EzVPN(Easy VPN)第一部分讲义.pdf

现任明教教主 EzVPN（Easy VPN）第一部分 第九章:Easy VPN Easy VPN也叫做EzVPN，是Cisco为远程用户，分支办公室提供的一种远程访问 VPN解决方案。EzVPN提供了中心的VPN管理，动态的策略分发，降低了远程访 问VPN部署的复杂程度，并且增加了扩展和灵活性。 Easy VPN特点介绍: 1. Easy VPN是Cisco私有技术，只能运用在Cisco设备之间。 2. Easy VPN适用于中心站点固定地址，客户端动态地址的环境，并且客 户端身后网络环境需要尽可能简单，例如:小超市，服装专卖店或者彩票点。 3. Easy VPN在中心站点配置策略，并且当客户连接的时候推送给客户， 降低了分支站点的管理压力。 Easy VPN 中心站点管理的内容: 1. 协商的隧道参数，例如:地址，算法和生存时间。 2. 使用已配置的参数建立隧道。 3. 动态的为硬件客户端配置NAT或者PAT地址转换。 4. 使用组，用户和密码认证客户。 5. 管理加解密密钥。 6. 验证，加解密隧道数据。 Easy VPN的部署 图9-1 Easy VPN部署拓扑: Cisco EzVPN部署分为服务器端和客户端两大部分。服务器端可以采用Cisco路 由器，PIX500和ASA5500系列防火墙，还有VPN3000集中器。Cisco EzVPN是一 种远程访问VPN解决方案，它能够同时为在PC上安装的软件客户端，还能够为 使用Cisco网络设备的硬件客户端提供VPN服务。支持Cisco EzVPN硬件客户端 的设备有Cisco路由器，PIX500系列防火墙，ASA5505防火墙还有VPN3002硬件 客户端。 Easy VPN IKE 第一阶段两种认证方式 1. 数字证书认证（rsa-sig） 使用数字证书认证的EzVPN，第一阶段使用标准的六个包交换的主模式。 2. 预共享密钥（pre-share） Cisco EzVPN的预共享密钥和传统站点到站点IPSec VPN的配置方式不同，传统 IPSec VPN使用一个密码来进行认证，但是Cisco EzVPN的预共享密钥使用一个 组名加上一个密码来进行认证，这是Cisco采用的一种特殊处理方式，这样做的 好处在于，我们可以为一个公司内的不同部门配置不同的组，并且把VPN相关的 策略与组进行关联，这样就可以为不同的部门配置不同的VPN策略。例如:为部 门一的用户分配地址池一，部门二的用户分配地址池二。并且还需要注意的问题 是，使用预共享密钥认证的EzVPN第一阶段使用三个包交换的主动模式 （aggressive mode） 主动模式三个包交换介绍 图9-2 主动模式第一个包 图9-3 主动模式第二个包 图9-4 主动模式第三个包 图9-2到图9-4分别展示了主动模式的三个包交换，可以从中发现如下几个特点。 1. 三个包都是明文传输的，并没有进行加密保护。 2. 认证信息使用散列函数进行保护。 3. 主动模式三个包完成了主模式六个包完成的任务。 1. IKE第一阶段策略协商 2. DH密钥交换，并产生密钥 3. 相互认证 4. 主动模式第一个包就产生了DH公共值，很明显没有预先协商DH group。 所以在进行主动模式交换之前，发起方和接收方需要统一DH group，预共享密 钥认证的Cisco EzVPN必须使用DH group2。 Easy VPN IKE 第一阶段介绍 Cisco Easy VPN为了提高客户的易用性，客户端无须配置IKE策略。无须配置 策略不等于客户端没有策略，而是客户端（软件/硬件）已经内建了很多策略。 这些策略会在IKE 第一阶段全部推送给服务器端，由服务器来选择适当的策略。 所以策略的最终决定权在于EzVPN服务器。 再次注意：由于预共享密钥认证的EzVPN采用的是AM模式，DH group策略 需要预先统一，Cisco的EzVPN如果采用预共享密钥认证，DH Group必须被配置 为Group2。 下面是教主推荐的Easy VPN IKE 第一阶段策略 1. pre-share + DH gr