虚拟专网（VPN）课件

虚拟专网（VPN）第9章虚拟专网（VPN）第9章本章目标能够配置VPN，使企业办事处能够通过VPN远程接入企业网络中心了解VPN的基本概念熟悉VPN的工作原理了解VPN的加密算法熟悉IPsecVPN技术能够在Cisco路由器上配置IPsecVPNChapter2/44本章目标能够配置VPN，使企业办事处能够通过VPN远程接入企隧道和加密技术本章结构虚拟专网VPNIPsec的安全协议IPsec基本概念VPN概述IPsec技术IPsec的传送方式IPsec的密钥交换IPsecVPN的配置VPN的结构和分类VPN的定义VPN的工作原理IPsec的运行Chapter3/44隧道和加密技术本章结构虚拟专网VPNIPsec的安全协议IP什么是VPNVPN（VirtualPrivateNetwork）在公用网络中,按照相同的策略和安全规则,建立的私有网络连接Internet北京总部广州分公司虚拟专用网络Chapter4/44什么是VPNVPN（VirtualPrivateNetwVPN的优点Internet专线中心站点分支机构Internet专线中心站点分支机构专线方式VPN方式费用高灵活性差广域网的管理复杂的拓扑结构费用低灵活性好简单的网络管理隧道的拓扑结构Chapter5/44VPN的优点Internet专线中心站点分支机构InternVPN的结构和分类总部分支机构远程办公室家庭办公PSTN安装了VPN客户端软件的移动用户Internet远程访问的VPN站点到站点的VPNChapter6/44VPN的结构和分类总部分支机构远程办公室家庭办公PSTN安装远程访问的VPN总部家庭办公PSTN安装了VPN客户端软件的移动用户Internet移动用户或远程小办公室通过Internet访问网络中心连接单一的网络设备客户通常需要安装VPN客户端软件Chapter7/44远程访问的VPN总部家庭办公PSTN安装了VPN客户Inte站点到站点的VPN公司总部和其分支机构、办公室之间建立的VPN替代了传统的专线或分组交换WAN连接它们形成了一个企业的内部互联网络总部分支机构远程办公室InternetChapter8/44站点到站点的VPN公司总部和其分支机构、办公室之间建立的VPVPN的工作原理VPN=加密＋隧道明文明文访问控制报文加密报文认证IP封装IP解封报文认证报文解密访问控制IP隧道公共IP网络Chapter9/44VPN的工作原理VPN=加密＋隧道明文明文访问控制报文加密报VPN的关键技术安全隧道技术信息加密技术用户认证技术访问控制技术Chapter10/44VPN的关键技术安全隧道技术Chapter10/44安全隧道技术为了在公网上传输私有数据而发展出来的“信息封装”（Encapsulation）方式在Internet上传输的加密数据包中，只有VPN端口或网关的IP地址暴露在外面Internet安全隧道Chapter11/44安全隧道技术为了在公网上传输私有数据而发展出来的“信息封装”隧道协议二层隧道VPNL2TP:Layer2TunnelProtocolPPTP:PointToPointTunnelProtocolL2F:Layer2Forwarding三层隧道VPNGRE:GeneralRoutingEncapsulationIPSEC:IPSecurityProtocolChapter12/44隧道协议二层隧道VPNChapter12/44第二层隧道协议建立在点对点协议PPP的基础上先把各种网络协议（IP、IPX等）封装到PPP帧中，再把整个数据帧装入隧道协议适用于通过公共电话交换网或者ISDN线路连接VPNInternet内部网络移动用户访问集中器网络服务器PPP链接隧道Chapter13/44第二层隧道协议建立在点对点协议PPP的基础上Internet第三层隧道协议把各种网络协议直接装入隧道协议在可扩充性、安全性、可靠性方面优于第二层隧道协议Internet隧道IP连接Chapter14/44第三层隧道协议把各种网络协议直接装入隧道协议Internet信息加密技术机密性对用户数据提供安全保护数据完整性确保消息在传送过程中没有被修改身份验证确保宣称已经发送了消息的实体是真正发送消息的实体

明文加密密文解密明文Chapter15/44信息加密技术机密性明文加密密文解密明文Chapter15/4加密算法对称加密DES算法AES算法IDEA算法、Blowfish算法、Skipjack算法非对称加密RSA算法PGPChapter16/44加密算法对称加密Chapter16/44对称密钥明文密文明文加密共享密钥解密共享密钥发送方接收方发送方和接收方使用同一密钥通常加密比较快（可以达到线速）基于简单的数学操作（可借助硬件）需要数据的保密性时，用于大批量加密密钥的管理是最大的问题双方使用相同的密钥Chapter17/44对称密钥明文密文明文加密共享密钥解密共享密钥发送方接收方发送非对称密钥每一方有两个密钥公钥，可以公开私钥，必须安全保存已知公钥，不可能推算出私钥一个密钥用于加密，一个用于解密比对称加密算法慢很多倍Chapter18/44非对称密钥每一方有两个密钥Chapter18/44公钥加密和私钥签名用于数据保密；利用公钥加密数据，私钥解密数据用于数字签名；发送者使用私钥加密数据，接收者用公钥解密数据Chapter19/44公钥加密和私钥签名用于数据保密；用于数字签名；Chapter阶段总结VPN的基本概念VPN的结构和类型VPN的原理安全隧道技术信息加密技术Chapter20/44阶段总结VPN的基本概念Chapter20/44什么是IPsecIPSec（IPSecurity）是IETF为保证在Internet上传送数据的安全保密性，而制定的框架协议应用在网络层，保护和认证用IP数据包是开放的框架式协议，各算法之间相互独立提供了信息的机密性、数据的完整性、用户的验证和防重放保护支持隧道模式和传输模式Chapter21/44什么是IPsecIPSec（IPSecurity）是IE隧道模式和传输模式隧道模式IPsec对整个IP数据包进行封装和加密，隐蔽了源和目的IP地址从外部看不到数据包的路由过程传输模式IPsec只对IP有效数据载荷进行封装和加密，IP源和目的IP地址不加密传送安全程度相对较低Chapter22/44隧道模式和传输模式隧道模式Chapter22/44IPsec的组成IPSec提供两个安全协议AH(AuthenticationHeader)认证头协议ESP(EncapsulationSecurityPayload)封装安全载荷协议密钥管理协议IKE（InternetKeyExchange）因特网密钥交换协议IPsec不是单独的一个协议，而是一整套体系结构Chapter23/44IPsec的组成IPSec提供两个安全协议IPsec不是单AH协议隧道中报文的数据源鉴别数据的完整性保护对每组IP包进行认证，防止黑客利用IP进行攻击AH认证头协议Chapter24/44AH协议AH认证头协议Chapter24/44AH的隧道模式封装AH验证包头新IP包头数据IP包头数据原IP包头有效负载验证使用散列算法计算验证值，包含在AH验证包头中为新的IP包插入新的包头原始IP包保持不变，为整个原始IP包提供验证Chapter25/44AH的隧道模式封装AH验证包头新IP包头数据IP包头数据ESP封装安全载荷协议保证数据的保密性提供报文的认证性、完整性保护Chapter26/44ESP封装安全载荷协议保证数据的保密性Chapter26/4ESP的隧道模式封装ESP头部新IP包头ESP尾部ESP验证数据原IP包头数据原IP包头验证有效负载比AH增加加密功能，如果启用，则对原始IP包进行加密后再传输Chapter27/44ESP的隧道模式封装ESP头部新IP包头ESP尾部ESP验AH和ESP相比较ESP基本提供所有的安全服务如果仅使用ESP，消耗相对较少为什么使用AHAH的认证强度比ESP强AH没有出口限制Chapter28/44AH和ESP相比较ESP基本提供所有的安全服务Chapter安全联盟SA使用安全联盟（SA）是为了解决以下问题如何保护通信数据保护什么通信数据由谁实行保护建立SA是其他IPsec服务的前提SA定义了通信双方保护一定数据流量的策略Chapter29/44安全联盟SA使用安全联盟（SA）是为了解决以下问题ChaptSA的内容一个SA通常包含以下的安全参数认证/加密算法，密钥长度及其他的参数认证和加密所需要的密钥哪些数据要使用到该SAIPsec的封装协议和模式

如何保护保护什么由谁实行Chapter30/44SA的内容一个SA通常包含以下的安全参数如何保护保护什么由IKE因特网密钥交换协议在IPsec网络中用于密钥管理为IPSec提供了自动协商交换密钥、建立安全联盟的服务通过数据交换来计算密钥Chapter31/44IKE因特网密钥交换协议在IPsec网络中用于密钥管理ChaIPsecVPN的配置步骤1—配置IKE的协商步骤2—配置IPSEC的协商步骤3—配置端口的应用步骤4—调试并排错Chapter32/44IPsecVPN的配置步骤1—配置IKE的协商Chapt配置IKE协商3-1启动IKERouter(config)#cryptoisakmpenable建立IKE协商策略Router(config)#cryptoisakmppolicypriority取值范围1~10000数值越小，优先级越高Chapter33/44配置IKE协商3-1启动IKE取值范围1~10000Chap配置IKE协商3-2配置IKE协商策略Router(config-isakmp)#authenticationpre-shareRouter(config-isakmp)#encryption｛des|3des｝Router(config-isakmp)#hash｛md5|sha1｝Router(config-isakmp)#lifetimeseconds使用预定义密钥加密算法SA的活动时间认证算法Chapter34/44配置IKE协商3-2配置IKE协商策略使用预定义密钥加密算法配置IKE协商3-3设置共享密钥和对端地址Router(config)#cryptoisakmpkeykeystring

addresspeer-address密钥对端IPChapter35/44配置IKE协商3-3设置共享密钥和对端地址密钥对端IPCha配置IPsec协商2-1设置传输模式集Router(config)#cryptoipsectransform-settransform-set-nametransform1[transform2[transform3]]定义了使用AH还是ESP协议，以及相应协议所用的算法Chapter36/44配置IPsec协商2-1设置传输模式集定义了使用AH还是ES配置IPsec协商2-2配置保护访问控制列表Router(config)#access-listaccess-list-number{deny|permit}protocolsourcesource-wildcarddestinationdestination-wildcard用来定义哪些报文需要经过IPSec加密后发送，哪些报文直接发送Chapter37/44配置IPsec协商2-2配置保护访问控制列表用来定义哪些报文配置端口的应用2-1创建CryptoMapsRouter(config)#cryptomapmap-nameseq-numipsec-isakmp配置CryptoMapsRouter(config-crypto-map)#matchaddressaccess-list-number

Router(config-crypto-map)#setpeerip_addressRouter(config-crypto-map)#settransform-setnameACL编号对端IP地址传输模式的名称Map优先级，取值范围1~65535，值越小，优先级越高Chapter38/44配置端口的应用2-1创建CryptoMapsACL编号对端配置端口的应用2-2应用CryptoMaps到端口Router(config)#interfaceinterface_nameinterface_numRouter(config-if)#cryptomapmap-nameChapter39/44配置端口的应用2-2应用CryptoMaps到端口Chap检查IPsec配置查看IKE策略Router#showcryptoisakmppolicy查看IPsce策略Router#showcryptoipsectransform-set查看SA信息Router#showcryptoipsecsa查看加密映射Router#showcryptomapChapter40/44检查IPsec配置查看IKE策略Chapter40/44RouterA(config)#iproute0.0.0.00.0.0.020.20.20.20RouterA(config)#cryptoisakmppolicy1RouterA(config-isakmap)#hashmd5RouterA(config-isakmap)#authenticationpre−shareRouterA(config)#cryptoisakmpkeybenet-passwordaddress20.20.20.20RouterA(config)#cryptoipsectransform−setbenetsetah−md5−hmacesp−desRouterA(config)#access−list101permitip50.50.50.00.0.0.25560.60.60.00.0.0.255RouterA(config)#cryptomapbenetmap1ipsec−isakmpRouterA(config-crypto-map)#setpeer20.20.20.20RouterA(config-crypto-map)#settransform−setbenetsetRouterA(config-crypto-map)#matchaddress101RouterA(config)#interfaceserial0/0RouterA(config-if)#cryptomapbenetmapVPN配置实例Chapter41/44RouterA(config)#iproute0.0.本章总结隧道和加密技术虚拟专网VPNIPsec的安全协议IPsec基本概念VPN概述IPsec技术IPsec的安全联盟IPsec的密钥交换IPsecVPN的配置VPN的结构和分类VPN的定义VPN的工作原理远程接入VPN站点到站点VPN安全隧道技术信息加密技术用户认证技术访问控制技术二层隧道VPN和三层隧道VPN对称加密和非对称加密AHESPIKEChapter42/44本章总结隧道和加密技术虚拟专网VPNIPsec的安全协议IP实验任务配置IPSecVPN协议，连接BENET广州办事处和公司总部需求使用IPSecVPN协议使用AH认证方式连接完成标准VPN连接能够正常建立办事处PC和总部PC间可以相互ping通网络拓朴Chapter43/44实验任务网络拓朴Chapter43/44虚拟专网（VPN）第9章虚拟专网（VPN）第9章本章目标能够配置VPN，使企业办事处能够通过VPN远程接入企业网络中心了解VPN的基本概念熟悉VPN的工作原理了解VPN的加密算法熟悉IPsecVPN技术能够在Cisco路由器上配置IPsecVPNChapter45/44本章目标能够配置VPN，使企业办事处能够通过VPN远程接入企隧道和加密技术本章结构虚拟专网VPNIPsec的安全协议IPsec基本概念VPN概述IPsec技术IPsec的传送方式IPsec的密钥交换IPsecVPN的配置VPN的结构和分类VPN的定义VPN的工作原理IPsec的运行Chapter46/44隧道和加密技术本章结构虚拟专网VPNIPsec的安全协议IP什么是VPNVPN（VirtualPrivateNetwork）在公用网络中,按照相同的策略和安全规则,建立的私有网络连接Internet北京总部广州分公司虚拟专用网络Chapter47/44什么是VPNVPN（VirtualPrivateNetwVPN的优点Internet专线中心站点分支机构Internet专线中心站点分支机构专线方式VPN方式费用高灵活性差广域网的管理复杂的拓扑结构费用低灵活性好简单的网络管理隧道的拓扑结构Chapter48/44VPN的优点Internet专线中心站点分支机构InternVPN的结构和分类总部分支机构远程办公室家庭办公PSTN安装了VPN客户端软件的移动用户Internet远程访问的VPN站点到站点的VPNChapter49/44VPN的结构和分类总部分支机构远程办公室家庭办公PSTN安装远程访问的VPN总部家庭办公PSTN安装了VPN客户端软件的移动用户Internet移动用户或远程小办公室通过Internet访问网络中心连接单一的网络设备客户通常需要安装VPN客户端软件Chapter50/44远程访问的VPN总部家庭办公PSTN安装了VPN客户Inte站点到站点的VPN公司总部和其分支机构、办公室之间建立的VPN替代了传统的专线或分组交换WAN连接它们形成了一个企业的内部互联网络总部分支机构远程办公室InternetChapter51/44站点到站点的VPN公司总部和其分支机构、办公室之间建立的VPVPN的工作原理VPN=加密＋隧道明文明文访问控制报文加密报文认证IP封装IP解封报文认证报文解密访问控制IP隧道公共IP网络Chapter52/44VPN的工作原理VPN=加密＋隧道明文明文访问控制报文加密报VPN的关键技术安全隧道技术信息加密技术用户认证技术访问控制技术Chapter53/44VPN的关键技术安全隧道技术Chapter10/44安全隧道技术为了在公网上传输私有数据而发展出来的“信息封装”（Encapsulation）方式在Internet上传输的加密数据包中，只有VPN端口或网关的IP地址暴露在外面Internet安全隧道Chapter54/44安全隧道技术为了在公网上传输私有数据而发展出来的“信息封装”隧道协议二层隧道VPNL2TP:Layer2TunnelProtocolPPTP:PointToPointTunnelProtocolL2F:Layer2Forwarding三层隧道VPNGRE:GeneralRoutingEncapsulationIPSEC:IPSecurityProtocolChapter55/44隧道协议二层隧道VPNChapter12/44第二层隧道协议建立在点对点协议PPP的基础上先把各种网络协议（IP、IPX等）封装到PPP帧中，再把整个数据帧装入隧道协议适用于通过公共电话交换网或者ISDN线路连接VPNInternet内部网络移动用户访问集中器网络服务器PPP链接隧道Chapter56/44第二层隧道协议建立在点对点协议PPP的基础上Internet第三层隧道协议把各种网络协议直接装入隧道协议在可扩充性、安全性、可靠性方面优于第二层隧道协议Internet隧道IP连接Chapter57/44第三层隧道协议把各种网络协议直接装入隧道协议Internet信息加密技术机密性对用户数据提供安全保护数据完整性确保消息在传送过程中没有被修改身份验证确保宣称已经发送了消息的实体是真正发送消息的实体

明文加密密文解密明文Chapter58/44信息加密技术机密性明文加密密文解密明文Chapter15/4加密算法对称加密DES算法AES算法IDEA算法、Blowfish算法、Skipjack算法非对称加密RSA算法PGPChapter59/44加密算法对称加密Chapter16/44对称密钥明文密文明文加密共享密钥解密共享密钥发送方接收方发送方和接收方使用同一密钥通常加密比较快（可以达到线速）基于简单的数学操作（可借助硬件）需要数据的保密性时，用于大批量加密密钥的管理是最大的问题双方使用相同的密钥Chapter60/44对称密钥明文密文明文加密共享密钥解密共享密钥发送方接收方发送非对称密钥每一方有两个密钥公钥，可以公开私钥，必须安全保存已知公钥，不可能推算出私钥一个密钥用于加密，一个用于解密比对称加密算法慢很多倍Chapter61/44非对称密钥每一方有两个密钥Chapter18/44公钥加密和私钥签名用于数据保密；利用公钥加密数据，私钥解密数据用于数字签名；发送者使用私钥加密数据，接收者用公钥解密数据Chapter62/44公钥加密和私钥签名用于数据保密；用于数字签名；Chapter阶段总结VPN的基本概念VPN的结构和类型VPN的原理安全隧道技术信息加密技术Chapter63/44阶段总结VPN的基本概念Chapter20/44什么是IPsecIPSec（IPSecurity）是IETF为保证在Internet上传送数据的安全保密性，而制定的框架协议应用在网络层，保护和认证用IP数据包是开放的框架式协议，各算法之间相互独立提供了信息的机密性、数据的完整性、用户的验证和防重放保护支持隧道模式和传输模式Chapter64/44什么是IPsecIPSec（IPSecurity）是IE隧道模式和传输模式隧道模式IPsec对整个IP数据包进行封装和加密，隐蔽了源和目的IP地址从外部看不到数据包的路由过程传输模式IPsec只对IP有效数据载荷进行封装和加密，IP源和目的IP地址不加密传送安全程度相对较低Chapter65/44隧道模式和传输模式隧道模式Chapter22/44IPsec的组成IPSec提供两个安全协议AH(AuthenticationHeader)认证头协议ESP(EncapsulationSecurityPayload)封装安全载荷协议密钥管理协议IKE（InternetKeyExchange）因特网密钥交换协议IPsec不是单独的一个协议，而是一整套体系结构Chapter66/44IPsec的组成IPSec提供两个安全协议IPsec不是单AH协议隧道中报文的数据源鉴别数据的完整性保护对每组IP包进行认证，防止黑客利用IP进行攻击AH认证头协议Chapter67/44AH协议AH认证头协议Chapter24/44AH的隧道模式封装AH验证包头新IP包头数据IP包头数据原IP包头有效负载验证使用散列算法计算验证值，包含在AH验证包头中为新的IP包插入新的包头原始IP包保持不变，为整个原始IP包提供验证Chapter68/44AH的隧道模式封装AH验证包头新IP包头数据IP包头数据ESP封装安全载荷协议保证数据的保密性提供报文的认证性、完整性保护Chapter69/44ESP封装安全载荷协议保证数据的保密性Chapter26/4ESP的隧道模式封装ESP头部新IP包头ESP尾部ESP验证数据原IP包头数据原IP包头验证有效负载比AH增加加密功能，如果启用，则对原始IP包进行加密后再传输Chapter70/44ESP的隧道模式封装ESP头部新IP包头ESP尾部ESP验AH和ESP相比较ESP基本提供所有的安全服务如果仅使用ESP，消耗相对较少为什么使用AHAH的认证强度比ESP强AH没有出口限制Chapter71/44AH和ESP相比较ESP基本提供所有的安全服务Chapter安全联盟SA使用安全联盟（SA）是为了解决以下问题如何保护通信数据保护什么通信数据由谁实行保护建立SA是其他IPsec服务的前提SA定义了通信双方保护一定数据流量的策略Chapter72/44安全联盟SA使用安全联盟（SA）是为了解决以下问题ChaptSA的内容一个SA通常包含以下的安全参数认证/加密算法，密钥长度及其他的参数认证和加密所需要的密钥哪些数据要使用到该SAIPsec的封装协议和模式

如何保护保护什么由谁实行Chapter73/44SA的内容一个SA通常包含以下的安全参数如何保护保护什么由IKE因特网密钥交换协议在IPsec网络中用于密钥管理为IPSec提供了自动协商交换密钥、建立安全联盟的服务通过数据交换来计算密钥Chapter74/44IKE因特网密钥交换协议在IPsec网络中用于密钥管理ChaIPsecVPN的配置步骤1—配置IKE的协商步骤2—配置IPSEC的协商步骤3—配置端口的应用步骤4—调试并排错Chapter75/44IPsecVPN的配置步骤1—配置IKE的协商Chapt配置IKE协商3-1启动IKERouter(config)#cryptoisakmpenable建立IKE协商策略Router(config)#cryptoisakmppolicypriority取值范围1~10000数值越小，优先级越高Chapter76/44配置IKE协商3-1启动IKE取值范围1~10000Chap配置IKE协商3-2配置IKE协商策略Router(config-isakmp)#authenticationpre-shareRouter(config-isakmp)#encryption｛des|3des｝Router(config-isakmp)#hash｛md5|sha1｝Router(config-isakmp)#lifetimeseconds使用预定义密钥加密算法SA的活动时间认证算法Chapter77/44配置IKE协商3-2配置IKE协商策略使用预定义密钥加密算法配置IKE协商3-3设置共享密钥和对端地址Router(config)#cryptoisakmpkeykeystring

addresspeer-address密钥对端IPChapter78/44配置IKE协商3-3设置共享密钥和对端地址密钥对端IPCha配置IPsec协商2-1设置传输模式集Router(config)#cryptoipsectransform-settransform-set-nametransform1[transform2[transform3]]定义了使用AH还是ESP协议，以及相应协议所用的算法Chapter79/44配置IPsec协商2-1设置传输模式集定义了使用AH还是ES配置IPsec协商2-2配置保护访问控制列表Router(config)#access-listaccess-list-number{deny|permit}protocolsourcesource-wildcarddestinationdestination-wildcard用来定义哪些报文需要经过IPSec加密后发送，哪些报文直接发送Chapter80/44配置IPsec协商2-2配置保护访问控制列表用来定义哪些报文配置端口的应用2-1创建CryptoMapsRouter(config)#cryptomapmap-nameseq-numipsec-isakmp配置CryptoMapsRouter(config-crypto-map)#matchaddressaccess-list-number

Router(config-crypto-map)#setpeerip_addressRouter(config-crypto-map)#settransform-setnameACL编号对端IP地址传输模式的名称Map优先级，取值范围1~65535，值越小，优先级越高Chapter81/44配置端口的应用2-1创建CryptoMapsACL编号对端配置端口的应用2-2应用CryptoMaps到端口Router(config)#interfaceinterfa