Cisco VPN完全配置指南

第一部分　VPN
第1章　VPN概述　3
1.1　流量問(wèn)題　3
1.1.1　竊聽(tīng)攻擊　3
1.1.2　偽裝攻擊　5
1.1.3　中間人攻擊　5
1.2　VPN定義　7
1.2.1　VPN描述　8
1.2.2　VPN連接模式　9
1.2.3　VPN類(lèi)型　11
1.2.4　VPN分類(lèi)　14
1.3　VPN組件　15
1.3.1　驗(yàn)證　15
1.3.2　封裝方法　17
1.3.3　數(shù)據(jù)加密　17
1.3.4　數(shù)據(jù)包的完整性　17
1.3.5　密鑰管理　18
1.3.6　抗抵賴(lài)性　18
1.3.7　應(yīng)用程序和協(xié)議的支持　18
1.3.8　地址管理　19
1.4　VPN設(shè)計(jì)　20
1.4.1　連接類(lèi)型　20
1.4.2　VPN考慮　22
1.4.3　冗余　26
1.5　VPN實(shí)施　27
1.5.1　GRE　27
1.5.2　IPSec　28
1.5.3　PPTP　29
1.5.4　L2TP　29
1.5.5　MPLS　30
1.5.6　SSL　30
1.6　VPN：選擇解決方案　31
1.6.1　安全性　31
1.6.2　實(shí)施、管理和支持　31
1.6.3　高可靠性　32
1.6.4　擴(kuò)展性和靈活性　32
1.6.5　費(fèi)用　32
1.7　總結(jié)　33
第2章　VPN技術(shù)　35
2.1　密鑰　35
2.1.1　密鑰的使用　35
2.1.2　對(duì)稱(chēng)密鑰　36
2.1.3　非對(duì)稱(chēng)密鑰　36
2.2　加密　39
2.2.1　加密的過(guò)程　39
2.2.2　加密算法　39
2.3　數(shù)據(jù)包驗(yàn)證　41
2.3.1　數(shù)據(jù)包驗(yàn)證的實(shí)施　41
2.3.2　數(shù)據(jù)包驗(yàn)證的使用　43
2.3.3　數(shù)據(jù)包驗(yàn)證的問(wèn)題　45
2.4　密鑰交換　46
2.4.1　密鑰共享的困惑　46
2.4.2　Diffie-HellMan(赫爾曼算法)　48
2.4.3　密鑰刷新　50
2.4.4　密鑰交換方法的限制　50
2.5　驗(yàn)證方法　50
2.5.1　中間人攻擊　51
2.5.2　驗(yàn)證的解決方案　51
2.5.3　設(shè)備驗(yàn)證　52
2.5.4　用戶(hù)驗(yàn)證　64
2.6　總結(jié)　65
第3章　IPSec　67
3.1　IPSec標(biāo)準(zhǔn)　67
3.1.1　IETF RFC　68
3.1.2　IPSec連接　72
3.1.3　構(gòu)建連接的基本過(guò)程　74
3.2　ISAKMP/IKE階段1　75
3.2.1　管理連接　76
3.2.2　密鑰交換協(xié)議：Diffie-Hellman　78
3.2.3　設(shè)備驗(yàn)證　78
3.2.4　遠(yuǎn)程訪(fǎng)問(wèn)額外的步驟　79
3.3　ISAKMP/IKE階段2　87
3.3.1　ISAKMP/IKE階段2組件　87
3.3.2　階段2安全協(xié)議　87
3.3.3　階段2的連接模式　90
3.3.4　階段2的傳輸集　90
3.3.5　數(shù)據(jù)連接　91
3.4　IPSec流量和網(wǎng)絡(luò)　92
3.4.1　IPSec和地址轉(zhuǎn)換　92
3.4.2　IPSec和防火墻　94
3.4.3　使用IPSec的其他問(wèn)題　96
3.5　總結(jié)　97
第4章　PPTP和L2TP　99
4.1　PPTP　99
4.1.1　PPP回顧　100
4.1.2　PPTP組件　102
4.1.3　PPTP是如何工作的　102
4.1.4　使用PPTP的問(wèn)題　107
4.2　L2TP　109
4.2.1　L2TP概述　109
4.2.2　L2TP操作　110
4.2.3　L2TP/IPSec和PPTP的比較　113
4.3　總結(jié)　115
第5章　SSL VPN　117
5.1　SSL回顧　117
5.1.1　SSL客戶(hù)實(shí)施　118
5.1.2　SSL保護(hù)　119
5.1.3　SSL組件　121
5.2　什么時(shí)候使用SSL VPN　124
5.2.1　SSL VPN的好處　124
5.2.2　SSL VPN的缺點(diǎn)　125
5.3　Cisco的WebVPN解決方案　127
5.3.1　VPN 3000系列集中器　127
5.3.2　WebVPN的操作　127
5.3.3　Web訪(fǎng)問(wèn)　128
5.3.4　網(wǎng)絡(luò)瀏覽和文件管理訪(fǎng)問(wèn)　129
5.3.5　應(yīng)用程序訪(fǎng)問(wèn)和端口轉(zhuǎn)發(fā)　129
5.3.6　E-mail客戶(hù)的訪(fǎng)問(wèn)　130
5.4　總結(jié)　131
第二部分　集中器
第6章　集中器產(chǎn)品信息　135
6.1　集中器的型號(hào)　136
6.1.1　3005集中器　136
6.1.2　3015集中器　137
6.1.3　3020集中器　138
6.1.4　3030集中器　138
6.1.5　3060集中器　138
6.1.6　3080集中器　138
6.1.7　集中器型號(hào)的比較　139
6.2　集中器的模塊　139
6.2.1　SEP模塊　140
6.2.2　SEP操作　140
6.3　集中器的特性　140
6.3.1　版本3.5特性　141
6.3.2　版本3.6特性　142
6.3.3　版本4.0特性　143
6.3.4　版本4.1特性　144
6.3.5　版本4.7特性　144
6.4　介紹對(duì)集中器的訪(fǎng)問(wèn)　145
6.4.1　命令行接口　145
6.4.2　圖形用戶(hù)接口　149
6.5　總結(jié)　157
第7章　使用IPSec實(shí)現(xiàn)集中器的遠(yuǎn)程訪(fǎng)問(wèn)連接　159
7.1　控制對(duì)集中器的遠(yuǎn)程訪(fǎng)問(wèn)會(huì)話(huà)　159
7.1.1　組的配置　159
7.1.2　用戶(hù)配置　173
7.2　IPSec遠(yuǎn)程訪(fǎng)問(wèn)　175
7.2.1　ISAKMP/IKE階段1：IKE建議　175
7.2.2　ISAKMP/IKE階段1：設(shè)備驗(yàn)證　178
7.2.3　ISAKMP/IKE階段1：IPSec標(biāo)簽　188
7.2.4　ISAKMP/IKE階段1：Mode/Client Config標(biāo)簽　190
7.2.5　ISAKMP/IKE階段1：Client FW標(biāo)簽　198
7.2.6　ISAKMP/IKE階段2：數(shù)據(jù)SA　204
7.3　對(duì)于IPSec和L2TP/IPSec用戶(hù)的網(wǎng)絡(luò)訪(fǎng)問(wèn)控制(NAC)　205
7.3.1　對(duì)于IPSec，NAC的全局配置　206
7.3.2　NAC的組配置　207
7.4　總結(jié)　209
第8章　使用PPTP、L2TP和WebVPN實(shí)現(xiàn)集中器遠(yuǎn)程訪(fǎng)問(wèn)連接　211
8.1　PPTP和L2TP遠(yuǎn)程訪(fǎng)問(wèn)　211
8.1.1　PPTP和L2TP組配置　212
8.1.2　PPTP全局配置　213
8.1.3　L2TP全局配置　214
8.2　WebVPN遠(yuǎn)程訪(fǎng)問(wèn)　215
8.2.1　HTTPS訪(fǎng)問(wèn)　215
8.2.2　WebVPN全局配置　217
8.2.3　組配置　227
8.2.4　SSL VPN客戶(hù)端(SSL VPN客戶(hù)端，SVC)　232
8.2.5　用于WebVPN訪(fǎng)問(wèn)的Cisco安全桌面　235
8.3　總結(jié)　246
第9章　集中器站點(diǎn)到站點(diǎn)的連接　249
9.1　L2L連接例子　249
9.2　ISAKMP/IKE階段1準(zhǔn)備　251
9.2.1　現(xiàn)有的IKE策略　251
9.2.2　IKE策略屏幕　252
9.3　增加站點(diǎn)到站點(diǎn)的連接　253
9.3.1　添加L2L會(huì)話(huà)　253
9.3.2　完成L2L會(huì)話(huà)　263
9.3.3　修改L2L會(huì)話(huà)　265
9.4　地址轉(zhuǎn)換和L2L會(huì)話(huà)　265
9.4.1　介紹集中器地址轉(zhuǎn)換的能力　266
9.4.2　需要L2L地址轉(zhuǎn)換的例子　266
9.4.3　建立L2L地址轉(zhuǎn)換規(guī)則　267
9.4.4　啟動(dòng)L2L地址轉(zhuǎn)換　268
9.5　總結(jié)　269
第10章　集中器的管理　271
10.1　帶寬管理　271
10.1.1　建立帶寬策略　271
10.1.2　激活帶寬策略　274
10.2　集中器上的路由選擇　277
10.2.1　靜態(tài)路由選擇　277
10.2.2　RIP路由選擇協(xié)議　279
10.2.3　OSPF路由選擇協(xié)議　280
10.3　機(jī)箱冗余　282
10.3.1　VRRP　282
10.3.2　VCA　286
10.4　管理屏幕　290
10.4.1　Administrator Access(管理員訪(fǎng)問(wèn))　291
10.4.2　集中器的升級(jí)　293
10.4.3　文件管理　294
10.5　總結(jié)　295
第11章　驗(yàn)證和故障診斷與排除集中器的連接　297
11.1　集中器的工具　297
11.1.1　系統(tǒng)狀態(tài)　298
11.1.2　VPN會(huì)話(huà)　299
11.1.3　事件日志　302
11.1.4　監(jiān)控統(tǒng)計(jì)信息屏幕　313
11.2　故障診斷與排除問(wèn)題　315
11.2.1　ISAKMP/IKE階段1的問(wèn)題　315
11.2.2　ISAKMP/IKE階段2的問(wèn)題　320
11.3　總結(jié)　322
第三部分　客戶(hù)端
第12章　Cisco VPN軟件客戶(hù)端　327
12.1　Cisco VPN客戶(hù)端的概述　328
12.1.1　Cisco VPN客戶(hù)端的特性　328
12.1.2　Cisco VPN客戶(hù)端的安裝　329
12.2　Cisco VPN客戶(hù)端接口　335
12.2.1　操作模式　335
12.2.2　喜好　337
12.2.3　先進(jìn)模式工具欄按鈕和標(biāo)簽選項(xiàng)　337
12.3　IPSec連接　338
12.3.1　使用預(yù)共享密鑰建立連接　338
12.3.2　使用證書(shū)建立連接　342
12.3.3　其他的連接配置選項(xiàng)　349
12.3.4　連接到一臺(tái)Easy VPN服務(wù)器　349
12.3.5　客戶(hù)端的連接狀態(tài)　352
12.3.6　斷開(kāi)連接　354
12.4　VPN客戶(hù)端的GUI選項(xiàng)　354
12.4.1　Application Launcher(應(yīng)用程序發(fā)起器)　355
12.4.2　Windows Login Properties(Windows登錄屬性)　355
12.4.3　Automatic Initiation(自動(dòng)發(fā)起)　355
12.4.4　Stateful Firewall(狀態(tài)防火墻)　358
12.5　VPN客戶(hù)端軟件的更新　361
12.5.1　集中器：客戶(hù)端更新　361
12.5.2　對(duì)于Windows 2000和XP的VPN客戶(hù)端的自動(dòng)更新的準(zhǔn)備　363
12.5.3　客戶(hù)端的更新過(guò)程　364
12.6　VPN客戶(hù)端的故障診斷與排除　366
12.6.1　日志查看器　366
12.6.2　驗(yàn)證問(wèn)題　368
12.6.3　ISAKMP/IKE策略不匹配的問(wèn)題　369
12.6.4　地址分配的故障診斷與排除　370
12.6.5　分離隧道問(wèn)題　372
12.6.6　地址轉(zhuǎn)換問(wèn)題　375
12.6.7　碎片問(wèn)題　376
12.6.8　微軟的網(wǎng)絡(luò)鄰居問(wèn)題　380
12.7　總結(jié)　381
第13章　Windows軟件客戶(hù)端　383
13.1　Windows客戶(hù)端　383
13.1.1　理解Windows客戶(hù)端的特性　384
13.1.2　驗(yàn)證Windows客戶(hù)端是可操作的　385
13.2　配置Windows VPN客戶(hù)端　386
13.2.1　建立一個(gè)安全的策略　386
13.2.2　需要使用L2TP　390
13.2.3　建立一個(gè)微軟的VPN連接　391
13.3　配置VPN 3000集中器　398
13.3.1　IKE建議　398
13.3.2　IPSec SA　398
13.3.3　組配置　400
13.3.4　地址管理　401
13.3.5　用戶(hù)配置　401
13.4　微軟客戶(hù)端的連接　401
13.4.1　連接到VPN網(wǎng)關(guān)　402
13.4.2　核實(shí)PC上的連接　403
13.4.3　核實(shí)集中器上的連接　403
13.5　故障診斷與排除VPN的連接　404
13.5.1　集中器故障診斷與排除工具　404
13.5.2　微軟的客戶(hù)端故障診斷與排除工具　405
13.6　總結(jié)　409
第14章　3002硬件客戶(hù)端　411
14.1　3002硬件客戶(hù)端概覽　411
14.1.1　3002的特性　412
14.1.2　3002型號(hào)　412
14.1.3　3002的實(shí)施　413
14.2　對(duì)于3002的初始訪(fǎng)問(wèn)　414
14.2.1　命令行接口　415
14.2.2　圖形用戶(hù)接口　415
14.3　驗(yàn)證和連接選項(xiàng)　423
14.3.1　單元驗(yàn)證　423
14.3.2　額外的驗(yàn)證選項(xiàng)　424
14.4　連接模式　429
14.4.1　客戶(hù)模式　429
14.4.2　網(wǎng)絡(luò)擴(kuò)展模式　429
14.4.3　路由和反向路由注入　433
14.5　管理任務(wù)　435
14.5.1　從公有接口上訪(fǎng)問(wèn)3002　435
14.5.2　升級(jí)3002　436
14.6　總結(jié)　439
第四部分　IOS路由器
第15章　路由器產(chǎn)品信息　443
15.1　路由器實(shí)施場(chǎng)景　443
15.1.1　L2L和遠(yuǎn)程訪(fǎng)問(wèn)連接　443
15.1.2　路由器的特殊能力　444
15.2　路由器產(chǎn)品概述　447
15.3　總結(jié)　448
第16章　路由器的ISAKMP/IKE階段1連接　451
16.1　IPSec的準(zhǔn)備　451
16.1.1　收集信息　452
16.1.2　允許IPSec的流量　452
16.2　ISAKMP/IKE階段1策略　453
16.2.1　啟動(dòng)ISAKMP　453
16.2.2　建立策略　453
16.2.3　與對(duì)等體協(xié)商策略　454
16.2.4　啟動(dòng)IKE死亡對(duì)等體檢測(cè)　455
16.3　ISAKMP/IKE階段1設(shè)備驗(yàn)證　456
16.3.1　ISAKMP/IKE身份類(lèi)型　456
16.3.2　預(yù)共享密鑰　457
16.3.3　RSA加密的隨機(jī)數(shù)　458
16.3.4　數(shù)字證書(shū)和路由器的注冊(cè)　462
16.4　監(jiān)控和管理管理連接　480
16.4.1　查看ISAKMP/IKE階段1的連接　480
16.4.2　管理ISAKMP/IKE階段1的連接　481
16.4.3　路由器作為證書(shū)授權(quán)　481
16.4.4　步驟1：產(chǎn)生和導(dǎo)出RSA密鑰信息　482
16.4.5　步驟2：?jiǎn)?dòng)CA　485
16.4.6　步驟3：定義額外的CA參數(shù)　488
16.4.7　步驟4：處理申請(qǐng)請(qǐng)求　490
16.4.8　步驟5：吊銷(xiāo)身份證書(shū)　493
16.4.9　步驟6：配置一臺(tái)服務(wù)器使其運(yùn)行在RA的模式　494
16.4.10　步驟7：備份一個(gè)CA　495
16.4.11　步驟8：恢復(fù)一個(gè)CA　496
16.4.12　步驟9：清除CA服務(wù)　497
16.5　總結(jié)　498
第17章　路由器站點(diǎn)到站點(diǎn)連接　501
17.1　ISAKMP/IKE階段2配置　501
17.1.1　定義被保護(hù)的流量：Crypto ACL　502
17.1.2　定義保護(hù)方法：Transform Sets(傳輸集)　503
17.1.3　構(gòu)建一個(gè)靜態(tài)的Crypto Map條目　504
17.1.4　構(gòu)建一個(gè)動(dòng)態(tài)的Crypto Maps　511
17.1.5　可區(qū)分的基于名字的Crypto Map　518
17.2　查看和管理連接　520
17.2.1　查看IPSec的數(shù)據(jù)SA　520
17.2.2　管理IPSec數(shù)據(jù)SA　522
17.3　站點(diǎn)到站點(diǎn)連接的問(wèn)題　522
17.3.1　遷移到一個(gè)基于IPSec的設(shè)計(jì)　522
17.3.2　過(guò)濾IPSec的流量　524
17.3.3　地址轉(zhuǎn)換和狀態(tài)防火墻　526
17.3.4　非單播流量　528
17.3.5　配置簡(jiǎn)化　534
17.3.6　IPSec冗余　536
17.3.7　L2L擴(kuò)展性　551
17.4　總結(jié)　570
第18章　路由器遠(yuǎn)程訪(fǎng)問(wèn)連接　573
18.1　Easy VPN服務(wù)器　574
18.1.1　Easy VPN服務(wù)器的配置　574
18.1.2　VPN組監(jiān)控　582
18.1.3　Easy VPN服務(wù)器配置例子　582
18.2　Easy VPN遠(yuǎn)端　585
18.2.1　Easy VPN遠(yuǎn)端連接模式　585
18.2.2　Easy VPN遠(yuǎn)端配置　587
18.2.3　Easy VPN遠(yuǎn)端配置的例子　590
18.3　在同一路由器上的IPSec遠(yuǎn)程訪(fǎng)問(wèn)和L2L會(huì)話(huà)　592
18.3.1　中心辦公室路由器的配置　592
18.3.2　遠(yuǎn)程訪(fǎng)問(wèn)和L2L樣例配置　595
18.4　WebVPN　597
18.4.1　WebVPN建立　598
18.4.2　WebVPN配置例子　603
18.5　總結(jié)　604
第19章　故障診斷與排除路由器的連接　607
19.1　ISAKMP/IKE階段1連接　607
19.1.1　階段1命令的回顧　608
19.1.2　show crypto isakmp sa命令　608
19.1.3　debug crypto isakmp命令　608
19.1.4　debug crypto pki命令　617
19.1.5　debug crypto engine命令　618
19.2　ISAKMP/IKE階段2連接　619
19.2.1　階段2命令的回顧　619
19.2.2　show crypto engine connection active命令　620
19.2.3　show crypto ipsec sa命令　620
19.2.4　debug crypto ipsec命令　621
19.3　新的IPSec故障診斷與排除特性　625
19.3.1　IPSec VPN監(jiān)控特性　625
19.3.2　清除Crypto會(huì)話(huà)　627
19.3.3　無(wú)效的安全參數(shù)索引恢復(fù)特性　627
19.4　碎片問(wèn)題　628
19.4.1　碎片問(wèn)題　629
19.4.2　碎片發(fā)現(xiàn)　630
19.4.3　碎片問(wèn)題的解決方案　631
19.5　總結(jié)　634
第五部分　PIX防火墻
第20章　PIX和ASA產(chǎn)品信息　639
20.1　PIX實(shí)施場(chǎng)景　639
20.1.1　L2L和遠(yuǎn)程訪(fǎng)問(wèn)連接　640
20.1.2　PIX和ASA的特殊能力　640
20.2　PIX和ASA的特性和產(chǎn)品回顧　641
20.2.1　PIX和ASA VPN特性　641
20.2.2　PIX型號(hào)　643
20.2.3　ASA型號(hào)　643
20.3　總結(jié)　644
第21章　PIX和ASA站點(diǎn)到站點(diǎn)的連接　647
21.1　ISAKMP/IKE階段1管理連接　648
21.1.1　允許IPSec的流量　648
21.1.2　建立ISAKMP　650
21.1.3　配置管理連接的策略　651
21.1.4　配置設(shè)備驗(yàn)證　652
21.2　ISAKMP/IKE階段2數(shù)據(jù)連接　660
21.2.1　指定被保護(hù)的流量　660
21.2.2　定義如何保護(hù)流量　661
21.2.3　構(gòu)建Crypto Map　661
21.2.4　激活一個(gè)Crypto Map　664
21.2.5　數(shù)據(jù)連接管理命令　664
21.3　L2L連接例子　665
21.3.1　FOS 6.3 L2L的例子　666
21.3.2　FOS 7.0 L2L的例子　668
21.4　總結(jié)　669
第22章　PIX和ASA遠(yuǎn)程訪(fǎng)問(wèn)連接　673
22.1　6.x對(duì)于Easy VPN服務(wù)器的支持　673
22.1.1　6.x的Easy VPN服務(wù)器的配置　674
22.1.2　6.x的Easy VPN服務(wù)器的例子　678
22.2　6.x的Easy VPN遠(yuǎn)端支持　680
22.2.1　6.x的Easy VPN遠(yuǎn)端配置　681
22.2.2　使用證書(shū)作為遠(yuǎn)程訪(fǎng)問(wèn)　682
22.2.3　核實(shí)您的6.x遠(yuǎn)端配置和連接　682
22.2.4　6.x的Easy VPN遠(yuǎn)端設(shè)備的例子配置　684
22.3　對(duì)于7.0的Easy VPN服務(wù)器的支持　685
22.3.1　理解隧道組　686
22.3.2　定義組策略　686
22.3.3　建立隧道組　692
22.3.4　為XAUTH建立用戶(hù)賬號(hào)　696
22.3.5　遠(yuǎn)程訪(fǎng)問(wèn)會(huì)話(huà)的問(wèn)題及在7.0中的解決方案　697
22.3.6　解釋7.0的一臺(tái)Easy VPN服務(wù)器配置的例子　702
22.4　總結(jié)　703
第23章　PIX和ASA連接的故障診斷與排除　705
23.1　ISAKMP/IKE階段1連接　705
23.1.1　階段1命令的回顧　705
23.1.2　show isakmp sa命令　706
23.1.3　debug crypto isakmp命令　707
23.1.4　debug crypto vpnclient命令　714
23.2　ISAKMP/IKE階段2連接　716
23.2.1　階段2命令的回顧　716
23.2.2　show crypto ipsec sa命令　717
23.2.3　debug crypto ipsec命令　719
23.3　總結(jié)　723
第六部分　案例研究
第24章　案例研究　727
24.1　公司的概貌　727
24.1.1　總部辦公室　729
24.1.2　區(qū)域辦公室　731
24.1.3　分支辦公室　732
24.1.4　遠(yuǎn)程訪(fǎng)問(wèn)用戶(hù)　732
24.2　案例研究的配置　732
24.2.1　邊緣路由器的配置　733
24.2.2　Internet遠(yuǎn)程訪(fǎng)問(wèn)配置　739
24.2.3　主要園區(qū)無(wú)線(xiàn)的配置　749
24.3　總結(jié)　756