管理虚拟专网(VPN).pptVIP

Chapter 第13章内容回顾 什么是NAT？ NAT中的几个地址 内部局部地址、外部局部地址、内部全局地址、外部全局地址 NAT的应用 转换内部地址、LAN地址复用、TCP负载均衡 NAT的配置 静态NAT 动态NAT PAT TCP负载均衡 虚拟专网（VPN） 第14章 本章目标 能够配置VPN，使企业办事处能够通过VPN远程接入企业网络中心 了解VPN的基本概念 熟悉VPN的工作原理 了解VPN的加密算法 熟悉IPsec VPN技术 能够在Cisco路由器上配置IPsec VPN 本章结构 什么是VPN VPN的优点 VPN的结构和分类 远程访问的VPN 站点到站点的VPN VPN的工作原理 VPN的关键技术 安全隧道技术 隧道协议 第二层隧道协议 第三层隧道协议 信息加密技术 加密算法 对称密钥 非对称密钥 公钥加密和私钥签名 阶段总结 VPN的基本概念 VPN的结构和类型 VPN的原理 安全隧道技术 信息加密技术 什么是IPsec 隧道模式和传输模式 IPsec的组成 AH认证头协议 AH的隧道模式封装 ESP封装安全载荷协议 ESP的隧道模式封装 AH和ESP相比较 安全联盟SA SA的内容 IKE因特网密钥交换协议 IPsec VPN的配置 配置IKE协商3-1 配置IKE协商3-2 配置IKE协商3-3 配置IPsec协商2-1 配置IPsec协商2-2 配置端口的应用2-1 配置端口的应用2-2 检查IPsec配置 VPN配置实例 本章总结 实验 一个SA通常包含以下的安全参数 认证/加密算法，密钥长度及其他的参数 认证和加密所需要的密钥 哪些数据要使用到该SA IPsec的封装协议和模式 如何保护 保护什么 由谁实行 在IPsec网络中用于密钥管理 为IPSec提供了自动协商交换密钥、建立安全联盟的服务 通过数据交换来计算密钥 步骤1 —配置IKE的协商 步骤2 —配置IPSEC的协商 步骤3 —配置端口的应用 步骤4 —调试并排错 启动IKE Router(config)# crypto isakmp enable 建立IKE协商策略 Router(config)# crypto isakmp policy priority 取值范围1~10000 数值越小，优先级越高 配置IKE协商策略 Router(config-isakmp)# authentication pre-share Router(config-isakmp)# encryption ｛ des | 3des ｝ Router(config-isakmp)# hash ｛ md5 | sha1 ｝ Router(config-isakmp)# lifetime seconds 使用预定义密钥 加密算法 SA的活动时间 认证算法 设置共享密钥和对端地址 Router(config)# crypto isakmp key keystring address peer-address 密钥 对端IP 设置传输模式集 Router(config)# crypto ipsec transform-set transform-set-name transform1 [transform2 [transform3]] 定义了使用AH还是ESP协议，以及相应协议所用的算法 配置保护访问控制列表 Router(config)# access-list access-list-number {deny | permit} protocol source source-wildcard destination destination-wildcard 用来定义哪些报文需要经过IPSec加密后发送，哪些报文直接发送 创建Crypto Maps Router(config)# crypto map map-name seq-num ipsec-isakmp 配置Crypto Maps Router(config-crypto-map)# match address access-list-number Router(config-crypto-map)# set peer ip_address Router(config-crypto-map)# set transform-set name ACL编号 对端IP地址 传输模式的名称 Map优先级，取值范围1~65535，值越小，优先级越高 应用Crypto Maps到端口 Router(config)# interface interface_name interface_num Router(config-if)# crypto map map-name