网络互联技术与实训 第14章 vpn技术

《网络互联技术与实训 第14章 vpn技术》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、网络互联技术与实训主编鲁顶柱刘邦桂中国水利水电出版社第十四章VPN技术理解VPN技术的基本原理2掌握GREVPN的配置31理解VPN技术的概念了解L2TP和IPSec技术４概念VPN(VirtualPrivateNetwork，虚拟专用网络或虚拟私有网络)技术是利用Internet或其它公共互联网络的基础设施为用户创建隧道，并提供与专用、私有网络一样的安全和具有功能保障的一种技术。VＰＮ概念隧道技术隧道(Tuunel)技术是指通过一种协议(承载协议)来传送另一种协议(载荷协议)的技术。使用承载协议建立隧道，隧道里传递的数据包都是载荷协议类型的数

2、据包。使用隧道传递的数据（或负载）可以是不同协议的数据帧或包。VＰＮ基本原理封装封装(Encapsulation)是指在某个协议的数据包外面加上特定的包头、包尾等，来标记某种信息。其它协议可以根据这些标记信息来对封装后的数据包进行处理，而不需要了解封装包里面的协议和数据。VＰＮ基本原理验证和授权VPN技术一般使用公共网络建立隧道进行私有数据的传输，而公共网络是任何人都可接入的，为了使具备访问权限的人才可以通过隧道进行私有数据传输，就需要对访问者的身份进行验证并在验证后进行授权。它们是对VPN的连接权限提供保护。VＰＮ基本原理加解密私密数据在隧道

3、中传输容易被窃听和篡改(由于隧道建立在公共网络里)。为了保证数据的安全性，数据进入隧道前需要加密，而在离开隧道后需要进行解密。加解密是对数据进行保护。VＰＮ基本原理主要的VPN技术二层VPN技术：L2TP，PPTP，MPLSL2VPN三层VPN技术：GRE，IPSecVPN，BGP/MPLSVPNVＰＮ概念GREVPN概念GRE（GenericRoutingEncapsulation）：通用路由封装技术。这种技术是在IP数据包的外面再加上一个IP头。通俗的说，就是把私有数据进行一下伪装，加上一个“外套”，传送到其他地方。GREVPN基本原理GR

4、EVPN工作原理有两个IP私网A和B，它们之间隔着一个IP公网。私网A和B内主机分别使用私网IP地址10.1.1.0/24和10.1.3.0/24。路由器A（RTA）的以太网口E0/0连接到私网A，其IP地址为10.1.1.1；另外一个串口S0/0连接到互联网，其IP地址为210.1.1.1。路由器B（RTB）的以太网口E0/0连接到私网B，其IP地址为10.1.3.1；另外一个串口S0/0连接到互联网，其IP地址为211.1.1.1。GREVPN基本原理GREVPN基本原理RTARTBIP公网IP私网BIP私网AGRETunnel私网A私网B

5、S0/0E0/0E0/0Tunnel0Tunnel010.1.1.1/2410.1.2.1/2410.1.2.2/2410.1.3.1/24211.1.1.1/24210.1.1.1/24IP私网之间的数据流私网IP包GRE封装包私网IP包111321图14-1GRE原理示意图GRE分别在RTA和RTB上建立了一个隧道口(注意：隧道口只是一个逻辑的接口，它需要绑定在物理接口上)，分别绑在RTA和RTB的S0/0接口上。隧道穿过IP公网，隧道口的私网IP地址分别为：10.1.2.1/24，10.1.2.2/24；而隧道口绑定的公网接口IP地址为：

6、210.1.1.1，211.1.1.1GREVPN基本原理注意：两个隧道口的IP地址必须在同一网段（只限于隧道口的IP地址），因为从逻辑上讲两个隧道口之间是直连的；隧道穿了公网，所以两个隧道口绑定的公网接口IP一般都在不同网段。但在GRE隧道两端的两个私网中的私网IP地址不可以在同一网段，否则这个网段无法跟隧道另一侧的私网通信。GREVPN基本配置过程创建虚拟Tunnel接口（系统视图）指定Tunnel的源端(Tunnel接口视图)指定Tunnel的目的端(Tunnel接口视图)设置Tunnel接口的网络地址(Tunnel接口视图)配置通过Tu

7、nnel的路由GREVPN基本配置创建虚拟Tunnel接口（系统视图）[SYS]interfacetunnelnumbernumber：Tunnel接口号，范围0～1023如果尚未创建，指令则先创建Tunnel接口并进入Tunnel接口视图；如果已经创建，则执行interfacetunnelnumber命令可以进入指定隧道的接口视图。Tunnel接口号只具有本地意义，隧道两端可以使用相同或不同的接口号。缺省情况下，设备上无Tunnel接口。GREVPN基本配置指定Tunnel的源端(Tunnel接口视图)[SYS-Tunnel0]source{

8、ip-addr

9、interface-typeinterface-num}ip-addr：使用点分十进制的地址形式来指定发出GRE报文的实际接口的IP地