VPN概述

VPN概述

VPN定义

VPN：Virtual Private Network
虚拟专用网络=虚拟专网

VPN有什么好处？

专线：价格高，安全、稳定、高效！
VPN：VPN是一种技术，可以实现2家公司之间在不安全的链路上安全的传递信息！好像专网！

目前互联网的现状

VPN通过建立VPN隧道，建立“保护”网络实体之间的通信！

VPN怎么做到的安全通信？

VPN采用了PKI技术
VPN也实现了信息安全三要素：

1. 机密性：使用加密技术防止数据被窃听
2. 完整性：数据完整性验证防止数据被破坏、篡改
3. 身份验证/不可否认性：通过认证机制确认身份，防止被伪装，数据被截获、回放

VPN实现了什么？

VPN实现了安全三/四要素：
1）机密性·
2）完整性
3）身份验证
4）不可否认性

VPN的工作模式

通过学习工作模式，除了了解VPN的安全好处外，还能够发现VPN的另外一个好处！
VPN的工作模式有2种：传输模式 和 隧道模式
隧道模式：将整个私有IP包全部加密，并重新封装新的公网IP包头！

VPN的类型

类型一、远程访问VPN
场景：出差员工或在家办公人员与公司建立VPN隧道
技术：SSL VPN、PPTP VPN、L2TP VPN、SSTP VPN等等

类型二、点到点VPN
场景：两家分公司/两个实体楼宇之间的VPN隧道
代表技术：IPsecVPN、GRE VPN、MPLS VPN

VPN加密技术

对称加密算法 DES 3DES AES

算法：说白了就是数学公式！如：x+5=y
x就是明文数据
y是加密之后的数据（密文）
5是密钥
对称加密算法：加密和解密使用同一个密钥（对称密钥）
常见的对称加密算法：DES、3DES、AES
对称密钥：通信双方协商而成，协商过程是明文传输，容易被窃取！
**对称加密算法的致命缺点：对称密钥容易丢失！
对称加密算法的优点：加密速度快！**

非对称加密算法 RSA ECC DH

非对称加密算法：双方加密和解密用的不是同一把钥匙！
密钥：需要2把钥匙：公钥和私钥
公钥+私钥如何产生的？不是双方协商而成，而是各自独立生成！一般都是成对生成！
一对公钥和私钥的关系：公钥和私钥互为加解密关系！公钥加密，私钥解密！私钥加密，公钥解密！
公钥公开，私钥不公开！
常见的非对称加密算法：RSA、DH（迪菲.赫尔曼）
公钥和私钥不能互推！
机密性：使用对方的公钥加密！
数字签名/身份验证：用自己的私钥加密实现签名！
**非对称加密算法优点：安全！
非对称加密算法缺点：速度慢，效率低！**
对称+非对称结合

完整性算法

常见的完整性算法：MD5、SHA-1、SHA-256
完整性加密算法是不可逆的！而且加密后的数据一般为N个字节！
完整性算法加密后的值：一般称为hash值/哈希值

IPsecVPN原理

建立IPSec VPN连接需要3个步骤

1. 定义流量触发IPSec (不能算是正式得步骤)
2. 建立管理连接
3. 建立数据连接
   问：IPsecVPN得原理
   答：IPsecVPN一般由2个阶段构成
   定义流量触发IPSecVPN ：
   北京内部：192.168.1.0/24 上海分公司内部：172.16.1.0/24
   阶段一：管理连接
   双方使用非对称加密算法，安全的同步对称算法的对称密钥！
   阶段二：数据连接
   https领域常用的非对称加密算法：RSA，ECC RSA1024=ECC160 RSA2048=ECC256
   VPN领域常用的非对称加密算法：DH
   对称+非对称结合：使用非对称加密算法来加密对称算法使用的对称密钥！
   IPsecVPN就采用了这个过程！！！！
   IPsecVPN采用的非对称加密算法是DH
   使用阶段一留下来的对称密钥，使用对称加密算法+hash算法(HMAC技术)来传输实际的用户数据！
   HMAC完成身份验证+完整性（识别码）
   疑问！信息安全需要达到3要素：机密性、完整性、身份验证

IPsecVPN的配置与命令

———–IPsecVPN是在外网端口上实现的！！————-
定义VPN触发流量：

conf t
acc 101 permit ip 192.168.1.0 0.0.0.255 172.168.1.0 0.0.0.255

PHP复制

阶段一：管理连接

conf t
crypto isakmp policy 1     # 创建密钥交换策略集 集名为1
encryption des/3des/aes # 设置对称算法，（双方必须一致）
hash md5/sha # 设置完整性算法，（双方必须一致）
group 1/2/5 # 设置DH算法及DH算法公私钥的长度，1/2/5代表公钥的长度
authentication pre-share # 设置身份验证为预共享验证！（双方必须一致）
exit
crypto isakmp key 预共享密码 address 对方的公网IP地址

PHP复制

阶段二：数据连接

crypto ipsec transform-set 加密模式名 esp-des/3des/aes esp-md5/sha-hmac（双方必须一致）

PHP复制

定义map表（映射表）：

crypto map map表名 1 ipsec-isakmp
set peer 对方的公网IP地址
match address 101
set transform-set 加密模式名
exit

PHP复制

使IPsecVPN生效！也就是将map表应用到外网端口上！

int f0/1（注意f0/1必须是外网端口）
crypto map map表名 # 一个接口上，只能应用一张map表
exit

PHP复制

查看阶段一的状态

show crypto isakmp sa

PHP复制

查看阶段二的状态

show crypto isakmp sa

PHP复制

VPN与NAT共存

数据包从内网–外网，先过PAT，再过VPN
解决方法：需要再PAT中豁免掉VPN的流量
假设192-172是需要走VPN的流量，则再PAT地址池中如下豁免！

int f0/0
ip nat inside       #指定为内部nat端口
int f0/1
ip nat outside    #指定为外部nat端口
exit
acc 130 deny ip 192.168.1.0 0.0.0.255 172.16.1.0 0.0.0.255
acc 130 permit ip any any
ip nat inside source list 130 int f0/1 overload