VPN培训要点分析.pptVIP

* L2VPN就是在MPLS网络上透明传递用户的二层数据。从用户的角度来看，这个MPLS网络就是一个二层的交换网络，通过这个网络，可以在不同站点之间建立二层的连接。 * CCC是Circuit Cross Connect（电路交叉连接）的缩写，是通过静态配置来实现L2VPN的一种方式。 对于本地CCC连接， 这两个CE连接到同一个PE设备上，PE设备相当于一个二层交换机。 对于远程CCC连接，两个CE连接到不同的PE上，使用PE之间独享的静态LSP作为隧道，不需要任何信令协议传递二层VPN信息。 CCC采用一层标记来传送用户数据，因此它对LSP的使用是独占性（不能用于其他L2VPN连接，也不能用于BGP/MPLS VPN或承载普通的IP报文）的，用户必须单独为每一个CCC连接手工配置两条L2VPN LSP（两个方向各一条），这两条L2VPN LSP将只能用于传递这个CCC连接的数据。 P节点也要进行STATIC LSP的配置 Page * IPSec 的组成 IPSec 提供两个安全协议 AH (Authentication Header)报文认证头协议 MD5(Message Digest 5) SHA1(Secure Hash Algorithm) ESP (Encapsulation Security Payload)封装安全载荷协议 DES (Data Encryption Standard) 3DES 其他的加密算法：Blowfish ，blowfish、 cast … Page * IPSec 的安全特点 数据机密性（Confidentiality） 数据完整性（Data Integrity） 数据来源认证 （Data Authentication） 反重放（Anti-Replay） Page * GRE GRE (Generic Routing Encapsulation): 是对某些网络层协议（如：IP, IPX, AppleTalk等）的数据报进行封装，使这些被封装的数据报能够在异种网络协议（如IP）中传输,异种报文传输的通道称为tunnel. IPSec不是一个单独的协议，它给出了IP网络上数据安全的一整套体系结构，包括AH（Authentication Header）、ESP（Encapsulating Security Payload）、IKE（Internet Key Exchange）等协议。 GRE和IPSec主要用于实现专线VPN业务。 Page * GRE 协议栈 IP/IPX GRE IP 链路层协议 乘客协议 封装协议 运输协议 GRE协议栈 隧道接口的报文格式 链路层 GRE IP/IPX IP Payload Page * 使用GRE构建VPN Original Data Packet Transfer Protocol Header GRE Header Internet Tunnel 企业总部 分支机构 Page * MPLS VPN 网络结构 VPN_A VPN_A VPN_B 10.3.0.0 10.1.0.0 11.5.0.0 CE CE CE VPN_A VPN_B VPN_B 10.1.0.0 10.2.0.0 11.6.0.0 CE PE PE CE CE VPN_A 10.2.0.0 CE VPN_A VPN_B VPN_B 10.1.0.0 10.2.0.0 11.6.0.0 CE PE PE CE CE VPN_A 10.2.0.0 CE VPN_A 10.2.0.0 CE iBGP sessions P P P P PE PE CE（Custom Edge）：直接与服务提供商相连的用户设备。 PE（Provider Edge Router）：指骨干网上的边缘路由器，与CE相连，主要负责VPN业务的接入。 P （Provider Router）：指骨干网上的核心路由器，主要完成路由和快速转发功能。 Page * MPLS L3 VPN MPLS L3VPN: Multiple Protocol Label Switch Layer 3 VPN 在这种网络构造中，由服务提供商向用户提供VPN服务，用户感觉不到公共网络的存在，就好像拥有独立的网络资源一样。 P 路由器，也不需要知道有VPN的存在，仅仅负责骨干网内部的数据传输。但其必须能够支持MPLS协议，并使能该协议。 所有的VPN的构建、连接和管理工作都是在PE上进行的。 可以直接利用现有路由协议而无需任何改动 MPLS L3 VPN网络具有良好的可扩展性 Page * MPLS L2VPN Tunnel 虚通道 Site Site Site Site PE PE MPLS