当前位置：文档之家 › VPN配置实例的边缘设备部分

VPN配置实例的边缘设备部分

  • 格式：doc
  • 大小：28.50 KB
  • 文档页数：2

讲解VPN配置实例的边缘设备部分,在网络时代的今天,大家经常会遇到VPN配置实例的安
装问题,下面将介绍关于VPN配置实例的知识,包括如何了解有重叠地址空间的VPNs等等.

虚拟专用网VirtualPrivateNetworks
与被称为主干网的公共网相连的是一个“站点”集合.我们基于某些原则创建该集合的
若干子集,并附加如下规则:只有当两个站点都同在某个子集里时,两者间才可能存在经由该
主干网的IP互连.

我们创建的这些子集就是“虚拟专用网”(VPNs).只有同属某个VPN时,两个站点间才
存在经公共主干网的IP连接.不属同一个VPN配置实例的两个站点间没有经主干网的连接.
如果一个VPN配置实例中的所有站点都属同一个企业,这个VPN配置实例就是一个公司“内
联网”.

如果分属不同企业,该VPN配置实例就是个“外联网”.一个站点可在多个VPN配置实
例中,如一个内联网和多个外联网中.内联网和外联网我们都视作VPN配置实例.一般而言,我
们说的VPN配置实例并不区分内联网或外联网.

我们主要考虑主干网为一个或多个服务提供商(SPs)所拥有的情况.站点为SP的用户所
有,决定某些站点是否属于一个VPN配置实例的策略由用户制定.有些用户可能希望完全由
SP负责这些策略的执行,有些用户可能希望自己独立承担或与SP分担这项任务.

在本文中,我们主要讨论这些策略的执行机制.这些机制既可以由SP单独执行,也可以由
VPN配置实例用户与SP共同完成.这里,我们主要讨论前者.本文中所讨论的机制可用于多种
策略的执行.如对给定的一个VPN配置实例,每个站点与其它所有站点都有直接连接(全连接),
或者也可以限制某些站点间的直接连接(半连接).

本文中我们感兴趣的是公共主干网提供IP服务的情况.我们关注于在一定契约条件下,
一个服务提供商SP或多个SP为企业提供主干网的情形,而并非是基于公共Internet的VPN.
下面,我们将详细说明VPN配置实例应有的特性.本文的其余部分我们描述了一个具备所有
这些特性的VPN配置实例模型.该模型可视作[4]中描述的框架结构的实例.

边缘设备
假定每个站点都有一个或多个用户边缘(CE)设备,并都通过某种数据连接方式(如
PPP,ATM,ethernet,FrameRelay,GREtunnel等)与一个或多个供应商边缘(PE)路由器相连.如果
某个站点只有一个主机,这个主机可能就是CE设备.如果该站点有一个子网,CE设备可能是
个交换机.一般而言,希望CE设备是路由器,我们称之为CE路由器.

如果一个PE路由器与某个VPN的一个CE设备相连,我们就说这个路由器与该VPN配
置实例相连.同样,如果一个PE路由器与某个站点的一个CE设备相连,则称这个路由器与该
站点相连.如果CE设备是一个路由器.

它是其直接相连的PE的路由对等体,而不是其它站点上的CE路由器的路由对等体.不同
站点上的路由器并不直接交换路由信息,它们甚至无需互相了解(除非因为安全的需要).因为
简化了每个站点的路由策略,可以支持大型的VPN配置实例(有大量站点的VPN).重要的一点
是要保持SP和其用户间明晰的界限(cf.[4]).PE和P路由器仅由SP,SP用户无权介入.CE设备
仅由用户(除非用户把服务委托给了SP).

有重叠地址空间的VPNs
任何两个不相交的VPN配置实例(如:无公共站点的VPN)可能有重叠的地址空间,而同
一地址也可能用在不同VPN的不同系统中.只要端系统的地址在其所属的VPN中是唯一的,
该端系统无须对VPN有所了解.

在这种模式下,VPN配置实例的拥有者无须一个主干网或一个虚拟主干网.SP也无须为
每个VPN一个单独的主干网或虚拟主干网.主干网中站点间的路由是最优化的(基于组建
VPN的限制策略),并不受限于任何人工的隧道虚拟拓扑.

转载自:http://www.sz-isp.com

合集下载

利用路由器实现VPN的基本配置方法

利用路由器实现VPN的基本配置方法

⼯作原理：⼀边服务器的络⼦为192.168.1.0/24路由器为100.10.15.1另⼀边的服务器为192.168.10.0/24路由器为200.20.25.1.执⾏下列步骤： 1. 确定⼀个预先共享的密钥（保密密码）（以下例⼦保密密码假设为noIP4u） 2. 为SA协商过程配置IKE. 3. 配置IPSec. 配置IKE： Shelby（config）#crypto isakmp policy 1 注释：policy 1表⽰策略1，假如想多配⼏个VPN，可以写成policy 2、policy3┅ Shelby（config-isakmp）#group 1 注释：除⾮购买⾼端路由器，或是VPN通信⽐较少，否则使⽤group 1长度的密钥，group命令有两个参数值：1和2.参数值1表⽰密钥使⽤768位密钥，参数值2表⽰密钥使⽤1024位密钥，显然后⼀种密钥安全性⾼，但消耗更多的CPU时间。

Shelby（config-isakmp）#authentication pre-share 注释：告诉路由器要使⽤预先共享的密码。

Shelby（config-isakmp）#lifetime 3600 注释：对⽣成新SA的周期进⾏调整。

这个值以秒为单位，默认值为86400，也就是⼀天。

值得注意的是两端的路由器都要设置相同的SA周期，否则VPN在正常初始化之后，将会在较短的⼀个SA周期到达中断。

Shelby（config）#crypto isakmp key noIP4u address 200.20.25.1 注释：返回到全局设置模式确定要使⽤的预先共享密钥和指归VPN另⼀端路由器IP地址，即⽬的路由器IP地址。

相应地在另⼀端路由器配置也和以上命令类似，只不过把IP地址改成100.10.15.1. 配置IPSec Shelby（config）#access-list 130 permit ip 192.168.1.0 0.0.0.255 172.16.10.0 0.0.0.255 注释：在这⾥使⽤的访问列表号不能与任何过滤访问列表相同，应该使⽤不同的访问列表号来标识VPN规则。

VPN接入

VPN接入

专线上网服务随着信息经济的飞速发展，通过互联网获取信息已经成为人们工作、生活中不可或缺的组成部分。

应运而生的各种广域网接入技术令大家目不暇接，其中包括DDN、FR、ISDN、ADSL、HFC、VPN等。

恒敦通信主要采取专线接入的方案，即DDN方式，下面是专线接入网络拓扑图：VPN服务VPN是英文Virtual Private Network 缩写，中文译为虚拟专网。

对于VPN 的定义有很多，但都是基于这样一种思想，那就是VPN 利用公共网络基础设施，通过一定的技术手段达到类似私有专网的数据安全传输。

从定义上看，VPN 首先是虚拟的，也就是说VPN 并不是某个公司专有的封闭线路或者是租用某个网络服务商提供的封闭线路。

但同时VPN 又具有专线的数据传输功能，因为VPN 能够像专线一样在公共网络上处理自己公司的信息。

通过建设虚拟专用网(VPN)，企业可以把公用Internet看成自己的专用WAN，用于连接远程办公室、开展电子商务、为客户提供支持并与供应商和其他商业伙伴沟通。

早期建设的VPN使用永久虚电路(PVC)和隧道技术，并且获得了很大的成功。

但是，随着连接范围的扩大，可扩展性和管理的问题越来越突出。

可喜的是，多协议标记交换(MPLS)技术的出现让我们可以建设能够支持多种业务级别并且能够无限扩展的全互连IP VPN。

(恒敦通信VPN采用此技术)传统VPN面临的困难今天部署的大部分VPN属于两种基本模式，其中比较贵的一种模式，使用电信运营商网络中的第二层，例如帧中继或ATM PVC，建设点对点的网络。

这种方法要求对闭合用户群的每一个地点分配一个唯一的标识，并且对哪些地点之间可以交换信息进行管理。

由于每个地点必须与新增加的地点连接，就很难快速地添加大量新的地点，因为这需要利用服务供应商WAN建立全互连的虚拟电路连接并进行管理。

另外一种VPN模式是在服务供应商网络边缘的路由器之间，建立点对点隧道的网络。

USG防火墙SSLVPN配置案例

USG防火墙SSLVPN配置案例

USG防火墙SSLVPN配置案例USG防火墙（Unified Security Gateway）是一种集合了防火墙、虚拟专用网络（VPN）和入侵防御系统（IDS）等功能的网络安全设备。

其中，SSL VPN（Secure Sockets Layer Virtual Private Network）是一种通过加密技术为用户提供安全远程访问私有网络的方法。

本文将为您提供一个USG防火墙配置SSL VPN的实用案例。

在此案例中，我们将假设您已经添加了USG防火墙设备并熟悉其基本配置。

以下是配置USG防火墙的步骤：1.打开USG防火墙的管理界面，确保您已经获得管理员权限。

2.在管理界面中，找到“VPN”选项，并选择“远程接入”子选项。

3.在“远程接入”页面中，找到“SSLVPN”选项，并点击“添加”按钮。

4.在“SSLVPN配置向导”中，为您的VPN连接取一个名称，并为其选择一个安全的密码。

5.选择适当的证书，这可以是您自己的证书或从可信的证书颁发机构（CA）处获取的证书。

6.选择VPN连接的用户身份验证方式。

可以选择本地数据库、RADIUS服务器、LDAP服务器或其他认证方式。

7.根据您的具体需求选择“用户角色”。

您可以为不同的用户或用户组定义不同的访问权限。

8.为SSLVPN配置提供一个本地IP地址池，以供连接时分配给客户端设备。

9.在“高级选项”中，根据您的需要进行配置设置。

您可以设置连接超时时间、允许或阻止特定协议和应用程序等。

10.完成向导后，单击“应用”按钮以保存并应用您的配置。

11.通过USG防火墙为您的用户提供SSLVPN配置信息，包括网关地址、用户名和密码等。

12.用户可以通过Internet连接使用SSL VPN客户端程序连接到您的私有网络。

13.一旦连接成功，用户即可安全地访问您的私有网络资源，如文件、应用程序和内部网站等。

14.管理员可以在USG防火墙管理界面中监控和管理SSLVPN连接。

局域网组建中的VPN配置步骤

局域网组建中的VPN配置步骤

局域网组建中的VPN配置步骤在局域网组建中，VPN配置是至关重要的一步。

VPN，即虚拟私人网络，是一种通过互联网建立安全连接的技术。

通过VPN配置，用户可以在公共网络上建立一个私密的通信网络，以保护数据和信息的安全。

在进行VPN配置之前，需要准备以下设备和信息：1. VPN服务器：提供VPN服务的服务器，可以是硬件设备或软件应用。

2. VPN客户端：连接到VPN服务器的设备，可以是个人电脑、手机、平板等。

3. 网络设备：包括路由器、交换机等局域网设备。

4. 公网IP地址：VPN服务器需要一个公网IP地址，用于与客户端建立连接。

下面是局域网组建中VPN配置的具体步骤：1. 配置VPN服务器：a) 在VPN服务器上安装所需的软件或配置相关硬件设备。

b) 配置VPN服务器的网络设置，包括IP地址、子网掩码、默认网关等。

2. 配置网络设备：a) 确保局域网内的网络设备支持VPN功能。

b) 配置网络设备，使其支持通过VPN访问局域网。

3. 配置VPN客户端：a) 在客户端设备上安装VPN客户端软件。

b) 配置VPN客户端，输入VPN服务器的IP地址和相关连接信息。

4. 建立VPN连接：a) 在VPN客户端上点击连接按钮，尝试与服务器建立连接。

b) 等待连接成功的提示，表示VPN连接已经建立成功。

5. 配置VPN安全选项：a) 在VPN服务器和客户端上配置相应的安全选项，如加密算法、身份验证方式等，以确保数据传输的安全性。

6. 测试VPN连接：a) 在VPN连接成功后，进行测试，确保客户端可以访问局域网内的资源。

b) 测试包括文件共享、打印机访问、远程桌面等功能。

7. 部署VPN策略：a) 可根据实际需求，制定VPN策略，如限制特定用户的访问权限、设置访问时间限制等。

通过以上步骤，您将能够成功建立和配置局域网中的VPN连接。

VPN配置的好处是可以在保证数据安全的同时，实现远程访问局域网资源的便利性。

无论是企业内部远程办公，还是个人用户访问家庭网络资源，VPN都能提供安全可靠的连接方式。