day20--VPN

1、VPN（virtual private network）

虚拟专有网络

2、引入

可以实现在不安全的网络上，安全的传输数据，好像专网！

VPN只是一个技术，使用pki技术，来保证数据的安全三要素

3、安全三要素：

1）机密性

2）完整性

3）身份验证

4、加密技术：

1)对称加密

2）非对称加密

5、完整性算法/hash

MD5

SHA

6、vpn类型：

1）远程访问

2）点到点

常见：IPsecVPN

7、ipsecvpn：

1）属于点到点VPN，可以在企业之间建立VPN隧道

2）VPN隧道优点：安全性！合并两家企业内网！

3）VPN隧道技术：

传输模式：只加密上层数据，不加密私有IP包头

隧道模式：加密整个私有IP包，包括ip包头，更安全，速度慢

4）VPN隧道技术：重新封装技术+加密认证技术

5）2大阶段：

第一阶段：管理连接

目的：对称密钥

命令：

conf t

crypto isakmp policy 1     （传输集/策略集）

    encryption des/3des/aes

    hash md5/sha

    group 1/2/5

    authentication pre-share

    lifetime 秒    （默认86400秒）

    exit

crypto isakmp key 预共享密钥 address 对方的公网IP地址

第二阶段：数据连接

目的：加密私网数据

命令：

定义VPN触发流量：

access-list 100 permit ip 192.168.1.0 0.0.255.255 172.16.0.0 0.0.255.255

定义加密及认证方式：crypto ipsec transform-set 传输模式名 esp-des/3des/aes esp/ah-md5/sha-hmac

例如：crypto ipsec transform-set wentran esp-des  esp-sha-hmac

ESP：支持加密及认证（身份验证+完整性）

AH：只支持认证（身份验证+完整性）

 创建MAP映射表：

conf t

crypto map map名 1 isakmp

match address acl表名

set transform-set 传输模式名

set peer 对方的公网IP

exit

例如：

conf t

crypto map wenmap 1 isakmp

match address 100

set transform-set wentran 

set peer 200.1.1.2

exit

将map表应用到外网端口：

int f0/1

crypto map wenmap

exit

注意：一个接口只能应用一个map表！！

8、查看命令：

show crypto isakmp sa 查看第一阶段状态

show crypto ipsec sa 查看第二阶段状态

show crypto isakmp policy 查看第一阶段的策略配置集

show crypto ipsec transform-set 查看第二阶段的传输模式

9、路由器工作原理：

内网--to--外网：路由--NAT--VPN--出去

10、远程访问VPN：

在公司需要搭建VPN服务器

VPN服务器需要对VPN客户端进行身份验证

VPN服务器需要给VPN客户端下发权限及IP地址