安全与VPN-DVPN技术介绍-D.docx

， ， 安全与VPN-DVPN技术介绍 技术介绍 安全和 VPN 技术介绍 安全和 VPN 目 录 i i 目 录 DVPN 1 DVPN简介 1 DVPN的基本概念 1 DVPN的基本原理 2 DVPN的组网结构 2 DVPN的工作过程 3 DVPN的优点 5 技术介绍 安全和 VPN 技术介绍 安全和 VPN DVPN PAGE PAGE 1 DVPN DVPN 简介 越来越多的企业希望利用公共网络组建 VPN（Virtual Private Network，虚拟私有网络），连接地理位置不同的多个分支机构。然而，企业分支机构通常采用动态地址接入公共网络，通信一方无法事先知道对端的公网地址，这就为组建 VPN 提出了一个难题。 DVPN（ Dynamic Virtual Private Network ，动态虚拟私有网络）通过 VAM （ VPN Address Management，VPN 地址管理）协议收集、维护和分发动态变化的公网地址等信息，解决了无法事先获得通信对端公网地址的问题。DVPN 可以在企业网各分支机构使用动态地址接入公网的情况下， 在各分支机构间建立 VPN。 DVPN 把连接到公网上的各节点组成的网络看作 VPN 网络，公网作为 VPN 网络的链路层，DVPN 隧道作为企业内部子网之间的虚通道，相当于网络层。企业各分支设备动态接入到公网中，其公网地址对于通信的另一端来说是未知的，而对于建立端到端的安全隧道，公网地址是必须的条件之一。DVPN 通过VAM 获取通信对端的公网地址。 VAM 协议是 DVPN 方案的主要协议，负责收集、维护、分发公网地址等信息，帮助用户快捷、方便的建立起内部的安全隧道。企业内部子网之间转发的数据报文通过路由协议得到其私网下一跳， 通过 VAM 协议查询到私网下一跳对应的公网地址，并利用该公网地址做为隧道的目的地址进行封装，最后交给已建立起的安全隧道发送到目的端用户。 DVPN 的基本概念 DVPN 方案中有几个关键的角色： DVPN 节点 DVPN 节点为动态 VPN 隧道两端的设备，可以是网络设备或主机。DVPN 节点参与隧道的建立， 需要实现 VAM 的客户端功能。 VAM Server VAM Server 是接受 DVPN 节点向其注册信息的服务器，负责管理、维护各 DVPN 节点的信息。目前 VAM Server 一般运行在较高性能的路由器设备上。 VAM Client VAM Client 向 VAM Server 注册自己的私网地址、公网地址、VAM 标识等信息，向 VAM Server 查询其它 VAM Client 的信息。DVPN 节点上需要实现 VAM Client 功能。文中涉及到 VAM Client 的地方，如果不是特别说明，是指对 Hub 和 Spoke 的统称。 Hub Hub 是一种 VAM Client，一个 VPN 网络的中心设备，它是路由信息交换的中心。在 Hub-Spoke 组网中，它也是数据转发的中心。 Spoke Spoke 是一种 VAM Client，通常是企业分支机构的网关设备，该节点不会转发收到的其它 DVPN 节点的数据。 AAA 服务器 AAA（Authentication, Authorization and Accounting，认证、授权和计费）服务器，用于对用户进行认证和计费管理。 DVPN 的基本原理 DVPN 采用 Client/Server 模式，工作在 TCP/IP 协议栈的应用层，使用 UDP 作为传输协议。按照工作方式的不同，可将一个 VPN 域中的设备划分为一个 Server 和多个 Client，Server 的公网地址为静态地址，Client 的公网地址既可以静态配置也可以动态获取，而 Client 的私网地址则需要按照规划静态分配。在同一个 VPN 域内，要求所有节点的私网地址在同一个网段内。 每一个 Client 向 Server 注册自己的公网地址和私网地址的对应关系。Client 向 Server 注册成功之后，其他 Client 可以从 Server 查询到该 Client 的公网地址，以便在 Client 之间建立 DVPN 隧道。Server 与 Client 间通过 VAM 协议进行消息传递，Client 之间通过 DVPN 隧道协议进行隧道的建立、维护和删除。任何节点退出或加入 VPN 都能自动通知 Server。 DVPN 的组网结构 DVPN 具有两种典型的组网结构： Full-Mesh（全互联）网络：Spoke之间可以建立隧道直接通信；Hub主要作为路由信息交换的中心。如 图 1所示，作为Spoke的Cl