[幼儿读物]VPN技术培训复杂版.pptVIP

IKE协商过程 第一步、协商IKE策略（协商四个参数） 1．加密算法：选择DES或3DES 　　2．hash算法：选择MD5或SHA 　　3．认证方法：选择证书认证、预共享密钥认证 4．Diffie-Hellman组的选择 第二步、密钥交换 双方经过运算得到共有的一个DH公有值，此公有值在IKE协商中就称为加密材料 第三步、身份验证和交换过程验证 发起方将本端的预共享密钥，随机数等作为参数参与此阶段验证。加密算法对加密材料运算，从而取得需要的共享密钥 IKE协商过程 IKE配置 crypto isakmp enable //IPSEC配置之前应该先启用IKE，也就是isakmp crypto isakmp key harbour address 12.1.1.2 //配置预共享密钥和对等体地址 crypto isakmp policy 1 //建立IKE策略 encryption 3des //加密算法对加密材料运算从而取得需要的共享密钥 hash md5 // 与key 一起用于认证、鉴别对等体 group 2 // DH算法用组2，DH 是用于产生共享密钥的。而该密钥最终可能会用于被保护数据的加密：如果在IPSEC SA 阶段没有指定PFS，则该密钥会用于被保护数据的加密，否则，就会由新的 DH 产生新的共享密钥用于最终的数据加密。 lifetime 3600 //加密材料的生存期 IPSEC 阶段 协商IPSEC SA参数（已受IKE SA保护） 建立IPSEC SA 周期性地重新协商IPSEC SA以确保安全性 该阶段只有一种模式即快速模式。 （Quick Mode） IPSEC协商 发起方将本端的IPSEC策略连同本端的用户身份信息，密钥生成信息（一般是用户主机的IP地址）用第一阶段密钥加密传送给接收方。 接收方收到验证、解密以后将其与本身的IPSEC策略密钥生成信息进行匹配，然后将匹配后的结果连同密钥生成信息、身分信息加密传给发起方。 IPSEC配置 crypto ipsec transform-set TRAN01 esp-3des esp-md5-hmac //建立名为TRAN01的转换集 crypto map MAP01 1 isakmp //建立名为MAP01的加密图的第1个条目，一个加密图可有多个条目，比如：crypto map MAP01 3 isakmp 就建立了加密图 MAP01的另一个条目，该条目优先级是3。 match address VPN //匹配名为VPN的访问列表 set peer 12.1.1.2 set pfs group2 //共享密钥在没有指定PFS时是由IKE 1阶段的DH产生，否则由新的 DH 产生 //共享密钥、esp-3des、esp-md5-hmac均用于被保护数据的加密。 set security-association lifetime seconds 2800 set transform-set TRAN01 内容介绍 VPN基本概念 2. 二层隧道协议L2TP 3. 三层隧道协议IPSEC 4. L2TP + IPSEC 5. VPN应用实例 使用IPSEC保护L2TP通信 内容介绍 VPN基本概念 2. 二层隧道协议L2TP 3. 三层隧道协议IPSEC 4. L2TP + IPSEC 5. VPN应用实例 场点到场点VPN VPN应用实例1 L2TP+IPSEC VPN VPN应用实例2 内容回顾 VPN基本概念 2. 二层隧道协议L2TP 3. 三层隧道协议IPSEC 4. L2TP + IPSEC 5. VPN应用实例 谢谢大家 ！ * --- VPN技术培训 VPN技术 内容介绍 VPN基本概念 2. 二层隧道协议L2TP 3. 三层隧道协议IPSEC 4. L2TP + IPSEC 5. VPN应用实例 VPN概念 VPN=Virtual Private Network 虚拟专网 普通专网 通过租用运营商的商业线路，构建“私有”的专用网络 ATM、帧中继（Frame Relay）、SDH等等 一个普通专网的例子 VPN基本概念 什么是VPN VPN （Virtual Private Network）—虚拟专用网络 在Internet上临时建立的安全虚拟专用网络 VPN的优点 节约成本 增强的安全性 容易扩展 安全的IP地址 VPN基本概念 VPN分类 ??基于加密和不加密的VPN分类