思科路由器上配置IPSec-基础指南.pptxVIP

第8章理解并实施远程接入技术

任务8.7思科设备上VPN的配置本节主要描述如何在思科路由器上实现基于IOS功能的VPN，所以在学习前我们必须建立一种科学的学习线索，因为在笔者本人看来VPN完全可以成为一门独立的远程接入课程，因为它的理论知识与配置过程实在是太多、太复杂、太烦琐了。然而，现在我们要在一节的篇幅中树立VPN的概念，以及VPN的配置过程，这肯定为笔者的写作和你的学习都提出了极大的挑战，所以我们采取如下写作和学习结构。理解VPN的类型与VPN接入设备。简述VPN所使用的协议。理解数据机密性、完整性、认证。以IPSec的VPN作为重点描述。理解IPSec的AH首部与ESP（封装安全性载荷）。理解IPSec的支持组件。简述IPSec的工作过程。演示：基于思科IOS路由器场对场的IPSec-VPN的配置。注意：在本节中，主要为大家建立VPN的基本概念与典型配置，因为篇幅有限，不可能面面俱到地详述整个VPN技术，即便是万能的上帝也无法做到，如果需要了解更多VPN技术的信息，请参看CCNP认证部分，在这里我们必须为后期的学习打下基础！

任务8.7.1理解：VPN的类型与VPN设备这里所指的VPN的类型，主要是从接入方式上来区分的类型，大致分为两种类型：场对场的VPN接入与远程访问型的VPN接入。场对场的VPN接入（SitetoSiteVPN）所谓场对场的VPN接入（SitetoSiteVPN），如图8.118所示，一般也叫作“网对网（一个网络对另一个网络）”的VPN连接，通常这种连接方式发生在两个远程机构的边界网关设备上，凡是穿越了两个边界网关设备的数据都会被VPN做加密处理。该连接方式大多用于两个较为固定的办公场所，而且两个场所之间需要持续性的VPN连接。图8.118场对场的VPN

任务8.7.1远程访问类型的VPN接入所谓远程访问类型的VPN接入（RemoteAccessVPN），如图8.119所示，一般也叫作“点对网（一个通信点连接一个网络）”的VPN连接，通常这种连接方式发生在某个公派外地的个人用户通过远程拨号VPN的方式来连接企业总部，以获取安全访问企业内部资源的过程。该连接方式大多用于出差用户到固定办公场所的VPN连接，它的移动性和灵活性相比场对场的VPN而言将更好。图8.119远程访问类型的VPN

任务8.7.1关于思科实施VPN的接入设备通常思科的VPN连接设备，发生在基于IOS功能的路由器、专用的VPN集中器、PIX防火墙、自适应安全设备ASA上，你选择使用什么样的VPN接入设备，这取决于实际的情况——如果你需要获得最专业的VPN业务架构，那么建议使用专用的VPN集中器；如果你需要将思科的安全解决方案与VPN集成，并尽可能地实现将安全与VPN集成，简化网络架构，那么建议使用在思科PIX防火墙或者ASA上部署VPN；如果你主要考虑在最少的成本投入前提下，又可以获得基本的VPN服务，那么建议选择基于IOS功能的路由器来实现VPN。在本节的配置中将演示如何配置基于IOS功能的VPN实现。

任务8.7.2简述VPN协议PPTP、L2TP、IPSecPPTP（PointtoPointTunnelingProtocol，点到点的隧道协议）：该协议的最初倡导者是微软公司，后来有许多厂商联盟参与了开发，它是一种支持多协议虚拟专用网络的VPN协议，属于OSI二层协议，其原型是PPP，该协议是在PPP协议的基础上开发的一种新的增强型安全协议，所以PPTP与PPP类似，它内嵌并集成了许多安全认证方式，可以通过密码身份验证协议（PAP）、可扩展身份验证协议（EAP）等方法增强安全性。可以使远程用户通过连接到Internet后，再通过2次拨号的方式连接到企业的VPN服务器，通常PPTP协议用于MicrosoftWindowsNT工作站、WindowsXP、Windows2000/2003/2008、Windows7的VPN拨号，当然思科也在它的IOS系统中支持该协议。注意：PPTP始终都存在一个问题，就是该协议一直都处于一种半开放状态，虽然后来有部分厂商参与了标准制订，但是这些厂商通常都和微软比较紧密，换而言之，部分厂商还是不支持PPTP。

任务8.7.2L2TP（Layer2TunnelingProtocol，第二层的隧道协议）：L2TP是一种工业标准的Internet隧道协议，L2TP协议最初是由IETF起草，微软、思科、3COM等公司参与并制定的二层隧道协议，它集成了PPTP和L2F两种二层隧道协议的优点，L2F是思科公司的当时VPN的私