第十三章 v件n 技术.pptVIP

第十三章 VPN 技术 概述 VPN定义 1.虚拟专用网络可以实现不同网络的组件和资源之间的相互连接。虚拟专用网络能够利用Internet或其它公共互联网络的基础设施为用户创建隧道，并提供与专用网络一样的安全和功能保障。 2.在虚拟专网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。 3.是通过隧道技术在公共数据网络上虚拟出一条点到点的专线技术。 VPN定义 虚拟“virtual” 指没有物理的连接存在于2个网络间；事实上，连接是通过Internet的路由完成的； 专用“private” 指传输的数据是保密的 (通过加密和安全隧道)； 网络“network” 指利用各种网络（私有、公用、有线无线等等）构成的通信手段； 为什么要VPN 资源访问限制于某些IP地址 通过防火墙不能访问某些资源 内部人员需要在外面访问内部网络 雇员可能在外地，需要访问内部网络 专有网太贵 外地的雇员也可能不是定点的 VPN的应用 VPN=隧道+加密 VPN 隧道和加密 VPN模式 Cisco VPN 方案 Site-to-Site VPN 方案 在多层进行加密 Tunneling协议 VPN 协议 VPN术语 Tunnel Encryption and decryption Cryptosystem Hashing Authentication Authorization Key management CA — certification authority service IPSEC术语 AH: Authentication Header (验证标头) ESP: Encapsulating Security Payload(封装安全载荷) IKE: Internet Key Exchange ISAKMP: Internet Security Association and Key Management Protocol SA: Security association (安全关联) AAA: Authentication, authorization, and accounting TACACS+: Terminal Access Controller Access Control System Plus RADIUS: Remote Authentication Dial-In User Service Symmetric Encryption-对称加密-密钥一样 IPSec—加密和验证共同操作 Tunnel 和 Transport 模式 Security Association IPSec的五步: 配置IPSec步骤 IPSec 配置例子-拓扑图 IPSec 配置 IPSec 配置例子-拓扑图 IPSec 配置 show crypto isakmp policy show crypto ipsec transform-set show crypto isakmp sa show crypto ipsec sa show crypto map clear commands debug crypto Crypto System Error Messages for ISAKMP np03r1: hostname np03r1 no ip routing ! interface Serial1 ip address no shutdown ! ip default-gateway end np03r2: hostname np03r2 no ip routing interface Ethernet0 no shutdown ip address ip default-gateway end np03r3: hostname np03r3 interface Ethernet0 no shut ip address ! interface Serial1 no shut ip address ip route np03r5: hostname np03r5 interface Serial0 ip address clockrate 4000000 no shutdown ! interface Serial1 ip address clockrate 4000000 no shutdown end np03r6: hostname np03r6 ip routing interface Serial0 ip address no shu