3_融合通信综合实一_VPN通信隧道.docVIP

综合实验一 VPN通信隧道 实验目的 了解隧道技术 了解IPSec的原理 熟悉隧道的配置 了解IPSec的配置 实验原理 隧道技术 隧道技术（Tunneling）是一种通过使用互联网络的基础设施在网络之间传递数据的方式。使用隧道传递的数据（或负载）可以是不同协议的数据帧或包。隧道协议将其它协议的数据帧或包重新封装然后通过隧道发送。新的帧头提供路由信息，以便通过互联网传递被封装的负载数据。 隧道保证了乘客协议中分组的封装方式及使用的地址与承载网络的封装方式及使用地址无关，用户可以自定义乘客协议。为创建隧道，隧道的客户机和服务器双方必须使用相同的隧道协议。隧道技术可分别以第2层或第3层隧道协议为基础。第2层隧道协议对应于OSI模型的数据链路层，使用帧作为数据交换单位。PPTP（点对点隧道协议）、L2TP（第二层隧道协议）和L2F（第2层转发协议）都属于第2层隧道协议，是将用户数据封装在点对点协议（PPP）帧中通过互联网发送。第3层隧道协议对应于OSI模型的网络层，使用包作为数据交换单位。IPIP（IP over IP）以及IPSec隧道模式属于第3层隧道协议，是将IP包封装在附加的IP包头中，通过IP网络传送。无论哪种隧道协议都是由传输的载体、不同的封装格式以及用户数据包组成的。它们的本质区别在于，用户的数据包是被封装在哪种数据包中在隧道中传输。 IPSec原理 IP安全协议（IPSec，IP Security）实际上是一套协议包而不是一个独立的协议，从1995年开始IPSec的研究以来，IETF IPSec工作组在它的主页上发布了几十个Internet草案文献和12个RFC文件。其中，比较重要的有RFC2409 IKE（互连网密钥交换）、RFC2401 IPSec协议、RFC2402 AH验证包头、RFC2406 ESP加密数据等文件。 IPSec安全体系包括3个基本协议：AH协议为IP包提供信息源验证和完整性保证；ESP协议提供加密机制；密钥管理协议(ISAKMP)提供双方交流时的共享安全信息。ESP和AH协议都有相关的一系列支持文件，规定了加密和认证的算法。最后，解释域（DOI）通过一系列命令、算法、属性和参数连接所有的IPSec组文件。 VPN原理 虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。 根据不同的需求，VPN有三种解决方案：远程访问虚拟网（Access VPN）、企业内部虚拟网（Intranet VPN）和企业扩展虚拟网（Extranet VPN），这三种类型的VPN分别与传统的远程访问网络、企业内部的Intranet以及企业网和相关合作伙伴的企业网所构成的Extranet（外部扩展）相对应。 根据不同的技术，VPN分为四类：二层VPN，典型为L2TP、PPTP；MPLS VPN，工作在第二层与第三层间；IPSec VPN，工作在第三层；应用层VPN，典型为OpenVPN，工作在应用层。他们的特点为： L2TP MPLS IPSec OpenVPN 隧道协议类型 第二层 二层与三层间 三层 应用层 是否加密 否 是 是 是 对设备要求 边缘设备支持 所有设备支持 边缘设备支持 无要求 OpenVPN通过软件实现构建隧道与加密数据包，虽然会加大主机的运算负担，但是不需要路由器、交换机等设备的支持，正成为小型VPN的主流。 网络拓扑 隧道实验 连接设备 使用交叉线（Copper Cross-Over）连接PC_A的快速以太网口（Fast Ethernet）和Router_A的快速以太网口（Fast Ethernet 0/0），使用交叉线连接PC_B的快速以太网口（Fast Ethernet）和Router_C的快速以太网口（Fast Ethernet 0/0）。 使用串行线（Serial DCE）连接Router_A的串行口（Serial 0/0/0）和Router_B的串行口（Serial 0/0/0）。Router_A端使用母头，Router_B端使用公头，由Router_B提供时钟信号。 使用串行线（Serial DCE）连接Router_C的串行口（Serial 0/0/0）和Router_B的串行口（Serial 0/1/0）。Router_C端使用母头，Router_B端使用公头，由Rou