畢業設計-vpn技術在企業網絡中的應用(編輯修改稿)

　

【文章內容簡介】 進性 組網方案設計應適應技術發展的潮流， 在兼顧技術上的成熟性 同 時也要盡量做到技術的先進性。 （ 2）實用性 出于對網絡的整體 性和 對資源的有限的考慮，在方案設計 時候 都應該注意實用性，這樣才能夠做到 以 最少的資源達到最優的效果。 （ 3）可靠性 對于企業網來說， 穩定就是 其最重要的要求。一個 可靠的企業網絡可以為 企業帶來無法衡量的利益，反之則有可能 對公司帶來不可估量的損失 。 （ 4）完整性 一個好的網絡設計 在 做到 實現 基本功能后，對于其他 各方面都應該考慮周全，盡量使得整個網絡完善 強健 。 現狀 首先，企業 在組建 網絡 時一般會考慮投入的資金以及 網絡通訊在今后可獲得的利益； 其次，企業 內部或者說企業總公司與旗下的分公司 為了 長久的發展需要 ，他們 需要有穩定的、相對安全的連接方式以適應； 4 再次，一家企業 同戰略 合作伙伴之間就應該要有靈活多變的網絡連接類型； 最后，對于一家企業來說， 充裕的帶寬， 優質 的網絡服務質量， 是公司今后 業務發展的保障。 采用 VPN 的理由 相對于企業對網絡設計的要求，最好使用 VPN，有以下理由： （ 1） 與 向運營商租用專線 或者 搭建專線 對比，使用 VPN是可以達到專線效果但比專線節省大量費 用的一種最優技術手段； （ 2） 專線的使用 很大程度地 制約了網絡的靈活性， 而 使用 VPN 可以 很好的彌補這一點； （ 3） 使用 QoS 的 VPN 服務通過配置隊列的優先級可以控制不同類型的數據流量， 對于服務質量 可以有很大的改善， 對企業內部的管理有很大的幫助。 本設計涉及的 VPN技術 有 MPLS VPN 和 Ipsec這幾種。下面我們分別來介紹一下這兩種 VPN技術。 4 MPLS VPN 原理 MPLS VPN 體系基本架構 MPLS VPN同時汲取的重疊 模型的 VPN 和對等 體模型 VPN 的優點，將他們組合成 了 單一的產品。了解 MPLS VPN 前必須 來 先了解一笑它相關的一些術語。 CE 路由器 —— 客戶端路由器 ， 直連 在 PE 路由器上 。 P 網絡 —— 由 ISP 控制的核心路由器組成的內部網絡。 LSP—— 標簽交換數據包通過 P 網絡傳輸到特定目的時所用到的 路徑 。 VRF 表 —— 與客 戶相關的路由表實例。 RD—— 一個 64bit 標識符，附加在 ipv4 地址前可 組成全球唯一的 VPNV4 地址 。 RT—— 是 VPNV4 BGP 路由的附加屬性，用 以 指示 VPN 的成員關系。 圖 41 MPLS VPN 網絡主要由 CE、 PE和 P 組成 CE 路由器架構 CE 路由器非常的重要，不管 用什么名稱它本質上還是一臺路由器，運行 IGP 協議（ 可用的協議包括 EIGRP、 OSPF、 RIP、 BGP 或者靜態路由）并與 發現的鄰居路由器交換路由信息。 CE 路5 由器不需要 支持 MPLS，也不屬于 MPLS 體系架構 的組成部分 ，只 用來 負責發送和接 收 客戶的路由信息。 MPLS 提供商的 P 路由器對 于 CE 路由器是不可見的 ， 所有路由重分發 操作 以及 MPLS相關的 其他操作都是由 PE 路由器 完成 的 ， 而它 對于站點 的 CE 路由器是完全透明的。 PE路由器架構 PE路由器 是 比較高端的設備， 可 同時接入和并發比較 龐 大的數據流量而 不會產生鏈路 堵塞 。PE 設備與用戶的 CE 設備 直接相連， 用于 處理 VPNV4 路由， 負責 VPN 業務接入，是 MPLS 三層 VPN 的主要實現者 。 骨干網核心路由器 P 負責快速轉發數據， 其 不與 CE 直接相連。在整個MPLS VPN 網絡中， P、 PE 設備需要支持 MPLS 的基本功能 ， P 設備 是 MPLSVPN 網絡的關鍵設備，根據 PE 路由器有無 參與客戶的路由， MPLS VPN 又 分成 Layer3MPLS VPN 和 Layer2 MPLS VPN。其中 的 Layer3 MPLS VPN 遵循 RFC2547bis 標準， 使用 MPLS 技術在 VPN 站點之間傳送數據， 使用 MBGP 在 PE 路由器之間分發路由信息，因而又稱為 BGP/MPLS VPN。 圖 42 MPLS VPN 路由 在 MPLS VPN 網絡中， 因為 對 VPN 的 所發生的 處理都在 PE 路由器上， 因此 我們在 PE 路由器上 啟 用了 VPNv4 地址 協議 ，引入了 RD(RouteDistinguisher)和 RT(RouteTarget)屬性。 RD 具有惟一性，通過將 8 比特 的 RD 作為 IPv4 地址前綴的擴展項 ， 可以 使不惟一的 IPv4 地址轉化為惟一 確定 的 VPNv4 地址。 VPNv4 地址 只用于骨干網絡上路由信息的分發，它 對客戶端來 說是不可預見性 的。 PE 的 對等體之間發布 是 基于 VPNv4 地址族的路 由 條目 ， 而且 通常是通過 MPBGP實現的。 MPLS VPN 路由傳送的原理 MPIBGP 在鄰居間傳遞 VPN 用戶路由時會將 IPv4 地址打上 RD 前綴，這樣 以來 VPN 用戶傳來的 IPv4 路由就轉變為 VPNv4 路由， 這樣就 保證 VPN 用戶的路由到了對端的 PE 上以后， 即使存在地址空間重疊 的情況 ，對端 的 PE 也能夠區分分屬不同 VPN 的用戶路由。 RT 使用了 BGP 中擴展團體屬性 來 用于路由信息的分發， 同時其 具有全局惟一性，同一個 RT 只能被一 個 VPN 所 使用，它分成 Import RT 和 Export RT，分別用于路由信 息的導入 策略 和導出策略。 在 PE路由器上針對每個 site 都創建個虛擬路由轉發表 VRF(VPNRoutingamp。Forwarding)， VRF 為每個 site 維護邏輯上分離 出來 的路由表，每個 VRF 都有 Import RT 和 Export RT 兩種 屬性。當 PE路由器 從 VRF 表中導出 VPN 路由 條目時 ，要用 Export RT 對 VPN 路由 條目 進行標記 。當 PE路由器 收到 VPNv4 路由 條目 時，只有 當 所帶 RT 標記與 VRF 表中任意一個 Import RT 路由 相符時 才會被導入到 VRF 表中，從而形成不同的 VPN，實現 VPN 的互 訪與隔離 的效果 。 可以 通過對 Import RT 和 Export RT 的 進行適當的 配置，運營商可以構建不同拓撲類型的 VPN 網絡 。 整個 MPLS VPN 體系結構可以分成 數據面 和 控制面 ，控制面定義了 LSP 的建立和 VPN路由信息的分發過程， 而 數據面則定義了 VPN 數據的轉發過程。 6 在控制層面， 核心路由器 P 并不參與 VPN 路由信息的交互，客戶路由器是通過 CE 和 PE路由器之間的路由交互知道屬于某個 VPN 的網絡拓撲信息。 CEPE路由器之間通過采用靜態 /默認路由或采用 ICP(RIPv OSPF)等動態路由協議。 PEPE 之間通過采 MPIBGP 進行路由信息的交換 ， PE路由器通過維持 IBGP 網狀連接或使用路由反射器來確保路由信息分發給所有的 PE路由器。除了路由協議外，在控制層面工作的 協議 還有 LDP，它在整個 MPLS 網絡中進行分發標簽 ，從而形成了 數據轉發的邏輯通道 LSP。 在數據轉發層面， MPLS VPN 網絡中傳輸的 VPN 業務數據采用 了 外標簽 (又稱隧道標簽 )和內標簽 (又稱 VPN 標簽 )兩層標簽棧結構。當 VPN 傳輸數據 的 分組由 CE 路由器發給 PE 路由器的入口 后， PE 路由器 開始 查找該子接口 相 對應的 VRF 表，從 VRF 表中得到 所需的 VPN 標簽、初始外層標簽 和 到出口 PE 路由器的輸出接口。當 VPN 分組被打上兩層標簽后，再 通過 PE輸出接口轉發出去，然后在 MPLS 骨干網 絡 中沿著 LSP 被逐級轉發 下去 。在出口 PE路由器 之前的最后一個 P 路由器上，外層標簽 會 被彈出 去 ， P 路由器將只含有 VPN 標簽的分組轉發給出口 PE路由器 上 。出口 的 PE路由器 則 根據內層標簽 表來 查找對應的輸出接口， 當 彈出 VPN 標簽后通過該接口將 VPN 分組 再 發送給 相應 的 CE路由器， 這樣就 實現了整個數據轉發過程。 以上就是 MPLS VPN 路由傳送的原理 。 VPN Ipsec VPN 技術 Ipsec 是一種保護 IP 數據在不同 地方 傳輸時 候 安全性的功能特性值。包含在 VPN 中的 所有地點都要定義 VPN 類型。它的地點可以是 企業總部、大型分支機構、一個小型遠程站點、 一個終端客戶機、數據中心等。任意兩個這樣的地點組合在一起就 可以確定 VPN 的類型。 Ipsec 無法將其業務擴展到數據鏈路層 ， 只能夠保護 IP 層以上的數據。 Ipsec 的功能特性 數據完整性：確保數據在通過 Ipsec VPN 進行傳送的 時不 被修改 ，保證其完整性 。 數據機密性：指數據在 VPN 的 雙方 之間 時 通過 Ipsec vpn 傳 送時保持數據的私密性。 數據源驗證：驗證 Ipsec vpn 的數據源。 它不能夠單獨實現必須依賴于數據的完整性服務 ，由 VPN 的每個端點來完成， 以 確保對方的身份 。 防重放 : 這個是利用數據包中的序列號和接受端滑動窗口 確保 VPN 中的數據沒有被復制。 Ipsec 協議 Ipsec 提供了兩種安全協議，為 IPSec 對等體之間傳輸的 IP 數據流提供安全服務： ESP（ Encapsulating Security Payload）封裝安全 有效負 載 AH（ Authentication Header）驗證 報頭 (1) ESP 是為 IPSEC提供數據機密性、 源驗證、 完整性等 特性 一種 體系框架。以下是 IPSEC ESP 可 以使 用的加密方法。 AES 高級數據加密標準 DES（數據加密標準）：是一種應用很廣泛的 傳統的 加密方式。 3DES(3 重數據加密標準 ) (2) AH 是一種為 IPSEC 提供數據 源驗證、 完整性、防重放功能的體系架構， 但是 它不提供機密性 ， 所以它無法保證數據在傳輸的過程中 是否 被偷窺 ，因此現在 很少單獨的使用 AH，一般都是和 ESP 配合使用。 AH 和 ESP 都是 利用 HMAC（基于哈希的報文驗證）來進行 完整性檢查 和 驗證 的 。 7 IPSEC 模式 Ipsec 定義了 隧道模式和傳送模式 兩種的運行模式 ， 它們對原始的 IP 包 提供不同的保護能力。 傳送模式 就是 僅僅把 Ipsec 頭部插在 IP 包中時 。 所以 在傳送模式中，原始 IP 頭部 暴露在外面， 沒有得到保護。在數據包 穿過 非受信 的 網絡時，包中的數據 其實是 安全的， 因為 網絡中只能看到通信方的真實 IP 地址。 隧道模式中，包括原始 IP 頭部 在內，整個數據包都可以 得到保護，隧道模式會產生一個 全新的隧道端點 IP 地址，這樣原來的 IP 地址就不會 暴露在外面 ， 這樣 IP 數據包就能夠得到 更 好的保護。 圖 51 vpn 通道 Ip 幀 /包 L2 頭部 IP 頭部 TCP/UDP 頭部 有效負載 表 51 AH 傳輸模式封裝 原始 IP 報頭 驗證報頭（ AH） 有效負載 表 52 AH 隧道模式封裝 新 IP 報頭 驗證報頭（ AH） 原始 IP 報頭 有效負載 表 53 ESP 傳輸模式封裝 原始 IP 報頭 封裝安全有效負載（ ESP）報頭 有效負載 ESP 報尾 ESP 驗證數據 表 54 ESP 隧道模式封裝 新 IP 報頭 封裝安全有效負載（ ESP）報頭 原始 IP 報頭 有效負載 ESP 報尾 ESP 驗證數據 表 55 對等體 驗證 Ipsec 對數據進行加密防止數據在途中被竊取和修改， 保護傳送過程中的數據， 但是 首先 VPN端點 要能 夠對對方端點的 進行 確認 ，否則 就談不上數據包的保密了。所以數據在傳送之前必須驗證 IPSEC VPN 的端點。 下面舉出 5 種方法可以驗證 IPSEC 對等體： 8 用戶名和密碼 —— 在端點配置他們，但是 因為 用戶名和密碼是經常使用的，所以這個 驗證方法 安全性不高 。 數據證書 —— 它是由第三 方 CA 給設備發數字證書。證書被發放到設備，需要驗證設備的時候 向第三方 提交證書 ，然后由第三方進行檢查， 通過了就驗證成功。 預共享密鑰 —— 在每個對等體預先設置一個密鑰， 這樣 可以 保證信息的絕對的安全。 OTP（一次性密碼） —— 一般都是以 TAN 或 PIN 的 方式來識別。 生物測定 —— 是通過分析人的物理特征例如 語音、 指紋和臉部的特征來驗證。 IKE（ Inter 密鑰交換） IKE 協議 是 一種動態