行下一个策略 No 用户帐户拨入属性中的远程访问权限是否设置为拒绝访问？ No 连接请求与用户帐户及配置文件的设置匹配吗? Yes 接受连接请求 拒绝连接请求 No Yes Yes No 虚拟专用网 VPN概述 虚拟专用网 (Vi