IPSec VPN设计

目　录

第1章　VPN简介　1

1.1　部署VPN的动机　1

1.2　VPN技术　3

1.2.1　第2层VPN　3

1.2.2　第3层VPN　4

1.2.3　远程接入VPN　5

1.3　总结　7

第2章　IPSec概述　9

2.1　加密术语　10

2.1.1　对称算法　10

2.1.2　非对称算法　10

2.1.3　数字签名　12

2.2　IPSec安全协议　13

2.2.1　IPSec传输模式　13

2.2.2　IPSec隧道模式　14

2.2.3　封装安全有效负载(ESP)　15

2.2.4　验证报头(AH)　16

2.3　密钥管理和安全关联　17

2.3.1　Diffie-Hellman密钥交换　18

2.3.2　安全关联及IKE工作原理　19

2.3.3　IKE Phase 1的工作原理　21

2.3.4　IKE Phase 2的工作原理　25

2.3.5　IPSec分组的处理　27

2.4　总结　33

第3章　增强的IPSec特性　35

3.1　IKE存活消息　35

3.2　失效对等体检测　36

3.3　空闲超时　41

3.4　反向路由注入　43

3.5　有状态故障切换　49

3.5.1　SADB传输　49

3.5.2　SADB同步　50

3.6　IPSec和分段　57

3.6.1　IPSec和PMTUD　58

3.6.2　先行分段　60

3.7　GRE和IPSec　61

3.8　IPSec和NAT　66

3.8.1　NAT对AH的影响　66

3.8.2　NAT对ESP的影响　67

3.8.3　NAT对IKE的影响　67

3.8.4　IPSec和NAT共存问题解决方案　67

3.9　总结　76

第4章　IPSec认证和授权模型　79

4.1　扩展认证和模式配置　79

4.2　模式配置　82

4.3　简易VPN　84

4.3.1　EzVPN客户模式　84

4.3.2　网络扩展模式　87

4.4　在IPSec VPN中使用数字证书　90

4.4.1　数字证书　91

4.4.2　申请证书　91

4.4.3　撤销证书　92

4.5　总结　94

第5章　IPSec VPN架构　97

5.1　IPSec VPN连接模型　97

5.1.1　IPSec模型　98

5.1.2　GRE模型　99

5.1.3　远程接入客户模型　99

5.1.4　IPSec连接模型小结　100

5.2　星型架构　101

5.2.1　使用IPSec模型　102

5.2.2　GRE模型　113

5.2.3　远程接入客户连接模型　128

5.3　全互联架构　137

5.3.1　本征IPSec连接模型　138

5.3.2　GRE模型　144

5.4　总结　148

第6章　设计容错的IPSec VPN　151

6.1　链路容错　151

6.1.1　主干网络的容错　152

6.1.2　接入链路的容错　152

6.1.3　接入链路容错小结　165

6.2　IPSec对等体冗余　165

6.2.1　简单对等体冗余模型　165

6.2.2　使用HSRP的虚拟IPSec对等体冗余　169

6.2.3　IPSec有状态切换　171

6.2.4　使用GRE的对等体冗余　174

6.2.5　使用SLB的虚拟IPSec对等体冗余　178

6.2.6　服务器负载均衡的概念　179

6.2.7　使用SLB的IPSec对等体冗余　179

6.2.8　使用Cisco VPN 3000集群来实现对等体冗余　184

6.2.9　对等体冗余小结　185

6.3　机架内部的IPSec VPN服务冗余　185

6.3.1　无状态IPSec冗余　185

6.3.2　有状态IPSec冗余　186

6.4　总结　186

第7章　站点到站点IPSec VPN的自动配置架构　189

7.1　IPSec隧道端点发现　189

7.1.1　TED的工作原理　190

7.1.2　TED的局限性　192

7.1.3　TED的配置和状态　193

7.1.4　TED容错　196

7.2　动态多点VPN　198

7.2.1　多点GRE接口　200

7.2.2　下一跳解析协议　202

7.2.3　动态实例化IPSec代理　205

7.2.4　建立动态多点VPN　206

7.2.5　DMVPN架构冗余　216

7.2.6　DMVPN模型小结　221

7.3　总结　222

第8章　IPSec和应用的互操作性　225

8.1　支持QoS的IPSec VPN　226

8.1.1　IP QoS机制概述　226

8.1.2　IPSec对分类的影响　227

8.1.3　IPSec对QoS策略的影响　232

8.2　VoIP应用对IPSec VPN的要求　233

8.2.1　延迟的影响　233

8.2.2　抖动的影响　234

8.2.3　分组丢失的影响　235

8.3　针对VoIP的IPSec VPN架构考虑　236

8.3.1　分离VoIP和数据的架构　236

8.3.2　IPSec远程接入网络上的VoIP　238

8.3.3　IPSec保护的GRE架构上的VoIP　239

8.3.4　VoIP星型架构　240

8.3.5　DMVPN架构中的VoIP　241

8.3.6　VoIP流量工程小结　243

8.4　IPSec VPN上的多播　243

8.4.1　IPSec保护的GRE上的多播　243

8.4.2　全互联点到点GRE/IPSec隧道上的多播　245

8.4.3　DMVPN和多播　247

8.4.4　多播组安全　248

8.4.5　多播加密小结　251

8.5　总结　252

第9章　基于网络的IPSec VPN　255

9.1　基于网络的VPN的基础知识　255

9.2　基于网络的IPSec解决方案：IOS特性　258

9.2.1　虚拟路由选择和转发表　258

9.2.2　加密密钥链　258

9.2.3　ISAKMP描述　259

9.3　基于网络的IPSec VPN的工作原理　261

9.3.1　在PE上使用单个IP地址　261

9.3.2　前门VRF和内部VRF　261

9.3.3　配置和分组传输流程　262

9.3.4　使用不同的IP地址端接不同VPN中的IPSec隧道　280

9.4　基于网络的VPN部署方案　282

9.4.1　通过GRE隧道以IPSec方式连接到MPLS VPN　282

9.4.2　以IPSec方式连接到第2层VPN　288

9.4.3　PE-PE加密　292

9.5　总结　296

IPSec VPN设计的指导手册安全VPN通信的IPSec协议设计开山之作帮助读者部署高效、安全的VPN解决方案IPSec是一种流行的VPN技术，有关IPSec协议的技术细节和产品级配置的图书很多，但都没有讨论IPSec VPN总体设计方面的问题，《IPSec VPN设计》旨在填补这一空白，帮助读者在各种环境中部署高效、安全的IPSec VPN解决方案。　　《IPSec VPN设计》详细讨论了IPSec VPN设计，引导读者深入理解大型IPSec VPN解决方案的设计和架构。《IPSec VPN设计》共分为三部分，第一部分全面介绍了 IPSec 架构，包括 IPSec 协议及 Cisco IOS IPSec实现细节；第二部分讨论了IPSec VPN设计原则，包括星型(hub-and-spoke)和全互联拓扑及容错设计，还介绍了用于简化IPSec VPN配置的动态配置模型；第三部分讨论了在IPSec VPN中支持语音和多播等应用涉及的问题，探讨了如何高效地集成IPSec VPN和MPLS VPN。　　《IPSec VPN设计》适合从事IPSec VPN设计、部署和故障排除的网络从业人员阅读，也适合备考Cisco相关认证的考生阅读。【作者简介】Vijay Bollapragada，CCIE #1606，是Cisco公司网络系统集成与测试工程组的高级经理，致力于复杂网络解决方案的体系结构、设计和验证工作。Mohamed Khalid，CCIE #2435，是Cisco公司负责IP VPN解决方案的一名技术领导。他与全球的服务提供商以及与其相关的Cisco客服团队展开广泛合作，以针对不同的IP VPN体系结构确定其技术和工程需求。Scott Wainner，是Cisco公司美国服务提供商销售部门的一位杰出的系统工程师，致力于VPN体系结构和解决方案的开发。凭借他在这方面的专长，他为客户提供了IP VPN体系结构方面的指导，并推动着Cisco公司内部的开发计划。