|
01 VPN的连接模式： ① 传输模式：只保护数据，加密传输的内容 优点：效率高 缺点：不安全 应用场景：适用于在企业内网中部署IPsec vpn，不需要封装新的IP包头。结合GRE VPN使用 ② 隧道模式：保护数据和IP包头，重新封装一个IP包头可以直接在公网上搭建VPN 优点：安全性更高 缺点：效率低 02 VPN的类型： ① 主模式-----站点到站点VPN：SITE-to-SITE 对方的IP地址是固定的。 ②积极模式----远程访问VPN：remote-access远程用户IP地址是不固定的。 对方的IP地址不是固定的，可以用IP地址或者域名进行建立连接。 03 VPN技术： IPsec vpn优势在于能对数据进行保护。主要用到下面两种技术： 加密算法： ① 对称加密算法：公钥加密 公钥解密 DES数据加密标准 64bit=56bit+8bit 3DES 3*（56bit+8bit） AES 高级加密标准 128bit~256bit【最高达到256bit】 优点：传输效率高 缺点：安全性较低 ② 非对称加密算法：公钥加密 私钥解密【私钥始终没有在公网上传输】 DH 优点：安全性更高 缺点：传输效率低 注：问题 使用对称加密算法密钥可能被窃听 使用非对称加密算法，计算复杂，效率太低，影响传输速度。 解决方案 § 通过非对称加密算法加密对称加密算法的密钥 § 然后再用对称加密算法加密实际要传输的数据 04 IPSec VPN 使用的协议： ① 阶段一：使用 ISKMAP IKE 因特网密钥交换协议【统称】 ISKMAP：安全关联和密钥管理协议【具体实现协议】 ② 阶段二：使用ESP AH ESP：封装安全载荷协议 · ESP对用户数据实现加密功能 · ESP只对IP数据的有效载荷进行验证，不包括外部的IP包头 AH：认证头协议 · 数据完整性服务 · 数据验证 · 防止数据回放攻击 05 IPSec VPN建立的两个阶段： 阶段1：建立管理连接， 建立一个安全的VPN通道，定义密钥与及加密算法参数【非对称加密算法，对称加密算法】 阶段一建立过程中： ① 主模式-----站点到站点VPN：SITE-to-SITE 对方的IP地址是固定的 主模式协商阶段一的时候，使用到6个数据包。注：前4个报文为明文传输，从第5个数据报文开始为密文传输。 ② 积极模式----远程访问VPN 对方的IP地址不是固定的，可以用IP地址或者域名进行建立连接 阶段2：建立数据连接， 配置IPSec VPN 条件： 1） 建立VPN的两个对等体公网要能够通信 2） VPN的流量要做NAT分离 ESP支持加密和认证 AH只支持认证 06 配置IPSec VPN： 阶段1：定义管理连接 crypto isakmp policy 10------设置IKE策略，policy后面跟1-10000的数字，这些数字代表策略的优先级。 encr 3des-----加密算法使用3des hash md5---- hash算法使用MD5 authentication pre-share----采用欲共享密钥认证方式 group 2-----采用第二个组的长度【共有1、2、6三个组可以选择】 crypto isakmp key CCIE address 23.1.1.2---- 设置IKE交换的密钥，CCIE表示密钥组成，23.1.1.2表示对方的IP地址 验证命令： R2#show crypto isakmp policy 查看阶段1的IKE策略 R2# show crypto isakmp key R1#show crypto isakmp sa 查看阶段1是否协商成功 IPv4 Crypto ISAKMP SA dst src state conn-id slot status 23.1.1.2 13.1.1.1 QM_IDLE 1001 0 ACTIVE 阶段2的配置命令 access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 ！ crypto ipsec transform-set SPOTO esp-aes esp-md5-hmac crypto map MAP 10 ipsec-isakmp set peer 23.1.1.2 set transform-set SPOTO match address 101 ！ interface Serial1/0 crypto map MAP 验证命令： R1#show crypto ipsec transform-set R1#show crypto map R1#show crypto ipsec sa  为了方便广大网络爱好学习者一起学（聚）习（众）交（搞）流（基），特开设华为干货交流群，里面已经上传大量学习资料，欢迎广大网络工程师进群学习！  扫描下方二维码 进群学习交流   发现“分享”和“赞”了吗，戳我看看吧 |
|
|
