VPN技術(shù)在企業(yè)網(wǎng)絡(luò)安全中的應(yīng)用

PAGE中國最大的論文知識(shí)平臺(tái)VPN技術(shù)在企業(yè)網(wǎng)絡(luò)安全中的應(yīng)用內(nèi)容摘要隨著Internet網(wǎng)絡(luò)技術(shù)的普及，網(wǎng)絡(luò)安全越顯重要。為了能更好地解決公司安全問題，讓公司總部服務(wù)器最小限度地免受外界網(wǎng)絡(luò)攻擊，也為了使企業(yè)用戶方便地從遠(yuǎn)程訪問虛擬網(wǎng)、企業(yè)內(nèi)部虛擬網(wǎng)、企業(yè)擴(kuò)展虛擬網(wǎng)，企業(yè)可以考慮采用VPN技術(shù)。VPN技術(shù)具體包括隧道技術(shù)、加密技術(shù)、用戶身份認(rèn)證等。本文首先介紹了VPN的基本概念、優(yōu)勢、分類和安全技術(shù)等基本內(nèi)容。然后介紹了VPN技術(shù)在杭州芝麻開門信息技術(shù)有限公司的應(yīng)用。先介紹了該公司的現(xiàn)狀，以及該公司所面臨的網(wǎng)絡(luò)安全問題，接著分析了解決該問題的具體措施。最后,論文做出了展望并給出了自己的結(jié)論。關(guān)鍵詞：VPN技術(shù)、網(wǎng)絡(luò)安全、網(wǎng)絡(luò)設(shè)計(jì)THEAPPLICATIONOFVPNTECHNOLOGYINTHENETWORKSECURITYOFCOMPANYABSTRACTWiththepopularityofInternettechnology,Networksecuritybecomesmoreandmoreimportant.WecanuseVPNtechnologytosolvethesecurityproblemofthecompanyandminimizeattacksfromexternalnetwork.TheclientscanalsoentertheIntranetVPNorextranetVPNbyuseit.VPNtechnologyincludesTunnelingtechnology,Encryptiontechnology,andUserauthentication,etc.Atfirst,thispaperintroducesthebasicconcept,advantages,classificationandsecuritytechnologyoftheVPNtechnology.Then,theauthoranalyzestheutilizationofVPNtechnologybygivetheexampleofZimakaimencompanyofhangzhou.Theauthoranalyzesthesituationandthenetworksecurityproblemofthecompanyfirstly.Then,theauthorthinksthatthecompanycantakeactionstosolvethisproblem.Finally,theauthorgiveshisconclusion.KEYWORDS:VPNTechnology,Networksecurity,Networkdesign正文目錄引言…………1VPN概述……………………2VPN的概念……………2VPN的組成……………2VPN技術(shù)………………3VPN用途………………4VPN在企業(yè)中的應(yīng)運(yùn)………6公司簡介………………6公司網(wǎng)絡(luò)現(xiàn)有狀況……………………6需求分析………………7需求總結(jié)………………8方案設(shè)計(jì)………………9實(shí)施過程………………11方案的實(shí)施效果………19結(jié)論與啟示…………………20VPN的優(yōu)勢……………20VPN的展望……………21總結(jié)……………………21參考文獻(xiàn)……………23致謝…………………24引言現(xiàn)代意義上的計(jì)算機(jī)網(wǎng)絡(luò)是從1969年美國國防部高級(jí)研究計(jì)劃局建成的ARPAnet實(shí)驗(yàn)網(wǎng)開始的雷震甲.網(wǎng)絡(luò)工程師教程.清華大學(xué)出版社.2004年7月.50頁.雷震甲.網(wǎng)絡(luò)工程師教程.清華大學(xué)出版社.2004年7月.50頁.所以Internet的安全話題一直以來都是發(fā)散而復(fù)雜的。從最初把Internet作為科學(xué)研究用途，到當(dāng)今的電子商務(wù)炙手可熱之時(shí)，安全已然成為網(wǎng)絡(luò)發(fā)展的絆腳石。所以有更多的安全技術(shù)順勢而出，目前的安全措施有數(shù)據(jù)加密、數(shù)字簽名、身份認(rèn)證、防火墻和內(nèi)容檢查等。這些雖然不能阻止風(fēng)險(xiǎn)的出現(xiàn)，但可以把風(fēng)險(xiǎn)降到最低。專用網(wǎng)絡(luò)指的是企業(yè)內(nèi)部的局域和廣域網(wǎng)絡(luò)，是Internet等公共網(wǎng)絡(luò)上的延伸。在過去，大型企業(yè)為了網(wǎng)絡(luò)通訊的需求，往往必須投資人力、物力及財(cái)力，來建立企業(yè)專用的廣域網(wǎng)絡(luò)通訊管道，或采用長途電話甚至國際電話的昂貴撥接方式。在Internet蓬勃發(fā)展的現(xiàn)在，企業(yè)為了維持競爭力，又為了使公司總部和分支、合作伙伴之間信息的安全性受到保障，通常需要將專用網(wǎng)絡(luò)與Internet間適當(dāng)?shù)卣显谝黄穑怯直仨毣ㄙM(fèi)一筆Internet連接的固定費(fèi)用?；旧螴nternet是建立在公眾網(wǎng)絡(luò)的基礎(chǔ)之上，如果企業(yè)可以將專用網(wǎng)絡(luò)中的廣域網(wǎng)絡(luò)連結(jié)與遠(yuǎn)程撥號(hào)連接這兩部份，架構(gòu)在Internet這一類的公眾網(wǎng)絡(luò)之上，同時(shí)又可以維持原有的功能與安全需求的話，則將可以節(jié)省下一筆不算小的通訊費(fèi)用支出。這個(gè)問題的解決方法，就需要虛擬專用網(wǎng)。VPN概述VPN的概念利用公共網(wǎng)絡(luò)來構(gòu)建的私人專用網(wǎng)絡(luò)稱為虛擬專用網(wǎng)絡(luò)(VPN，VirtualPrivateNetwork)，用于構(gòu)建VPN的公共網(wǎng)絡(luò)包括Internet、幀中繼、ATM等。在公共網(wǎng)絡(luò)上組建的VPN像企業(yè)現(xiàn)有的私有網(wǎng)絡(luò)一樣能提供安全性、可靠性和可管理性等?！疤摂M”的概念是相對于傳統(tǒng)專用網(wǎng)絡(luò)的構(gòu)建方式而言的。對于廣域網(wǎng)連接，傳統(tǒng)的組網(wǎng)方式是通過遠(yuǎn)程撥號(hào)連接來實(shí)現(xiàn)的，而VPN是利用服務(wù)提供商所提供的公共網(wǎng)絡(luò)來實(shí)現(xiàn)遠(yuǎn)程的廣域網(wǎng)連接。通過VPN，企業(yè)可以以明顯的、更低的成本連接它們的遠(yuǎn)地辦事機(jī)構(gòu)、出差工作人員以及業(yè)務(wù)合作伙伴。企業(yè)內(nèi)部資源享用者只需連入本地ISP的POP(PointOfPresence，接入服務(wù)提供點(diǎn))，即可相互通信；而利用傳統(tǒng)的WAN組建技術(shù)，彼此之間要有專線相連才可以達(dá)到同樣的目的。虛擬網(wǎng)組成后，出差員工和外地客戶只需擁有本地ISP的上網(wǎng)權(quán)限就可以訪問企業(yè)內(nèi)部資源；如果接入服務(wù)器的用戶身份認(rèn)證服務(wù)器支持漫游的話，甚至不必?fù)碛斜镜豂SP的上網(wǎng)權(quán)限。這對于流動(dòng)性很大的出差員工和分布廣泛的客戶與合作伙伴來說是很有意義的。并且企業(yè)開設(shè)VPN服務(wù)所需的設(shè)備很少，只需在資源共享處放置一臺(tái)VPN服務(wù)器就可以了。VPN具有虛擬的特點(diǎn)：VPN并不是某個(gè)公司專有的封閉線路或者是租用某個(gè)網(wǎng)絡(luò)服務(wù)商提供的封閉線路，但是，VPN同時(shí)又具有專線的數(shù)據(jù)傳輸功能，因?yàn)閂PN能夠像專線一樣在公共網(wǎng)絡(luò)上處理自己公司的信息。它通過安全的數(shù)據(jù)通道將遠(yuǎn)程用戶，公司分支機(jī)構(gòu)，公司業(yè)務(wù)伙伴等與公司企業(yè)網(wǎng)連接起來，構(gòu)成一個(gè)擴(kuò)展的公司企業(yè)網(wǎng)。在該網(wǎng)絡(luò)的主機(jī)似乎感覺所有主機(jī)都在同一個(gè)網(wǎng)絡(luò)內(nèi)，而沒有察覺公共網(wǎng)絡(luò)的存在，同時(shí)感到公共網(wǎng)絡(luò)為本網(wǎng)絡(luò)獨(dú)自占用。然而，事實(shí)并非如此，所以稱之為虛擬專用網(wǎng)雷震甲.網(wǎng)絡(luò)工程師教程.清華大學(xué)出版社.2004年7月.319頁.。雷震甲.網(wǎng)絡(luò)工程師教程.清華大學(xué)出版社.2004年7月.319頁.VPN的組成無論是從VPN技術(shù)發(fā)展歷程還是應(yīng)用模式看，VPN技術(shù)包含了多種當(dāng)前新興的網(wǎng)絡(luò)技術(shù)，涉及到隧道技術(shù)、密碼技術(shù)、和身份認(rèn)證技術(shù)，是多種技術(shù)的結(jié)合體。這決定了用戶在選擇VPN時(shí)必須以應(yīng)用為導(dǎo)向，以解決方案為實(shí)施依據(jù)，方可事半功倍。VPN是一個(gè)建立在現(xiàn)有共用網(wǎng)絡(luò)基礎(chǔ)上的專網(wǎng)，它由各種網(wǎng)絡(luò)節(jié)點(diǎn)、統(tǒng)一的運(yùn)行機(jī)制和與物理接口構(gòu)成，一般包括以下幾個(gè)關(guān)鍵組成部分：一、VPN服務(wù)器VPN服務(wù)器作為端點(diǎn)的計(jì)算機(jī)系統(tǒng)，可能是防火墻、路由器、專用網(wǎng)關(guān)，也可能是一臺(tái)運(yùn)行VPN軟件的聯(lián)網(wǎng)計(jì)算機(jī)，或是一臺(tái)聯(lián)網(wǎng)手持設(shè)備。二、算法體系算法體系是VPN專用網(wǎng)絡(luò)的形成的關(guān)鍵，常見的有：摘要算法MD5或SHA1，對稱加密RC4、RC5、DES、3DES、AES、IDEA、BLOWFISH，公用密鑰加密RSA、DSA等。不同類型的VPN根據(jù)應(yīng)用特點(diǎn)在實(shí)現(xiàn)上使用對應(yīng)的算法，有的還可以由用戶根據(jù)使用現(xiàn)場臨時(shí)更換。三、認(rèn)證系統(tǒng)VPN是一個(gè)網(wǎng)絡(luò)，要為網(wǎng)絡(luò)節(jié)點(diǎn)提供可靠的連接。如同現(xiàn)實(shí)社會(huì)交往中強(qiáng)調(diào)的“誠信”原則一樣，當(dāng)你通過一個(gè)網(wǎng)絡(luò)去訪問一個(gè)網(wǎng)絡(luò)資源時(shí)，你自然希望對方是像你要求的那樣是真實(shí)的，可以想象，對方也是這樣要求你的，如何認(rèn)證對方和認(rèn)證自己，同時(shí)還要防止認(rèn)證信息泄露，這就是認(rèn)證系統(tǒng)所要解決的問題，是開始VPN連接的基礎(chǔ)。一般使用的有口令、一次性密碼、RSA、SecurID、雙因素令牌、LDAP、WindowsAD、Radius、證書，一個(gè)系統(tǒng)中往往包括一種以上幾種方式來增加靈活性。四、VPN協(xié)議它規(guī)定了VPN產(chǎn)品的特征，主要包括安全程度和與上下層網(wǎng)絡(luò)系統(tǒng)的接口形式。安全不僅要靠算法，由于VPN強(qiáng)調(diào)的是網(wǎng)絡(luò)連接和傳輸，配套的密鑰交換和密鑰保護(hù)方法甚至比算法更重要，而接口決定了一個(gè)VPN產(chǎn)品的適用度。常見的有PPTP、L2TP、MPLSVPN、IPsec、SOCKS、SSL。VPN技術(shù)VPN采用的關(guān)鍵技術(shù)主要包括隧道技術(shù)、加密技術(shù)、用戶身份認(rèn)證技術(shù)及訪問控制技術(shù)。一、隧道技術(shù)VPN的核心就是隧道技術(shù)。隧道是一種通過互聯(lián)網(wǎng)絡(luò)在網(wǎng)絡(luò)之間傳遞數(shù)據(jù)的一種方式。所傳遞的數(shù)據(jù)在傳送之前就被封裝在相應(yīng)的隧道協(xié)議里，當(dāng)?shù)竭_(dá)另一端后才被解封。被封裝的數(shù)據(jù)在互聯(lián)網(wǎng)上傳遞時(shí)所經(jīng)過的路徑是一條邏輯路徑。在VPN中主要有兩種隧道。一種是端到端的隧道，主要實(shí)現(xiàn)個(gè)人與主機(jī)之間的連接，端設(shè)備必須完成隧道的建立，對端到端的數(shù)據(jù)進(jìn)行加密及解密。另一種是節(jié)點(diǎn)到節(jié)點(diǎn)的隧道，主要是用于連接不同地點(diǎn)的LAN數(shù)據(jù)到達(dá)LAN邊緣VPN設(shè)備時(shí)被加密并傳送到隧道的另一端，在那里被解密并送入相連的LAN。它其實(shí)就是邊界路由器在起著關(guān)鍵作用，隧道的建立，數(shù)據(jù)的加密、解密都是在邊界路由器里完成的。隧道技術(shù)相關(guān)的協(xié)議分為第二層隧道協(xié)議和第三層隧道協(xié)議。第二層隧道協(xié)議主要有PPTP、L2TP和LZF等，第三層隧道協(xié)議主要有GRE以及IPSec等。二、加密技術(shù)VPN的加密方法主要是發(fā)送者在發(fā)送數(shù)據(jù)之前對要發(fā)送的數(shù)據(jù)進(jìn)行加密，當(dāng)數(shù)據(jù)到達(dá)接收者時(shí)再由接收者對數(shù)據(jù)進(jìn)行解密的處理過程。加密算法的種類包括:對稱密鑰算法，公共密鑰算法等。三、用戶身份認(rèn)證技術(shù)用戶身份認(rèn)證技術(shù)主要用于遠(yuǎn)程訪問的情況。當(dāng)一個(gè)撥號(hào)用戶要求建立一個(gè)會(huì)話時(shí)，就會(huì)對用戶的身份進(jìn)行鑒定，以確定該用戶是否是合法用戶以及哪些資源可以被使用。四、訪問控制技術(shù)訪問控制技術(shù)就是確定合法用戶對特定資源的訪問權(quán)限，以實(shí)現(xiàn)對信息資源的最大限度的保護(hù)。VPN的用途一、遠(yuǎn)程訪問VPN最適用于用戶從離散的地點(diǎn)訪問固定的網(wǎng)絡(luò)資源，如從住所訪問辦公室內(nèi)的資源；出差員工從外地旅店存取企業(yè)網(wǎng)數(shù)據(jù)；技術(shù)支持人員從客戶網(wǎng)絡(luò)內(nèi)訪問公司的數(shù)據(jù)庫查詢調(diào)試參數(shù)；納稅企業(yè)從本企業(yè)內(nèi)接入互聯(lián)網(wǎng)并通過VPN進(jìn)入當(dāng)?shù)囟悇?wù)管理部門進(jìn)行網(wǎng)上稅金繳納。遠(yuǎn)程訪問VPN可以完全替代以往昂貴的遠(yuǎn)程撥號(hào)接入，并加強(qiáng)了數(shù)據(jù)安全。二、內(nèi)聯(lián)網(wǎng)（分支機(jī)構(gòu)聯(lián)網(wǎng)）VPN最適用將異地的兩個(gè)或多個(gè)局域網(wǎng)或主機(jī)相連形成一個(gè)內(nèi)網(wǎng)，主要用于將用戶的異地LAN通過互聯(lián)網(wǎng)上的VPN作為一條虛擬專線連接起來，或是將分支機(jī)構(gòu)與總部連接起來。內(nèi)聯(lián)網(wǎng)VPN可以替代目前市場上使用幀中繼和ATM等專線構(gòu)成的專網(wǎng)，顯著降低網(wǎng)絡(luò)建設(shè)和運(yùn)行成本，極大提高了部署和擴(kuò)展靈活性。三、安全平臺(tái)將相同工作性質(zhì)的，離散地理位置的終端設(shè)備、局域網(wǎng)內(nèi)的主機(jī)或局域網(wǎng)連接形成一個(gè)專網(wǎng)，滿足協(xié)同工作的要求，如總公司銷售部門的LAN與下屬單位的銷售部門的PC，以及外出銷售人員的筆記本之間構(gòu)成一個(gè)安全銷售網(wǎng)，共享CRM、文檔和IP電話，滿足用戶動(dòng)態(tài)、業(yè)務(wù)導(dǎo)向化的組網(wǎng)要求，這是其他方案難以實(shí)現(xiàn)的。四、替代專線內(nèi)聯(lián)網(wǎng)VPN的簡化版，簡單地將兩個(gè)主機(jī)相連實(shí)現(xiàn)聯(lián)機(jī)、遙控，或一個(gè)主機(jī)與一個(gè)LAN相連，或替代現(xiàn)有專網(wǎng)的某一條專線成為專網(wǎng)的一部分。五、用戶認(rèn)證利用VPN用戶認(rèn)證機(jī)制和VPN的安全性，強(qiáng)化用戶認(rèn)證的安全，如上網(wǎng)計(jì)費(fèi)系統(tǒng)，認(rèn)證后的數(shù)據(jù)傳輸安全不是重點(diǎn)。六、網(wǎng)絡(luò)資源訪問控制將VPN用戶認(rèn)證機(jī)制和VPN網(wǎng)關(guān)對網(wǎng)絡(luò)訪問的調(diào)度能力結(jié)合起來，根據(jù)預(yù)定的安全策略給與不同用戶不同的資源訪問權(quán)限，強(qiáng)化網(wǎng)絡(luò)資源的合理配置和安全性。VPN在企業(yè)中的應(yīng)運(yùn)公司簡介杭州芝麻開門信息技術(shù)有限公司系專業(yè)行業(yè)性B2B和B2C平臺(tái)運(yùn)營商，公司下設(shè)兩家分公司，運(yùn)營兩個(gè)網(wǎng)站：和，現(xiàn)在公司主要是和中國制筆協(xié)會(huì)共同開發(fā)中國筆業(yè)貿(mào)易網(wǎng)．公司匯聚了眾多IT界的精英，直接出擊日益擴(kuò)張的全球市場。公司的目的是將傳統(tǒng)的國內(nèi)、國際性采購及貿(mào)易活動(dòng)轉(zhuǎn)變成一個(gè)高效率、高效益、低成本的新型電子商務(wù)模式，并根據(jù)企業(yè)的商務(wù)活動(dòng)的實(shí)際狀況，推出一系列適合于供應(yīng)商及采購商進(jìn)行商業(yè)信息交流與溝通的平臺(tái)，促進(jìn)并達(dá)到讓制筆行業(yè)的企業(yè)利用得到更多的商業(yè)服務(wù)和最大限度的商業(yè)資訊。中國筆業(yè)貿(mào)易網(wǎng)的信息具有傳遞快、大容量、及時(shí)更換等特點(diǎn)，可以迅速發(fā)布行業(yè)內(nèi)的供求、人才、新產(chǎn)品、新技術(shù)專利等信息。并建立了制筆行業(yè)進(jìn)出口統(tǒng)計(jì)、行業(yè)標(biāo)準(zhǔn)、政策法規(guī)、技術(shù)知識(shí)、人才中心等信息數(shù)據(jù)庫，為廣大的制筆企業(yè)及全球采購商提供了真正實(shí)用的電子商務(wù)大平臺(tái)。公司現(xiàn)有的網(wǎng)絡(luò)狀況首先來了解一下關(guān)于杭州芝麻開門信息技術(shù)有限公司的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。如圖3-1所示。圖3-1杭州芝麻開門信息技術(shù)有限公司的網(wǎng)絡(luò)圖從圖看出總公司和分公司、銀行、合作伙伴，分公司和銀行、合作伙伴，出差員工或者在家辦公人員和總公司、分公司之間，這三種關(guān)系的連接都是經(jīng)過Internet的?？偣臼峭ㄟ^Cisco2600系列路由器作為邊界網(wǎng)關(guān)與外界Internet等公共網(wǎng)相連，并配置放火墻。內(nèi)部則由兩臺(tái)CiscoCrystal2950系列交換機(jī)做為中心交換機(jī)把辦公大樓、營銷中心、FTP服務(wù)器、WWW服務(wù)器、E-mail服務(wù)器、數(shù)據(jù)庫服務(wù)器等聯(lián)系起來。網(wǎng)管站直接和交換機(jī)相連，并管理路由器、中心交換機(jī)、服務(wù)器等。如圖3-2所示。圖3-2總部內(nèi)網(wǎng)麗水分支和杭州分支是通過撥號(hào)上網(wǎng)，與總公司聯(lián)系。它們具體是先經(jīng)ADSLModem連到24接口阿爾法AFR-K24路由器（內(nèi)配置防火墻），再接24接口阿爾法AFS-3026交換機(jī)和個(gè)人電腦相連。公司通過防火墻接入Internet。目前公司所有應(yīng)用僅限于公司局域網(wǎng)內(nèi)，出差員工不能訪問。總部網(wǎng)絡(luò)內(nèi)建設(shè)WWW、文件共享服務(wù)、Exchange、公司ERP系統(tǒng)，總部各部門局域網(wǎng)絡(luò)實(shí)現(xiàn)接入Internet,但沒有實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)互聯(lián)。杭州分支公司：電腦接入Internet，實(shí)現(xiàn)了辦公網(wǎng)絡(luò)半自動(dòng)化。麗水分支公司：電腦接入Internet，實(shí)現(xiàn)了辦公網(wǎng)絡(luò)半自動(dòng)化。需求分析杭州芝麻開門信息技術(shù)有限公司自1996年創(chuàng)建以來，所擁有的客戶群已越來越龐大。而作為以網(wǎng)站服務(wù)和維護(hù)為主的公司，其客戶需要頻繁地訪問公司內(nèi)部網(wǎng)，訪問服務(wù)器。從安全性上講，通過Internet等公共網(wǎng)的連接，勢必會(huì)帶來一些危險(xiǎn)：從客戶端帶來的威脅會(huì)有病毒、陷門和木馬、非授權(quán)訪問、假冒、重放、誹謗等。從服務(wù)器端的威脅就有數(shù)據(jù)完整性破壞、信息篡改等。根據(jù)公司工程技術(shù)人員的深入了解和分析，杭州芝麻開門信息技術(shù)有限公司需要一種安全的接入機(jī)制來保障通信的安全，并達(dá)到以下要求：=1\*CHINESENUM3一、企業(yè)必需要確保其VPN上傳送的數(shù)據(jù)不被攻擊者窺視和篡改，并且要防止非法用戶對網(wǎng)絡(luò)資源或私有信息的訪問。ExtranetVPN將企業(yè)網(wǎng)擴(kuò)展到合作伙伴和客戶；=2\*CHINESENUM3二、要求企業(yè)將其網(wǎng)絡(luò)管理功能從局域網(wǎng)無縫地延伸到公用網(wǎng)，甚至是客戶和合作伙伴。雖然可以將一些次要的網(wǎng)絡(luò)管理任務(wù)交給服務(wù)提供商去完成，企業(yè)自己仍需要完成許多網(wǎng)絡(luò)管理任務(wù)；=3\*CHINESENUM3三、構(gòu)建VPN的另一重要需求是充分有效地利用有限的廣域網(wǎng)資源，為重要數(shù)據(jù)提供可靠的帶寬；=4\*CHINESENUM3四、總部通過多條線路連接廣域網(wǎng)，保證分點(diǎn)財(cái)務(wù)核算數(shù)據(jù)的連接安全，也節(jié)約了寬帶接入成本；=5\*CHINESENUM3五、支持從各種網(wǎng)絡(luò)條件下的安全接入；=6\*CHINESENUM3六、通過隧道技術(shù)在網(wǎng)絡(luò)協(xié)議的越下層實(shí)現(xiàn)更高的數(shù)據(jù)安全性；=7\*CHINESENUM3七、通過路由器對用戶實(shí)行統(tǒng)一的管理，對訪問權(quán)限實(shí)行分級(jí)管理等要求，實(shí)現(xiàn)流量控制、端口鏡象等要求，通過路由器的相關(guān)防火墻功能實(shí)現(xiàn)網(wǎng)絡(luò)的安全管理；=8\*CHINESENUM3八、出差員工利用公司筆記公共電腦（如機(jī)場侯機(jī)廳的計(jì)算機(jī)）也能夠較安全地訪問公司內(nèi)部網(wǎng)絡(luò)資源；=9\*CHINESENUM3九、總部保證內(nèi)網(wǎng)至少100臺(tái)電腦接入Internet，還要考慮到公司以后的發(fā)展接入點(diǎn)的增加，同時(shí)實(shí)現(xiàn)一級(jí)分部通過相關(guān)設(shè)備在連到總部網(wǎng)絡(luò)的同時(shí)還提供訪問公司FTP服務(wù)器，連接公司ERP系統(tǒng)提交與查詢相關(guān)信息等要求；=10\*CHINESENUM3十、杭州、麗水分支機(jī)構(gòu)2個(gè)辦事處電腦接入Internet，同時(shí)考慮到公司以后的發(fā)展接入點(diǎn)的增加，同時(shí)實(shí)現(xiàn)與總部實(shí)現(xiàn)互聯(lián)同時(shí)還提供訪問公司FTP服務(wù)器，連接公司ERP系統(tǒng)提交與查詢相關(guān)信息等要求；=11\*CHINESENUM3十一、在各分支機(jī)構(gòu)和總公司之間創(chuàng)造一個(gè)集成化的辦公環(huán)境，為工作人員提供多功能的桌面辦公環(huán)境，解決辦公人員處理不同事務(wù)需要使用不同工作環(huán)境的問題。需求總結(jié)針對以上的需求，通過VPN的配置可以解決互聯(lián)問題，另外對VPN加以相應(yīng)配置可以實(shí)現(xiàn)資料傳輸?shù)陌踩詥栴}。以現(xiàn)有技術(shù)來說，所謂最優(yōu)選擇其實(shí)必須根據(jù)遠(yuǎn)程訪問的需求與目標(biāo)而定。目前主流VPN方案有兩種：IPSec/IKE和SSLVPN。當(dāng)前企業(yè)需要安全的點(diǎn)對點(diǎn)連接，或用單一裝置進(jìn)行遠(yuǎn)程訪問，并且讓企業(yè)擁有管理所有遠(yuǎn)程訪問使用能力，IPSec/IKE是最適合的解決方案。比較那種傳輸方法比較好更重要的問題是：那種安全技術(shù)最符合遠(yuǎn)程接入方案的需求，IPSec可以保護(hù)任何IP流量，而SSL專注于應(yīng)用層流量。IPSec適合長期的連接，即寬帶、持續(xù)和網(wǎng)絡(luò)層連接要求。SSL僅適合于個(gè)別的，對應(yīng)用層和資源的連接，而且支持的應(yīng)用沒有IPSec多。實(shí)現(xiàn)外出出差員工通過PPTP撥號(hào)連接公司網(wǎng)絡(luò)完成相關(guān)工作。方案設(shè)計(jì)=1\*CHINESENUM3一、設(shè)備選擇由于VPN的應(yīng)用受到網(wǎng)管者的歡迎，因此技術(shù)也不斷演進(jìn)。一般常見的VPN協(xié)定有PPTP、IPSec、SSL等。其中PPTP為微軟支持的協(xié)定，設(shè)定較方便，但保全性不夠；IPSec公認(rèn)是最安全的協(xié)定，但是設(shè)定和配置復(fù)雜，一般的用戶不容易操作；SSL則需在服務(wù)器端進(jìn)行介面轉(zhuǎn)換，并不是所有的應(yīng)用程序都可支持。在實(shí)際操作上，VPN的架設(shè)還面臨其他的問題：例如當(dāng)互聯(lián)網(wǎng)聯(lián)機(jī)掉線時(shí)，再安全的VPN也沒有作用；中國由于IP資源有限，因此VPN聯(lián)機(jī)必須基于雙方為動(dòng)態(tài)IP的基礎(chǔ)上建立；由于幅員廣大，網(wǎng)管人員要跑遍各個(gè)分公司的成本太高，VPN的設(shè)定最好簡單清楚，略有網(wǎng)絡(luò)知識(shí)者即可完成；每個(gè)ISP的IP分派方式都不同，IPSec并不一定都能穿透?，F(xiàn)在市場上的VPN產(chǎn)品繁多，而且功能各不相同，本著遵循著方便實(shí)用、高效低成本、安全可靠、網(wǎng)絡(luò)架構(gòu)彈性大等相關(guān)原則，同時(shí)對杭州芝麻開門信息技術(shù)有限公司的需求分析，在選擇VPN連接設(shè)備上推薦市場上思科公司的Cisco2600系列VPN防火墻路由器產(chǎn)品。Cisco2600系列VPN防火墻路由器產(chǎn)品支持IPSecVPN連接，提供適用于各辦公室，事業(yè)伙伴及遠(yuǎn)程使用者使用的安全便利的網(wǎng)絡(luò)加密方式，包括3DES，DES，以及AH/ESP加密方式。VPN功能提供了各分支點(diǎn)間或大多數(shù)遠(yuǎn)程使用者采VPN方式，將資料自動(dòng)加密解密的通訊方式，支持GatewayToGateway，ClientToGateway與GroupVPNs等模式。具備PPTP服務(wù)器功能，具備聯(lián)機(jī)狀態(tài)顯示，可以滿足在外出差或想要連回總部或分公司的用戶也可使用PPTP或IPSec方式連回企業(yè)網(wǎng)絡(luò)，相對來說PPTP要比IPSec易配制，對移動(dòng)辦公用戶比較適合。Cisco2600系列VPN防火墻路由器產(chǎn)品內(nèi)建進(jìn)階型防火墻功能，能夠阻絕大多數(shù)的網(wǎng)絡(luò)攻擊行為，使用了SPI封包主動(dòng)偵測檢驗(yàn)技術(shù)(StatefulPacketInspection)，封包檢驗(yàn)型防火墻主要運(yùn)作在網(wǎng)絡(luò)層，執(zhí)行對每個(gè)連接的動(dòng)態(tài)檢驗(yàn)，也擁有應(yīng)用程序的警示功能，讓封包檢驗(yàn)型防火墻可以拒絕非標(biāo)準(zhǔn)的通訊協(xié)議所使用的連結(jié)，預(yù)設(shè)自動(dòng)偵測并阻擋。Cisco2600亦同時(shí)支持使用網(wǎng)絡(luò)地址轉(zhuǎn)換NetworkAddressTranslation(NAT)功能以及Routing路由模式，使網(wǎng)絡(luò)環(huán)境架構(gòu)更為彈性，易于規(guī)劃管理。總部網(wǎng)絡(luò)通過光纖連接外網(wǎng)，連接路由器交換機(jī)選擇三層千兆交換機(jī)，三層千兆交換機(jī)之間用光纖連接，以滿足內(nèi)部網(wǎng)絡(luò)VLAN的劃分，同時(shí)考慮到今后公司的發(fā)展，信息點(diǎn)擴(kuò)充的需要。=2\*CHINESENUM3二、設(shè)計(jì)原則VPN的設(shè)計(jì)包含以下原則:=1\*GB4㈠安全性VPN直接構(gòu)建在公用網(wǎng)上，實(shí)現(xiàn)簡單、方便、靈活，但同時(shí)其安全問題也更為突出。企業(yè)必需要確保其VPN上傳送的數(shù)據(jù)不被攻擊者窺視和篡改，并且要防止非法用戶對網(wǎng)絡(luò)資源或私有信息的訪問。ExtranetVPN將企業(yè)網(wǎng)擴(kuò)展到合作伙伴和客戶，對安全性提出了更高的要求。具體的有隧道與加密、數(shù)據(jù)驗(yàn)證、用戶身份驗(yàn)證、防火墻與攻擊檢測。㈡網(wǎng)絡(luò)優(yōu)化構(gòu)建VPN的另一重要需求是充分有效地利用有限的廣域網(wǎng)資源，為重要數(shù)據(jù)提供可靠的帶寬。廣域網(wǎng)流量的不確定性使其帶寬的利用率很低，在流量高峰時(shí)引起網(wǎng)絡(luò)阻塞，產(chǎn)生網(wǎng)絡(luò)瓶頸，使實(shí)時(shí)性要求高的數(shù)據(jù)得不到及時(shí)發(fā)送；而在流量低谷時(shí)又造成大量的網(wǎng)絡(luò)帶寬空閑。QOS通過流量預(yù)測與流量控制策略，可以按照優(yōu)先級(jí)分配帶寬資源，實(shí)現(xiàn)帶寬管理，使得各類數(shù)據(jù)能夠被合理地先后發(fā)送，并預(yù)防阻塞的發(fā)生。一般地，二層和三層的QOS具有以下功能:=1\*GB1⒈流分類:根據(jù)不同的用戶、應(yīng)用、服務(wù)器或URL地址等對數(shù)據(jù)流進(jìn)行分類，然后才可以在不同的數(shù)據(jù)流上實(shí)施不同的QOS策略。流分類是實(shí)現(xiàn)帶寬管理以及其他QOS功能的基礎(chǔ)。ACL就是流分類的手段之一。=2\*GB1⒉流量整形與監(jiān)管:流量整形是指根據(jù)數(shù)據(jù)流的優(yōu)先級(jí)，在流量高峰時(shí)先盡量保證優(yōu)先級(jí)高的數(shù)據(jù)流的接收/發(fā)送，而將超過流量限制的優(yōu)先級(jí)低的數(shù)據(jù)流丟棄或滯后到流量低谷時(shí)接收/發(fā)送，使網(wǎng)絡(luò)上的流量趨于穩(wěn)定；流量監(jiān)管則是指帶寬大的路由器限制出口的發(fā)送速率，從而避免下游帶寬小的路由器丟棄超過其帶寬限制的數(shù)據(jù)包，消除網(wǎng)絡(luò)瓶頸。=3\*GB1⒊擁塞管理與帶寬分配:根據(jù)一定的比例給不同的優(yōu)先級(jí)的數(shù)據(jù)流分配不同的帶寬資源，并對網(wǎng)絡(luò)上的流量進(jìn)行預(yù)測，在流量達(dá)到上限之前丟棄若干數(shù)據(jù)包，避免過多的數(shù)據(jù)包因發(fā)送失敗的同時(shí)進(jìn)行重傳而引起更嚴(yán)重的資源緊張，進(jìn)而提高網(wǎng)絡(luò)的總體流量。=3\*GB4㈢VPN管理VPN要求企業(yè)將其網(wǎng)絡(luò)管理功能從局域網(wǎng)無縫地延伸到公用網(wǎng)，甚至是客戶和合作伙伴。可以將一些次要的網(wǎng)絡(luò)管理任務(wù)交給服務(wù)提供商去完成，企業(yè)自己就可完成許多網(wǎng)絡(luò)管理任務(wù)。所以，一個(gè)完善的VPN管理系統(tǒng)是必不可少的。VPN管理的目標(biāo)為:=1\*GB1⒈減小網(wǎng)絡(luò)風(fēng)險(xiǎn):從傳統(tǒng)的專線網(wǎng)絡(luò)擴(kuò)展到公用網(wǎng)絡(luò)基礎(chǔ)設(shè)施上，VPN面臨著新的安全與監(jiān)控的挑戰(zhàn)。網(wǎng)絡(luò)管理需要做到在允許公司分部、客戶和合作伙伴對VPN訪問的同時(shí)，還要確保公司數(shù)據(jù)資源的完整性。=2\*GB1⒉擴(kuò)展性:VPN管理需要對日益增多的客戶和合作伙伴作出迅捷的反應(yīng)，包括網(wǎng)絡(luò)硬、軟件的升級(jí)、網(wǎng)絡(luò)質(zhì)量保證、安全策略維護(hù)等。=3\*GB1⒊經(jīng)濟(jì)性:保證VPN管理的擴(kuò)展性的同時(shí)不應(yīng)過多地增加操作和維護(hù)成本。=4\*GB1⒋可靠性:VPN構(gòu)建于公用網(wǎng)之上，不同于傳統(tǒng)的專線廣域網(wǎng)，其受控性大大降低，故VPN可靠而穩(wěn)定地運(yùn)行是VPN管理必需考慮的問題。=5\*GB1⒌VPN管理主要包括安全管理、設(shè)備管理、配置管理、ACL管理、QOS管理等內(nèi)容。實(shí)施過程=1\*CHINESENUM3一、網(wǎng)絡(luò)結(jié)構(gòu)企業(yè)通過Internet數(shù)據(jù)傳輸平臺(tái)，實(shí)施加密的VPN實(shí)現(xiàn)接入的方法有多種，針對杭州芝麻開門信息技術(shù)有限公司的網(wǎng)絡(luò)現(xiàn)狀，我們采用IPSecVPN和PPTPVPN相結(jié)合的方法?？偣疽砸粭l光纖聯(lián)機(jī)（ISP分配的固定IP地址），而分公司以用光纖或ADSL聯(lián)機(jī)均可（公網(wǎng)動(dòng)態(tài)IP），作為聯(lián)機(jī)的基礎(chǔ)?？偣具x擇Cisco2600機(jī)型，連接四條光纖（ADSL可選，ADSL可連接同一網(wǎng)絡(luò)營運(yùn)商來做備援服務(wù)，以避免單一營運(yùn)商掉線的風(fēng)險(xiǎn)及不同運(yùn)營商網(wǎng)絡(luò)之間的互連）；分公司也可采用Cisco2600，各地分支機(jī)構(gòu)可以選擇不同網(wǎng)絡(luò)營運(yùn)商的線路。VPN聯(lián)機(jī)采用IPSec協(xié)定，以保障聯(lián)機(jī)的安全。網(wǎng)管人員只要將設(shè)備寄到分支機(jī)構(gòu)，并提供總公司VPN通道IP、用戶名及密碼，即可由具一般計(jì)算機(jī)操作能力用戶完成設(shè)定。在外出差或想要連回總部或分公司的用戶也可使用PPTP或IPSec方式連回企業(yè)網(wǎng)絡(luò)，相對來說PPTP要比IPSec易配制，對移動(dòng)辦公用戶比較適合?？偛?00信息點(diǎn)接入，選用Cisco2600，內(nèi)置300條ipsec,100條pptp。杭州分支：40-50信息點(diǎn)接入，選用Cisco2600，內(nèi)置50條ipsec。麗水分支：20信息點(diǎn)接入，選用Cisco2600，內(nèi)置50條ipsec。=2\*CHINESENUM3二、VPN相關(guān)組件的安裝首先要正確觀念，VPN服務(wù)器并不是獨(dú)立成體的，此組件只是在遠(yuǎn)程用戶訪問過程中起到了中轉(zhuǎn)角色，如果對方的用戶名和密碼正確及為其開出一個(gè)直線通道。其實(shí)建立一臺(tái)VPN服務(wù)器很簡單，只要短短幾步即可完成。=1\*GB4㈠服務(wù)器端VPN的建立

步驟一、依次打開開始-程序-管理工具，在路由和遠(yuǎn)程訪問窗口中單擊操作按鈕，并在彈出的菜單中選擇配置并啟用路由和遠(yuǎn)程訪問，載入創(chuàng)建一個(gè)新服務(wù)器的向?qū)?，選擇“自定義配置”（使用者可以根據(jù)自己的需求進(jìn)行選擇性配置，建議主機(jī)內(nèi)安有雙網(wǎng)卡的用戶可以選擇虛擬專用網(wǎng)絡(luò)VPN訪問NAT）。

步驟二、右擊右邊樹形目錄里的本地服務(wù)器名，選擇[屬性]并切換到IP選項(xiàng)卡，在這里按提示諑步填入相關(guān)IP地址及內(nèi)容，這樣一個(gè)簡單的VPN服務(wù)端建立完成了。=2\*GB4㈡客戶VPN的建立網(wǎng)絡(luò)客戶連接服務(wù)器也非常簡單，打開[我的電腦]選中控制面板中的[網(wǎng)絡(luò)連接]，在其內(nèi)選擇[網(wǎng)絡(luò)和internet連接][新建網(wǎng)絡(luò)連接]，創(chuàng)建一個(gè)新的連接到一個(gè)商業(yè)網(wǎng)絡(luò)（VPN）這樣就可以連接到服務(wù)端了，在彈出的下一步對話框中輸入網(wǎng)絡(luò)用戶名（這里隨意命名）接下來輸入用戶名和密碼（為了使用方便點(diǎn)擊保存密碼并發(fā)送到桌面快捷方式），客戶端由此產(chǎn)生了。=3\*CHINESENUM3三、IPSecVPN的配置=1\*GB4㈠IPSec的實(shí)現(xiàn)IPSec實(shí)現(xiàn)的VPN有四個(gè)配置部分：=1\*GB1⒈為IPSec做準(zhǔn)備為IPSec做準(zhǔn)備涉及到詳細(xì)的加密策略，包括確定我們要保護(hù)的主機(jī)和網(wǎng)絡(luò)，選擇一種認(rèn)證，確定有關(guān)IPSec對等體的詳細(xì)信息，確定我們所需要的IPSec的特性，并且確認(rèn)現(xiàn)有的訪問控制列表允許IPSec數(shù)據(jù)流的通過。步驟一：根據(jù)對等體的數(shù)量與位置在IPSec對等體之間確定一個(gè)IKE策略。步驟二：確定IPSec策略，包括IPSec對等體的詳細(xì)信息，就如IP地址以及IPSec變換集和模式。步驟三：用show命令來檢查當(dāng)前的配置。步驟四：確認(rèn)在誒有加密前網(wǎng)絡(luò)能夠正常使用，用“ping”命令并在加密前運(yùn)行測試數(shù)據(jù)流來排除基本的路由故障。步驟五：確認(rèn)在邊界路由器和防火墻中已經(jīng)有的訪問控制列表允許IPSec數(shù)據(jù)流通過，或者想要的數(shù)據(jù)流將可以被過濾出來。=2\*GB1⒉配置IKE配置IKE涉及到啟用IKE（IKE和isakmp是同義詞），創(chuàng)建IKE策略，驗(yàn)證我們的配置。=1\*GB2⑴用”isakmpenable”命令來啟用或者關(guān)閉IKE；=2\*GB2⑵用“isakmppolicy”命令創(chuàng)建IKE策略；=3\*GB2⑶用“isakmpkey”命令和相關(guān)命令來配置預(yù)共享密鑰；=4\*GB2⑷用“showisakmp[policy]”命令來驗(yàn)證IKE的配置。=3\*GB1⒊配置IPSecIPSec配置包括創(chuàng)建加密用訪問控制列表、定義變換集、創(chuàng)建加密圖條目、并將加密集應(yīng)用到接口上去。=1\*GB2⑴用access－list命令來配置加密用訪問控制列表；=2\*GB2⑵用cryptoipsectransform。Set命令配置變換集；=3\*GB2⑶（任選）用cryptoipsecsecurity－associationlifetime命令來配置全局性的IPSec安全關(guān)聯(lián)的生存期；=4\*GB2⑷用cryptomap命令來配置加密圖；=5\*GB2⑸用interface命令和cryptomapmap.Nameinterface應(yīng)用到接口上；=6\*GB2⑹用各種可用的show命令來驗(yàn)證IPSec的配置。=4\*GB1⒋測試和驗(yàn)證IPSec使用“show”、“debug”和相關(guān)的命令來測試和驗(yàn)證IPSec加密工作是否正常，并且用來排除故障。=2\*GB4㈡路由器端的配置本部分的配置主要是針對路由器IPSec的配置，對于路由器中開頭部分已簡略。路由器之間的地址分配如表3-1所示。表3-1地址分配圖總部分支機(jī)構(gòu)（杭州）分支機(jī)構(gòu)（麗水）內(nèi)部網(wǎng)段網(wǎng)號(hào)互聯(lián)網(wǎng)段網(wǎng)號(hào)路由器內(nèi)部端口IP地址000000路由器Internet端口IP地址路由器串口IP地址隧道端口地址總部端路由器和兩分支端路由器配置分別如下：=1\*GB1⒈總部與杭州分支間的配置，其簡圖如圖3-3所示。圖3-3總部與杭州分支的網(wǎng)絡(luò)簡圖=1\*GB2⑴總部路由器配置當(dāng)前路由器提示，視圖依次輸入的配置命令，//后為簡單說明。cryptoisakmppolicy1//配置IKE策略1authenticationpre-share//IKE1的驗(yàn)證方法設(shè)為pre-sharegroup2;1024-bitDiffie-Hellman//加密算法未設(shè)置則取默認(rèn)值：DEScryptoisakmpkeytest123address//設(shè)置pre-share的密鑰為test123，此值兩端需一致cryptoipsectransform-setVPNtagah-md5-hmacasp-des//設(shè)置AH散列算法為md5，！ESP加密算法為DEScryptomapVPNdemo10ipsec-isakmp//定義cryptomapsetpeer//設(shè)置隧道對端IP地址settransform-setVPNtag//設(shè)置隧道AH及ESPmatchaddress101!interfaceTunnel0//定義隧道接口ipaddress//隧道端口IP地址noipdirected-broadcasttunnelsource//隧道源端IP地址tunneldestination//隧道目的端IP地址cryptomapVPNdemo//應(yīng)用VPNdemo于此端口interfaceSerial0/0ipaddress52//串口InternetIP地址noipdirected-broadcastcryptomapVPNdemo//應(yīng)用VPNdemo于此串口!InterfaceEthernet0/1Ipaddress//外部端口IP地址noipdirected-broadcastInterfaceEthernet0/0Ipaddress00//內(nèi)部端口IP地址noipdirected-broadcast!IpclasslessIproute//默認(rèn)路由Iproute00//到內(nèi)網(wǎng)靜態(tài)路由（經(jīng)過隧道）Access.list101permitgrehosthost//定義存取列表=2\*GB2⑵杭州分支的路由器配置cryptoisakmppolicy1//配置IKE策略1authenticationpre-share//IKE1的驗(yàn)證方法設(shè)為pre-sharegroup2;1024-bitDiffie-Hellman//加密算法未設(shè)置則取默認(rèn)值：DEScryptoisakmpkeytest123address//設(shè)置pre-share的密鑰為test123，此值兩端需一致cryptoipsectransform-setVPNtagah-md5-hmacasp-des//設(shè)置AH散列算法為md5，！ESP加密算法為DEScryptomapVPNdemo10ipsec-isakmp//定義cryptomapsetpeer//設(shè)置隧道對端IP地址settransform-setVPNtag//設(shè)置隧道AH及ESPmatchaddress101!interfaceTunnel0//定義隧道接口ipaddress//隧道端口IP地址noipdirected-broadcasttunnelsource//隧道源端IP地址tunneldestination//隧道目的端IP地址cryptomapVPNdemo//應(yīng)用VPNdemo于此端口interfaceSerial0/0ipaddress52//串口InternetIP地址noipdirected-broadcastcryptomapVPNdemo//應(yīng)用VPNdemo于此串口!InterfaceEthernet0/1Ipaddress//外部端口IP地址noipdirected-broadcastInterfaceEthernet0/0Ipaddress00//內(nèi)部端口IP地址noipdirected-broadcast!IpclasslessIproute//默認(rèn)路由Iproute00//到內(nèi)網(wǎng)靜態(tài)路由（經(jīng)過隧道）Access.list101permitgrehosthost//定義存取列表=2\*GB1⒉總部與麗水分支之間的配置，其簡圖如圖3-4所示。圖3-4總部與麗水分支的網(wǎng)絡(luò)簡圖=1\*GB2⑴總部路由器配置cryptoisakmppolicy1//配置IKE策略1authenticationpre-share//IKE1的驗(yàn)證方法設(shè)為pre-sharegroup2;1024-bitDiffie-Hellman//加密算法未設(shè)置則取默認(rèn)值：DEScryptoisakmpkeytest123address//設(shè)置pre-share的密鑰為test123，此值兩端需一致cryptoipsectransform-setVPNtagah-md5-hmacasp-des//設(shè)置AH散列算法為md5，！ESP加密算法為DEScryptomapVPNdemo10ipsec-isakmp//定義cryptomapsetpeer//設(shè)置隧道對端IP地址settransform-setVPNtag//設(shè)置隧道AH及ESPmatchaddress101!interfaceTunnel0//定義隧道接口ipaddress//隧道端口IP地址noipdirected-broadcasttunnelsource//隧道源端IP地址tunneldestination//隧道目的端IP地址cryptomapVPNdemo//應(yīng)用VPNdemo于此端口interfaceSerial0/0ipaddress52//串口InternetIP地址noipdirected-broadcastcryptomapVPNdemo//應(yīng)用VPNdemo于此串口!InterfaceEthernet0/1Ipaddress//外部端口IP地址noipdirected-broadcastInterfaceEthernet0/0Ipaddress00//內(nèi)部端口IP地址noipdirected-broadcast!IpclasslessIproute//默認(rèn)路由Iproute00//到內(nèi)網(wǎng)靜態(tài)路由（經(jīng)過隧道）Access.list101permitgrehosthost//定義存取列表=2\*GB2⑵麗水分支的路由器配置cryptoisakmppolicy1//配置IKE策略1authenticationpre-share//IKE1的驗(yàn)證方法設(shè)為pre-sharegroup2;1024-bitDiffie-Hellman//加密算法未設(shè)置則取默認(rèn)值：DEScryptoisakmpkeytest123address//設(shè)置pre-share的密鑰為test123，此值兩端需一致cryptoipsectransform-setVPNtagah-md5-hmacasp-des//設(shè)置AH散列算法為md5，！ESP加密算法為DEScryptomapVPNdemo10ipsec-isakmp//定義cryptomapsetpeer//設(shè)置隧道對端IP地址settransform-setVPNtag//設(shè)置隧道AH及ESPmatchaddress101!interfaceTunnel0//定義隧道接口ipaddress//隧道端口IP地址noipdirected-broadcasttunnelsource//隧道源端IP地址tunneldestination//隧道目的端IP地址cryptomapVPNdemo//應(yīng)用VPNdemo于此端口interfaceSerial0/0ipaddress52//串口InternetIP地址noipdirected-broadcastcryptomapVPNdemo//應(yīng)用VPNdemo于此串口!InterfaceEthernet0/1Ipaddress//外部端口IP地址noipdirected-broadcastInterfaceEthernet0/0Ipaddress00//內(nèi)部端口IP地址noipdirected-broadcast!IpclasslessIproute//默認(rèn)路由Iproute00//到內(nèi)網(wǎng)靜態(tài)路由（經(jīng)過隧道）Access.list101permitgrehosthost//定義存取列表=3\*GB4㈢工作過程簡介遠(yuǎn)程撥號(hào)用戶首先與本地ISP(NSP)的遠(yuǎn)程訪問服務(wù)(NAS)建立PPP連接，再與中心LAN網(wǎng)關(guān)之間建立隧道從而建立數(shù)據(jù)鏈路連接，在此過程中，由ISP的遠(yuǎn)程訪問服務(wù)器對遠(yuǎn)程用戶的用戶名和密碼進(jìn)行認(rèn)證，身份確認(rèn)后分配給遠(yuǎn)程用戶一個(gè)IP地址，這個(gè)IP地址就是Internet全局IP地址，用它可以訪問Internet；中心網(wǎng)關(guān)也對遠(yuǎn)程撥號(hào)用戶的用戶名和口令進(jìn)行認(rèn)證(一般而言，用戶在ISP注冊的身份和在中心網(wǎng)關(guān)注冊的身份是一致的)，并分配給撥號(hào)用戶一個(gè)IP地址，這個(gè)IP地址即是訪問中心LAN的IP地址，也是訪問其內(nèi)部的IP地址，遠(yuǎn)程用戶在獲取該地址后，就可以訪問中心LAN服務(wù)器在建立隧道的過程中，PPP幀被封裝成PPTP幀，再將PPTP幀封裝成IP報(bào)文，在IP報(bào)文中，源IP地址是本地的ISP分配的Internet全局IP地址，目地IP地址是由中心LAN網(wǎng)關(guān)分配的IP地址報(bào)文經(jīng)Internet到達(dá)中心LAN網(wǎng)關(guān)后，中心LAN網(wǎng)關(guān)根據(jù)IP報(bào)文的目地地址將報(bào)文轉(zhuǎn)發(fā)給中心LAN內(nèi)的服務(wù)器，同時(shí)分離出PPTP幀，再從PPTP幀中分離出PPP幀，然后對遠(yuǎn)程用戶的PPP幀進(jìn)行處理。中心服務(wù)器對接收到的用戶信息進(jìn)行處理，同時(shí)給出答復(fù)信息，該信息被封裝成IP報(bào)文在這個(gè)IP報(bào)文中，源IP地址是服務(wù)器在中心LAN內(nèi)的IP地址，目的IP地址是中心LAN網(wǎng)關(guān)分配給遠(yuǎn)程用戶的IP地址中心LAN網(wǎng)關(guān)根據(jù)報(bào)文的目地地址獲知該報(bào)文傳輸必須通過隧道傳輸，并將該報(bào)文封裝成PPP幀格式，然后將PPP幀格式封裝成PPTP幀格式，再嵌入IP報(bào)頭形成IP報(bào)文，轉(zhuǎn)發(fā)給Internet，在這個(gè)報(bào)文中，源IP地址是由中心LAN網(wǎng)關(guān)分配的全局IP地址，目的IP地址是ISP分配給遠(yuǎn)程撥號(hào)用戶的Internet全局IP地址。方案的實(shí)施效果使用VPN結(jié)構(gòu)，可以實(shí)現(xiàn)兩個(gè)辦公室之間的聯(lián)機(jī)，可通過VPN建立的隧道，經(jīng)由先進(jìn)的加密技術(shù)安全地互相傳送，不會(huì)被惡意第三者截取分析；非標(biāo)準(zhǔn)TCP/IP的應(yīng)用，也可通過VPN專有隧道連通，就像在同一個(gè)局域網(wǎng)一樣；在外移動(dòng)的行動(dòng)用戶，只要可以連上網(wǎng)路，即可通過VPN設(shè)定連回公司，使用各種辦公室應(yīng)用；辦公室間的傳輸，例如視頻會(huì)議、語音通訊，通過VPN即不受到網(wǎng)路運(yùn)行商的管制，帶寬不會(huì)受到限制。VPN上的設(shè)施和服務(wù)完全掌握在企業(yè)手中。企業(yè)可以把撥號(hào)訪問權(quán)交給NSP去做，而自己負(fù)責(zé)用戶的查驗(yàn)、訪問權(quán)、網(wǎng)絡(luò)地址、安全性和網(wǎng)絡(luò)變化管理等重要工作。通過采用“隧道”技術(shù)，在公眾網(wǎng)中形成企業(yè)的安全、機(jī)密、順暢的專用鏈路。企業(yè)不必租用長途專線建設(shè)專網(wǎng)，不必大量的網(wǎng)絡(luò)維護(hù)人員和設(shè)備投資，節(jié)省成本。結(jié)論與啟示VPN的優(yōu)勢通過組網(wǎng)，我們體會(huì)到了VPN的優(yōu)勢主要在以下四個(gè)方面：一、降低成本：同傳統(tǒng)的專用網(wǎng)絡(luò)相比，虛擬專用網(wǎng)的一個(gè)顯著優(yōu)勢就是成本低企業(yè)不必租用長途專線建設(shè)專網(wǎng)，不必大量的網(wǎng)絡(luò)維護(hù)人員和設(shè)備投資。利用現(xiàn)有的公用網(wǎng)組建的Internet，要比租用專線或鋪設(shè)專線要節(jié)省開支，而且當(dāng)距離越遠(yuǎn)時(shí)節(jié)省的越多。二、容易擴(kuò)展：網(wǎng)絡(luò)路由設(shè)備配置簡單，無需增加太多的設(shè)備，省時(shí)省錢。對于發(fā)展很快的企業(yè)來說，VPN就更加是