第6章VPN技术

《第6章VPN技术》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、网络组建补充-VPN技术VPN技术理解VPN技术的基本原理2掌握GREVPN的配置31理解VPN技术的概念了解L2TP和IPSec技术４概念VPN(VirtualPrivateNetwork，虚拟专用网络或虚拟私有网络)技术是利用Internet或其它公共互联网络的基础设施为用户创建隧道，并提供与专用、私有网络一样的安全和具有功能保障的一种技术。VＰＮ概念隧道技术隧道(Tuunel)技术是指通过一种协议(承载协议)来传送另一种协议(载荷协议)的技术。使用承载协议建立隧道，隧道里传递的数据包都是载荷协议类型的数据包。使用隧道传递的数据（或负载）可以是不同协议的数据帧或包。VＰＮ基

2、本原理封装封装(Encapsulation)是指在某个协议的数据包外面加上特定的包头、包尾等，来标记某种信息。其它协议可以根据这些标记信息来对封装后的数据包进行处理，而不需要了解封装包里面的协议和数据。VＰＮ基本原理验证和授权VPN技术一般使用公共网络建立隧道进行私有数据的传输，而公共网络是任何人都可接入的，为了使具备访问权限的人才可以通过隧道进行私有数据传输，就需要对访问者的身份进行验证并在验证后进行授权。它们是对VPN的连接权限提供保护。VＰＮ基本原理加解密私密数据在隧道中传输容易被窃听和篡改(由于隧道建立在公共网络里)。为了保证数据的安全性，数据进入隧道前需要加密，而在离

3、开隧道后需要进行解密。加解密是对数据进行保护。VＰＮ基本原理主要的VPN技术二层VPN技术：L2TP，PPTP，MPLSL2VPN三层VPN技术：GRE，IPSecVPN，BGP/MPLSVPNVＰＮ概念GREVPN概念GRE（GenericRoutingEncapsulation）：通用路由封装技术。这种技术是在IP数据包的外面再加上一个IP头。通俗的说，就是把私有数据进行一下伪装，加上一个“外套”，传送到其他地方。GREVPN基本原理GREVPN工作原理有两个IP私网A和B，它们之间隔着一个IP公网。私网A和B内主机分别使用私网IP地址10.1.1.0/24和10.1.3.

4、0/24。路由器A（RTA）的以太网口E0/0连接到私网A，其IP地址为10.1.1.1；另外一个串口S0/0连接到互联网，其IP地址为210.1.1.1。路由器B（RTB）的以太网口E0/0连接到私网B，其IP地址为10.1.3.1；另外一个串口S0/0连接到互联网，其IP地址为211.1.1.1。GREVPN基本原理GREVPN基本原理RTARTBIP公网IP私网BIP私网AGRETunnel私网A私网BS0/0E0/0E0/0Tunnel0Tunnel010.1.1.1/2410.1.2.1/2410.1.2.2/2410.1.3.1/24211.1.1.1/24210.

5、1.1.1/24IP私网之间的数据流私网IP包GRE封装包私网IP包111321图14-1GRE原理示意图GRE分别在RTA和RTB上建立了一个隧道口(注意：隧道口只是一个逻辑的接口，它需要绑定在物理接口上)，分别绑在RTA和RTB的S0/0接口上。隧道穿过IP公网，隧道口的私网IP地址分别为：10.1.2.1/24，10.1.2.2/24；而隧道口绑定的公网接口IP地址为：210.1.1.1，211.1.1.1GREVPN基本原理注意：两个隧道口的IP地址必须在同一网段（只限于隧道口的IP地址），因为从逻辑上讲两个隧道口之间是直连的；隧道穿了公网，所以两个隧道口绑定的公网接口

6、IP一般都在不同网段。但在GRE隧道两端的两个私网中的私网IP地址不可以在同一网段，否则这个网段无法跟隧道另一侧的私网通信。GREVPN基本配置过程创建虚拟Tunnel接口（系统视图）指定Tunnel的源端(Tunnel接口视图)指定Tunnel的目的端(Tunnel接口视图)设置Tunnel接口的网络地址(Tunnel接口视图)配置通过Tunnel的路由GREVPN基本配置创建虚拟Tunnel接口（系统视图）[SYS]interfacetunnelnumbernumber：Tunnel接口号，范围0～1023如果尚未创建，指令则先创建Tunnel接口并进入Tunnel接口视图

7、；如果已经创建，则执行interfacetunnelnumber命令可以进入指定隧道的接口视图。Tunnel接口号只具有本地意义，隧道两端可以使用相同或不同的接口号。缺省情况下，设备上无Tunnel接口。GREVPN基本配置指定Tunnel的源端(Tunnel接口视图)[SYS-Tunnel0]source{ip-addr

8、interface-typeinterface-num}ip-addr：使用点分十进制的地址形式来指定发出GRE报文的实际接口的IP地址(一般为公网IP)。interfa