虚拟专用网络技术48页PPT

43
主要信息分析技术
• 预测模式生成技术
– 试图基于已经发生的事件来预测未来事件，如果一个与预测统 计概率偏差较大的事件发生，则被标志为攻击。比如规则： E1—>E2—>(E3=80%，E4=15%，E5=5%)，即假定事件E1和E2 已经发生，E3随后发生的概率是80%，E4随后发生的概率是 15%，E5随后发生的概率是5%，若E1、E2发生了，接着E3发 生，则为正常的概率很大，若E5发生，则为异常的概率很大， 若E3、E4、E5都没有发生，而是发生了模式中没有描述到的 E5，则可以认为发生了攻击。预测模式生成技术的问题在于未 被这些规则描述的入侵脚本将不会被标志为入侵。此类系统较 容易发现在系统学习期间试图训练系统的用户。
没有发现匹配的规则，省缺动作。
18
规则举例（包过滤）
• 只允许Telet出站的服务
规则 方向 源地 目的地 协议 源端口 目的端 ACK设置 动作
号
址
址
口
1
出 内部 任意 TCP 〉1023
23
任意 通过
2
入 任意 内部 TCP 23
〉1023
是
通过
3 双向 任意 任意 任意 任意 任意
任意 拒绝
20
双宿主主机结构防火墙
21
屏蔽主机防火墙
• 主要的安全机制由屏蔽路由器来提供。 • 堡垒主机位于内部网络上，是外部能访
问的惟一的内部网络主机。
– 堡垒主机需要保持更高的安全等级。
• 问题：
– 如果路由器被破坏，整个网络对侵袭者是开 放的。如堡垒主机被侵，内部网络的主机失 去任何的安全保护。
22
• 状态分析
– 将攻击行为的过程以状态转移图的形式记录在模式数据库中，状态转移 的条件是网络或系统中的一些特征事件；

9
2.1.2 虚拟机基础知识 在学习虚拟机软件之前，需要了解一些相关的名词和概念。 (1) 主机和主机操作系统：安装VMware Workstation(或其
他虚拟机软件如Virtual PC，下同)软件的物理计算机称为“主 机”，它的操作系统称做“主机操作系统”。
(2) 虚拟机：使用虚拟机软件“虚拟”出来的一台计算机。 该计算机有自己的CPU、硬盘、光驱、软驱、内存、声卡、网 卡等一系列设备，只不过这些设备是用软件虚拟出来的，但在 操作系统和应用程序来看，这些设备是标准的计算机硬件设备， 也会把它们当成真正的硬件设备来配置和使用。在虚拟机中， 可以安装操作系统及软件。
2
提供虚拟机软件的公司有很多， 比较早和现在流行的有 VMware和Microsoft。VMware 的虚拟机软件包括VMware Workstation、VMware GSX Server、VMware Server及VMware ESX Server；Microsoft提供的虚拟机软件有Microsoft Virtual PC 和Microsoft Virtual Server等。
5
(2) 一些需要“联网”的实验，比如做局域网联网实验时， 至少需要三台计算机、一台交换机和若干网线。如果是个人做 实验，则不容易找三台计算机。如果学生上实验课，要求每个 学生都能亲手做一下“联网”实验并运行一些网络命令，以目 前我国大学的现有实验条件，很难实现。而使用虚拟机，可以 让学生在一台电脑上很“轻松”地完成网络实验。
15
2.2.2 VMware Server VMware Server的前身是VMware GSX Server，是VMware
推出的一款面向“工作组”的部门级虚拟机产品。VMware GSX Server的虚拟机可以在系统启动时“自己”启动，不需要 用户再进入VMware GSX Server运行。一台高配置的服务器， 通过VMware GSX Server及其支持的虚拟机，可以同时作为多 台服务器使用。可在安装VMware GSX Server的主机中进行虚 拟机的创建、配置和管理，也可以使用其提供的远程管理工具。

例：全写：switch# configure terminal 简写：Switch# config
❖ ③使用历史命令：可用向上键（↑）或向下键（↓） 选择曾经使用过的命令。
❖ （4）配置交换机Telnet功能：包括配置远程登陆密码、配置 进入特权模式密码和为交换机配置管理IP等操作。
❖ 配置远程登陆密码: ❖ Switch(config)#enable secret level 1 0 ruijie ❖ 配置进入特权模式密码: ❖ Switch (config)#enable secret level 15 0 ruijie ❖ 为交换机配置管理IP: ❖ Switch (config)#interface vlan 1 ❖ Switch (config-if)#no shutdown ❖ Switch (config-if)#ip address 192.168.1.1 255.255.255.0 ❖ Switch (config-if)#end
❖ 与用MAC地址定义VLAN或用端口定义 VLAN的方法相比，用网络层地址定义 VLAN的缺点是性能比较差。检查网络层 地址比检查MAC地址要花费更多的时间， 因此用网络层地址定义VLAN的速度会比 较慢。
主机IP地址的设置
❖ 自动获取 ❖ 手动设置
主机IP地址的设置
❖ 打开“网络连接”对话框：右击“网上邻居”—— “属性”
1、 基于端口
网络层
数据链路层 广播域
市场部 VLAN
销售部 VLAN
工程部 VLAN
物理层
LAN交换机 1 23 4 5
1 23 4 5
1 23 4 5
iMac
iMac
iMac
iMac
楼层1

访问控制，在线添加、移除物理及虚拟资源 高可用：故障自动转换，在不同物理主机、存储、
网络上在线迁移，容错 安全：隔离，访问审计，法规遵从，防病毒，入
侵防范，数据备份，远程容灾
14/10
服务器虚拟化软件
VMware：vSphere ESXi，vCenter，Server， Workstation
远程桌面、无盘站、还原卡、影子系统、瘦客户机
16/10
虚拟桌面拓扑图
17/10
桌面虚拟化软件
Microsoft：远程桌面(RDP)，Hyper-V VMware：View(ICA)，vSphere ESXi Citrix：XenDesktop(PCoIP)，XenServer
18/10
4、存储虚拟化
一块物理网卡虚拟出多块虚拟网卡(VFA网卡，每端口1-4 个 vNIC)
26/10
谢谢！
27/10
6/10
2、服务器虚拟化
硬件体系结构
（hypervisor）虚拟化层 硬件体系结构
7/10
服务器虚拟化－资源共享
虚拟化层
8/10
服务器虚拟化
将单台物理服务器虚拟出多台相互隔离虚拟服务 器
将多台物理服务器资源进行整合，提供资源动态 调配
对所有物理资源进虚拟资源进行统一、集中管理 提供统一的高可用、系统安全、数据备份解决方
2/10
什么是“虚拟化技术”
屏蔽同一类物理设备的专有特性 将处理后相同特性的物理设备进行资源整合 将整合的资源虚拟出多个类似的虚拟设备 对物理设备、虚拟设备进行统一管理
3/10
现有的虚拟化技术－磁盘阵列存储
多块相同特性的物理硬盘 通过RAID技术变成一块RAID盘 硬盘整合，提高容量、性能，提供数据保护 一个RAID盘划分成一个逻辑盘分配给一台主机 一个RAID盘划分成多个逻辑盘分配给多台主机使用 对存储空间、连接主机进行集中管理

大数据技术
大数据定义
大数据是指数据量巨大、复杂度高、处理速度快 的数据集合。
大数据处理流程
大数据处理流程包括数据采集、数据存储、数据 处理、数据分析和数据可视化等环节。
大数据应用场景
大数据应用场景包括商业智能、预测分析、社交 媒体分析、金融风控等。
物联网技术
物联网定义
物联网是指通过信息传感设备，按照约定的协议，对任何物品进行普遍感知和连接，并进行信息交换，实现智能化识 别、定位、跟踪、监控和管理的一个网络。
07
计算机网络发展趋势 与新技术
云计算技术
云计算定义
云计算是一种基于互联网的计算方式，通过这种方式，共享的软硬件资源和信息可以按需 提供给计算机和其他设备。
云计算服务模式
云计算的服务模式包括基础设施即服务（IaaS）、平台即服务（PaaS）和软件即服务（ SaaS）。
云计算优势
云计算具有弹性可扩展、高可用性、高可靠性、资源池化等优势。
无线局域网的适用场景
无线局域网适用于需要移动接入和灵活组网的场景，如企 业、学校和家庭等。
虚拟专用网络（VPN）
VPN概述
VPN的分类
VPN的安全性
VPN的应用场景
虚拟专用网络（VPN）是一种远 程访问技术，通过公共网络（如 Internet）建立加密通道，实现 远程用户对内部网络的访问。 VPN可以提供安全的远程接入、 数据传输和资源共享等服务。
网络设备配置与调试
配置IP地址
为网络设备分配唯一的IP地址，以便 在网络中进行通信。
配置网络掩码
确定网络设备的子网范围，以便在同 一网络内的设备能够相互通信。
配置默认网关
为网络设备指定默认的路由器，以便 将数据包转发到其他网络。

全、系统层安全、网络层安全、应用层安 (Key Management)、使用者与设备身份认证技术(Authentication)。
动态端口（从1024到65535） 计算机设备及场地的防雷、防火和防水。
全和安全管理5个层次 计算机机房用电安全技术的要求。
常见防火墙产品 ：Check Point的FireWall-1 ，Juniper的Netscreen ，Fortinet的FortiGate-3600A ，Cisco PIX防火墙 ，阿姆瑞特 Amaranten AS-F1800(Plus) ，天融信的NGFW4000。 根据网络的应用现状情况和网络的结构，我们将安全防范体系的层次划分为物理层安全、系统层安全、网络层安全、应用层安全和安 全管理5个层次 根据密钥类型的不同，可以将现代密码技术分为两类：对称加密算法(私钥密码体系)和非对称加密算法(公钥密码体系)。 与协议和软件有关的风险 系统保留端口（从0到1023） 拒绝服务攻击(DOS) 计算机设备及软件、数据的防盗防破坏措施。
目前VPN主要采用4项技术来保证安全，这4项技术分别 是隧道技术(Tunneling)、加/解密技术 (Encryption/Decryption)、密钥管理技术(Key Management)、使用者与设备身份认证技术 (Authentication)。
6.9 身份验证和存取控制
身份验证主要包括验证依据、验证系统和安全要 求。身份验证技术是在计算机中最早应用的安全 技术，目前仍在广泛地被应用，它是网络信息安 全的第一道门。
目前VPN主要采用4项技术来保证安全，这4项技术分别是隧道技术(Tunneling)、加/解密技术(Encryption/Decryption)、密钥管理技术
针对路由协议的攻击 (Key Management)、使用者与设备身份认证技术(Authentication)。

计 算 一、 交换机基础
第六章 交换与虚拟网
机 1. 交换机的主要功能
网 分割LAN的流量来提高性能
络 与
能够建立混合速率的LAN（如10M/100M） 扩展LAN的范围
应
交换机
100M用户
用
100M
用户群
集线器
10M用 户群
交换机和集线器的混合连接
1
计 2. 交换机的其他功能
第六章 交换与虚拟网
机
③ 已加入主干端口的VLAN ④ 删去不必要的端口
网 VLAN设备A
VLAN1 [2,3,8,4]
络
端口4
VLAN2 [1,5,6,4]
与
（属VLAN1/2/3） VLAN3 [1,4]
无变化
应
用
VLAN设备B 端口3 VLAN1 [1,2,6,3,12] VLAN1 [1,2,6,3] （属VLAN1/2/3）VLAN2 [5,7,3,12] VLAN2 [5,7,3]
VLAN4 (4,5,6)
端口7
终端Y
计 算
第六章 交换与虚拟网
VLAN的成员变化举例－交换机变A化变后化：
机
网 络 终端X
与
VLAN设备A
VLAN1 (2,3,4,8) VLVALNA1N2(2(,13,4,58,)6)
端口1
端口4
VLVALNA2N4(1(,14,45),6) VLAN3 (1,4)
26 交VVLL换AANN设34 ((备14,,25,,A76)) VLAN1,2不发生端变口化7
终端Y
计 算
第六章 交换与虚拟网
VLAN的成员变化举例－交换机B变化
机
VLAN设备A

5.4实训一
4 hdlc互联 配置
5.5实训二
5 ppp互联 配置
5.6实训三
6 帧中继协 议的配置 与实现
5广域网互联技术
5.7总结与习题
06
6虚拟专网vpn技术
6虚拟专 网vpn技 术
6.1mpls 6.2bgpmplsvpn 6.3实训bgpmplsvpn配置 6.4总结与习题 6.2BGPMPLSVPN 6.3实训BGPMPLSVPN配置 6.4总结与习题
3.6bgp协 议
01
3.1路由基 础
05
3.5is-is协 议
02
3.2动态路 由协议基础
04
3.4ospf协 议
03
3.3rip协议
3路由的实现
a
3.7虚拟 路由冗余 vrrp协议
d
3.10实训 三ripv2
配置
3路由的实现
b
3.8实训 一静态路
由配置
e
3.11实训 四ospf 单区域配 置
c
3.9实训 二默认路
由配置
f
3.12实训 五ospf 多区域配 置
3路由的实现
3.13实训六rip、ospf路由引入 3.14实训七bgp协议配置 3.15总结与习题 3.14实训七BGP协议配置 3.15总结与习题
04
4网络安全技术
4网络安全技 术
1 4.1acl技 术
2 4.2dhcp 技术
202x
hcna网络技术
演讲人
2 0 2 x - 11 - 11
目录
01. 1vrp基础及操作 03. 3路由的实现 05. 5广域网互联技术 07. 7项目综合分析
02. 2以太网交换技术 04. 4网络安全技术 06. 6虚拟专网vpn技术

外出差或在家里需要连接公司服务器；或者有第三方需 要接入公司服务器(如电子商务)；或者企业数据需要进 行异地灾备；还有的企业分支机构需要连接总公司等， 这时候最便宜最便捷的方式就是使用VPN技术。如图 10.1所示很多地方需要接入VPN。
10.1 虚拟专用网概述
10.1.1 VPN的需求
10.1 虚拟专用网概述
10.3 VPN的技术原理
10.3.1 VPN使用的安全协议 1.PPTP－Point to Point Tunnel Protocol(点对点隧 道协议) 通过Internet的数据通信，需要对数据流进行封装和加 密，PPTP就可以实现这两个功能，从而可以通过 Internet实现多功能通信。 2.L2TP－Layer2 Tunneling Protocol(第二层隧道协 议) PPTP和L2TP十分相似，因为L2TP有一部分就是采用 PPTP协议，两个协议都允许客户通过其间的网络建立 隧道，L2TP还支持信道认证。
10.3 VPN的技术原理
3.IP SEC—Internet Protocol Security(因特网协议 安全) 它用于确保网络层之间的安全通信。
4.SSL —Secure Socket Layer 它是Netscape公司所研发，用以保障在Internet上数 据传输之安全，利用数据加密技术，可确保数据在网络 上之传输过程中不会被截取及窃听。SSL协议位于 TCP/IP协议与各种应用层协议之间，为数据通讯提供 安全支持。
10.2 VPN的工作原理
VPN的工作流程如图10.4所示。通常情况下，VPN网 关采取双网卡结构，外网卡使用公网IP接入Internet。
10.2 VPN的工作原理
1.网络1(假定为公网internet)的终端A访问网络2(假 定为公司内网)的终端B，其发出的访问数据包的目标地 址为终端B的内部IP地址。

5． 方便灵活的 VPN 系统 (1) 接入服务、对移动IP的全面实现 • 一般 VPN 部署都需要改变网络结构，SINFOR IPSEC VPN 提供远程接入模块，可以充当远程接入服务器。当仅
• 在虚拟拨号服务中，上述负担直接转嫁到公司的远程用户身上。由于 远程用户和公司网关之间建立了端到端连接，所以，授权认证过程直 接在远程用户和公司网关之间进行，从而将ISP从维护巨大的用户授 权数据中解放出来。同时，由于上述方法使得公司能对远程用户的变 化做出更快的反应，因此，虚拟拨号服务增强了公司内部网络的安全 性。
第14章 虚拟专用网 黎连业
教材
《计算机网络工程基础教程》 第1 版
清华大学出版社 ( 2016.1 )
不同学校可以根据各自的教学 要求和计划学时数对本章的 教学内容进行取舍。
• 虚拟专用网（VPN，Virtual Private Network）指的是在公用网络上建立专 用网络的技术。虚拟专用网(VPN)被定义为通过公用网络服务商(ISP （Internet服务提供商）和其它NSP（网络服务提供商），在公用网络中建 立专用的数据通信网络的技术。网络服务商所提供的网络平台之上的逻辑网 络，用户数据在逻辑链路中建立一个临时的、安全的连接。虚拟专用网可以 帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信 的安全连接，并保证数据的安全传输。通过将数据流转移到低成本的网络上， 一个企业的虚拟专用网解决方案将大幅度地减少用户花费在城域网和远程网 络连接上的费用。同时，这将简化网络的设计和管理，加速连接新的用户和 网站。
6. 地址分配 • 对于传统Internet服务，用户从服务提供者地址簿中接收动态分配的IP
地址，这个模型通常用于远程用户很少或不访问其公司网络资源的情 况，因为防火墙和安全策略可阻止外部IP地址访问公司网络。 • 对于虚拟拨号服务，公司网关位于公司防火墙之后并分配了内部地址 （事实上是RFC1597地址或非IP地址）。由于L2F隧道在帧层独立地 操作，这种地址管理方式对校正虚拟拨号服务是不适当，经过PPP协 议处理，拨入用户已连接到公司网关上。 7. 计账 • NAS和公司网关提供的计账数据应包括数据包数、8位位组及连接的 始末时间。

2015/11/7
第3章 虚拟专用网络技术
19
3.4常用的VPN实现技术

用户可以根据自己的情况选择VPN实现技 术，如：远程访问虚拟网（Access VPN）、 企业内部虚拟网(Intranet VPN)和企业扩 展虚拟网（Extranet VPN）。这3种类型 的VPN分别与传统的远程访问网络、企业 内部的Intranet 以及企业网所构成的 Extranet相对应。
2015/11/7
第3章 虚拟专用网络技术
17
2）L2TP只能用于运行Windows 2000、 Windows XP和Windows Vista的客户端计算 机。L2TP支持将计算机证书或预共享密钥作 为IPSec的身份验证方法。计算机证书身份验 证是建议的身份验证方法，要求使用PKI向 VPN服务器和所有VPN客户端颁发计算机证书。 L2TP/IPSec VPN连接使用IPSec来提供数据保 密性、数据完整性和数据身份验证。 与PPTP和SSTP不同，L2TP/IPSec启用IPSec 层的计算机身份验证和PPP层的用户级身份验 证。
2015/11/7 第3章 虚拟专用网络技术 18
3）SSTP只能用于Windows Vista Service Pack 1(SP1)、Windows 7或Windows Server 2008 的客户端计算机。SSTP VPN连接使用SSL来 提供数据保密性、数据完整性和数据身份验 证。 4）3种隧道类型均在网络协议堆栈顶部传送 PPP帧。因此，三种隧道类型的PPP常用功能、 如身份验证方案、Internet协议第4版（IPV4） 协商和Internet协议第6版（IPv）协商以及网 络访问保护（NAP），保持相同。
2015/11/7