《電腦及網路管理及除錯》由会员分享，可在线阅读，更多相关《電腦及網路管理及除錯（55页珍藏版）》请在金锄头文库上搜索。
1、,Insights and Answers for IT Professionals http:/ 2000通訊服務 建構安全的VPN網路環境,唐任威 台灣微軟顧問 (恆逸資訊教育訓練處),本課程假設您,已具備以下基本技術知識: 網路基本相關概念，如OSI 7 Layer、TCP/IP Windows 2000 操作及設定 Windows 2000 Active Directory 電腦及網路管理及除錯 這是 TechNet Level 200 的課程,企業網路應用環境的規劃 撥接式(Dial-up)環境 專線式(Leased line)環境 網際網路與分封交換式(Packet switchi
2、ng)環境 虛擬私人網路 (VPN) 的原理剖析及實務運用 PPTP (Point-to-Point Tunnel Protocol) L2TP (Layer 2 Tunnel Protocol) IPSec (IP Security),講座大綱,企業網路應用環境的規劃,撥接式(Dial-up)環境 專線式(Leased line)環境 網際網路與分封交換式(Packet switching)環境,撥接式環境,Corporate Office,Access Server,Remote User,撥接式環境的現況,以Dial-up Network Access Box 存取企業網路 搭配ISP以
3、解決企業需在各地建立撥接點 優點 用戶端設定簡單、使用容易 缺點 長途撥接，費用偏高 使用者驗證用帳號無法集中 ，造成管理的負擔過重,IAS/RAS 集中管理撥接使用者帳號,RRAS(Routing & Remote Access Service) IAS(Internet Authentication Service),Corporate Office,Remote User,Active Directory,IAS Server,RAS Server,專線式環境,Lease Line,Branch Office,Corporate Office,Business Partner,Lease
4、 Line,專線式環境的現況,企業中不同的地點以私有專線連接(Intranet) 不同的企業之間以私有專線連接(Extranet) 優點 私有網路，隱密性較高 缺點 成本偏高(價格與距離、頻寬成正比) 企業中較敏感的資料被竊取的機會仍舊偏高(如人事、財務等資料),IPSec 確保專線式環境資料傳輸安全,Lease Line,Branch Office,Corporate Office,Business Partner,Lease Line,網際網路與分封交換式(Packet switching)環境,網際網路與分封交換式環境的現況,企業與ISP連結存取Internet網路資源 企業以公眾網路(
5、如Frame Relay, X.25等)做為Intranet連接方式 優點 成本低廉 缺點 無法保障資料的完整性及隱密性，較無安全可言,VPN Service (RRAS) 確保網際網路與分封交換式網路環境資料傳輸安全,Internet or Frame Relay,香港,北京,台北,東京,紐約,VPN Server,VPN Server,VPN Server,VPN Server,VPN Server,虛擬私人網路 (VPN) 的剖析,VPN (Virtual Private Network) VPN的特性 VPN的元件 VPN的協定 PPTP (Point-to-Point Tunnel
6、Protocol) L2TP (Layer 2 Tunnel Protocol) IPSec (IP Security),VPN的特性,將開放的網路模擬為私人的網路使用 Encapsulation 讓資料透過媒介網路傳輸 Authentication 確認使用者的身分、 保障資料的完整 Data encryption 確保資料的安全,VPN的元件,Transit internetwork VPN server VPN client Tunnel Tunneling protocols VPN connection Tunneled data,VPN的協定,PPTP (Point-to-Poin
7、t Tunnel Protocol) L2TP (Layer 2 Tunnel Protocol) IPSec(IP Security),VPN(Virtual Private Network) PPTP (Point-to-Point Tunnel Protocol) PPTP的運作原理 PPTP的驗證及加密 PPTP的運用 PPTP的設定 L2TP (Layer 2 Tunnel Protocol) IPSec (IP Security),虛擬私人網路 (VPN) 的剖析,第二層的協定 PPP(Point to Point)的延伸 可封裝LAN 的協定，如IP, IPX, NetBeui
8、利用IP network 傳輸資料 使用MPPE(Microsoft Point to Point Encryption)進行資料加密,Point-to-Point Tunnel Protocol,PPTP的運作原理,資料由第三層送至第二層的PPTP Driver加密 由第二層的PPTP Driver回送至第三層重新封裝 定址後依正常程序送至第一層傳輸,PPTP的驗證及加密,PPTP的使用者驗證方式採用PPP的驗證方式 PAP, SPAP, CHAP, MS-CHAP V1, V2, and EAP PPTP使用MPPE進行資料的加密 只有採用MS-CHAP V1 or 2 or EAP-TL
9、S的驗證方式才能用MPPE進行資料加密,PPTP的運用時機,單一使用者對遠端網路的 資料存取，適用於 Win98/NT4 Client 網路對網路的資料存取,PPTP 的設定 Client to Gateway,VPN Client(W98User)的設定 安裝虛擬私人網路配接卡 VPN Server(HQ_VPN)的設定 啟動RRAS服務 設定addressing (static address pool or DHCP) 設定RAS Policy (Dial in Permission) 驗證 Client端建立撥號網路設定並撥號 存取資源 Client & RRAS Server檢視連線
10、狀態,PPTP 的設定 Gateway to Gateway(1),HQ_VPN Server的設定 啟動RRAS服務 設定addressing(static address pool or DHCP) 設定RAS Policy (Dial in Permission) 新增VPN demand-dial撥號介面 新增靜態路由(static route),PPTP 的設定 Gateway to Gateway(2),BR_VPN Server的設定 啟動RRAS服務 設定addressing(static address pool or DHCP) 設定RAS Policy (Dial in
11、Permission) 新增VPN demand-dial撥號介面 新增靜態路由(static route) 驗證 Client端設定Default Gateway Client端存取資源(觸發撥號) Server端檢視連線狀態,PPTP 的設定,HQ_Mail 172.16.1.100,Branch 192.168.100.0/24,HQ 172.16.1.0/24,BR_VPN 210.30.100.18/30 192.168.100.254/24,HQ_VPN 202.100.25.18/30 172.16.1.254,Mobile User 210.60.45.15/24,Intern
12、et,HQ User 172.16.1.10,BR User 172.16.1.10,VPN(Virtual Private Network) PPTP (Point-to-Point Tunnel Protocol) L2TP (Layer 2 Tunnel Protocol) L2TP的運作方式 L2TP的驗證及加密 L2TP的運用 L2TP的設定 IPSec (IP Security),虛擬私人網路 (VPN) 的剖析,第二層的協定 可封裝LAN 的協定，如IP, IPX, NetBeui 可利用IP, X.25, ATM, Frame Relay傳輸資料 使用IPSec進行資料加密,L
13、ayer 2 Tunnel Protocol,L2TP的運作原理,資料由第三層送至 第二層的 L2TP Driver封裝 由第二層的 L2TP Driver回送至第三層經由IPSec加密並定址 定址後依正常程序送至第一層傳輸,L2TP的驗證及加密,L2TP的驗證方式分為二階段，電腦驗證 及使用者驗證 電腦的驗證是採certificate base，當IPSec進行 SA的建立同時完成 使用者的驗證方式採用PPP的驗證 EAP, MS-CHAP V1, V2, CHAP, SPAP, and PAP L2TP使用IPSec來進行資料的加密 DES with a 56-bit key Triple
14、 DES (3DES),L2TP的運用時機,單一使用者對遠端網路 的資料存取， 適用於W2K Client 網路對網路的資料存取,L2TP 的設定 Client to Gateway(1),VPN Client(W2KUser)的設定 申請並安裝數位憑證 (Client Authentication Certificate) http:/ VPN Server(HQ_VPN)的設定 申請並安裝數位憑證 (Client Authentication Certificate) 啟動RRAS服務 設定addressing (static address pool or DHCP) 設定RAS Pol
15、icy (Dial in Permission),L2TP 的設定 Client to Gateway(2),驗證 Client端建立撥號網路設定並撥號 存取資源 Client & RRAS Server檢視連線狀態 IPSec Monitor (ipsecmon.exe),L2TP 的設定 Gateway to Gateway(1),HQ_VPN Server的設定 申請並安裝數位憑證 (Client Authentication Certificate)啟動RRAS服務 設定addressing(static address pool or DHCP) 設定RAS Policy (Dial
16、 in Permission) 新增VPN demand-dial撥號介面 新增靜態路由(static route),L2TP 的設定 Gateway to Gateway(2),BR_VPN Server的設定 申請並安裝數位憑證 (Client Authentication Certificate)啟動RRAS服務 設定addressing(static address pool or DHCP) 設定RAS Policy (Dial in Permission) 新增VPN demand-dial撥號介面 新增靜態路由(static route),L2TP 的設定 Gateway to Gateway(3),驗證 Client端設定Default Gateway Client端存
