第6章 安VPN业务故障排除.pptVIP

网络管理工程师认证高级培训 安全及VPN业务故障排除 学习目标 掌握VPN相关技术的故障排除方法，包括 GREt和L2TP； 掌握防火墙故障排除方法和流程； 掌握RADIUS协议故障排查方法； 了解网络上的常见攻击方法和MPLSVPN协议。 课程内容 防火墙分类 包过滤防火墙 应用代理防火墙 状态检测防火墙 包过滤防火墙故障排除综述 包过滤防火墙知识简介 包过滤防火墙知识简介 包过滤防火墙故障排除的一般步骤 Display、debugging命令介绍 包过滤防火墙故障案例分析（一） 包过滤防火墙故障案例分析（一） 包过滤防火墙故障案例分析（二） 包过滤防火墙故障案例分析（二） 原因分析 开始可以ping通，一会儿之后不通 关闭防火墙后通 说明与防火墙有关，检查发现动态路由协议的数据包也被禁止 处理过程 从原因分析可以得出，修改ACL规则，允许RIP协议数据包通过即可 [Router1-acl-102] rule normal permit udp source any destination any 课程内容 L2TP故障排除综述 L2TP知识简介-VPDN概述 L2TP知识简介-L2TP规范 L2TP功能和性能的常见问题 L2TP功能和性能的常见问题 L2TP故障排除的一般步骤 L2TP相关的display、debug命令介绍 L2TP故障案例分析（一） L2TP故障案例分析（二） L2TP故障案例分析（三） 课程内容 GRE故障排除 GRE知识简介 GRE功能和性能的常见问题 GRE故障排除的一般步骤 Display、debugging命令介绍 GRE故障案例分析 课程内容 AAA定义 验证（Authentication） 授权（Authorization） 计费（Accounting） Radius协议概述 RADIUS (Remote Authentication Dial-in User Service)是当前流行的安全服务器协议 实现AAA（授权Authorization、验证Authentication和计费Accounting）功能 RADIUS协议采用客户机/服务器（Client/Server）结构，使用UDP协议作为传输协议 RADIUS使用MD5加密算法对数据包进行数字签名，以及对口令进行加密 RADIUS包机构灵活，扩展性好，采用UDP发送 RADIUS实现AAA的流程 RADIUS案例分析 故障现象： 合法的FTP用户user001@huawei要FTP到FTP Server上，FTP Server使用RADIUS认证，用户被拒绝。 Radius案例分析 故障分析 在RADIUS服务器上检查是否有用户登录的信息。没有任何相关信息，推断NAS和RADIUS服务器之间没有建立通信。重点检查NAS上的配置。 在NAS的用户视图下使用debugging radius packet打开RADIUS调试开关，没有任何输出信息，可以推测NAS端没有发出认证报文。 检查AAA配置，发现huawei域下没有配置RADIUS服务器模板，属于漏配置。在配置正确的RADIUS服务器模板后，在NAS观察调试信息，发现可以发送RADIUS报文，但没有收到应答报文。 检查RADIUS服务器端配置。发现RADIUS服务器配置的认证服务端口是1612，同NAS的RADIUS服务器模板配置的1812不一样，修改为1812。认证还是没通过。 在RADIUS服务器端观察，发现密码不正确。仔细检查，并不是该用户密码错误，而是与配置NAS的共享密钥不相同。将共享密钥配置为相同，认证通过，但是用户还是无法登录NAS的FTP服务器。 猜测服务器没有下发FTP目录属性，察看RADIUS服务器端用户user001的配置，发现没有添加下发的FTP目录属性。 添加完毕后，用户能够正常登录FTP服务器，故障排除。 Radius案例分析 处理过程 在RADIUS服务器上检查是否有用户登录的信息。 如果RAD如果NAS没有发出认证报文，检查NAS端的AAA和RADIUS服务器模板配置，保证用户登录时能够观察到NAS发出去的RADIUS报文。 IUS服务器上没有用户登录信息，在NAS侧执行debugging radius packet来打开RADIUS调试开关，检查NAS端是否发出认证报文。 如果此时在RADIUS服务器上还没有用户登录信息，检查RADIUS服务器端的配置，重点检查RADIUS服务器的地址、端口。保证RADIUS服务器和NAS可以ping通，而且端口要与NAS端的RADIUS服务器模板配置相同。 NAS和RADIUS服务器可以通信后。在RADIUS服务器端查看帮助信确认为什么验证不通过。常见的原因有：NAS地址未添加、N