Triển khai hệ thống VPN có IPSEC

Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 1

Chương 1: Tổng Quan Về VPN
1 Tổng Quan.
Cùng vi s phát trin mnh m ca nn công nghip, nhu ci thông tin,
d liu gia nhng t chc, công ty, tp th và các cá nhân tr nên bc thit vì vy
. Mi s dng máy tính kt ni Internet thông qua nhà cung
cp dch v (ISP  Internet service Provide), s dng mt giao thc chung là TCP/IP.
u mà k thut còn tip tc phi gii quyc truyn thông ca mng vin
thông công cng. Vi Internet, nhng dch v c tuyn, giáo dc t xa
n trc tuy nên d dàng. Tuy nhiên Internet có phm vi toàn cu
và không t chc hay chính ph nào có th qun lý , cho nên vim bo an toàn và
bo mt d liu hay qun lý các dch v là mt v ln cn phi gii quyt. T 
các nhà khoa ht mô hình mng mi, nhng
c nhu cu trên mà vn tn d h t
mng riêng o (VPN  Virtual Private Network ). Vi mô hình này, chúng ta không
phu trang thit b  h tng mà vm bo các tính
o m tin cng thi có th qun lý riêng hong ca mng này.
VPN cho phi s dng làm vic t
chi nhánh có th kt nn máy ch ca t chc mình b h tng
c cung cp bi mng công cm bo an toàn thông tin gia các t chc,
công ty hoc chi nhái cung ci tác kinh doanh trong
ng truyn thông rng ln.
c tính quan trng nht ca VPN là có th s dc mng công
cm báo tính bo mt và tit kim chi phí.
1.1 Lịch sử phát triển của VPN
S xut hin mng chuyên dùng o, còn gi là mng riêng o (VPN), bt ngun
t yêu cu ca khách hàng (client), mong mun có th kt ni mt cách có hiu qu
vi các t     i vi nhau thông qua mng din rng (WAN).
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c

SVTH: ng Th Cm Li  Trp Trang 2

c kia, h thn thoi nhóm hoc là mng cc b c kia s dng
ng thuê riêng cho vic t chc m thc hin vic thông tin
vi nhau.
Các mu s phát trin ca VPN:
-       ch v Colisee, cung cp dch v dây
chuyên dùng cho các khách hàng ln. Colisee có th cung cc gi
s chuyên dùng cho khách hàng. Dch v  ng dch v 
c phí và nhin lý khác.
-          ch v VPN có tên riêng là
mng phn mm SDN.
- 
-  i chic phí dch v VPN  M, làm cho mt s xí
nghip va và nh chu nc phí s dng VPN và có th tit kim gn 30%
 phát trin nhanh chóng dch v này ti M.
- ch v quc t IVPN là GSDN.
- ch v VPN quc t VPN; Telstra ca Ô-
xtrây-li-   u tiên  khu vc châu Á  Thái

- n thông Hà Lan và Telia Thu n thành lp công ty hp tác
p dch v VPN.
- n thông Singapo tuyên b thành lp Liên minh
toàn cu Worldparners, cung cp hàng lot dch v quc tch v
VPN.
-   p công ty h   p
dch v VPN, dch v chuyn ti
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 3

-   ITU-   n ngh F-16 v dch v VPN toàn cu
(GVPNS).
-       c (Deustch Telecom), Vin thông Pháp
(French Telecom) kt thành liên minh Global One.
-  coi là mc r i vi công ngh VPN, Công ngh
này có mt trên khp các tp chí khoa hc công ngh, các cuc hi th
mng VPN xây d h tng mng Internet công ci
mt kh i, mt cái nhìn mi cho VPN. Công ngh VPN là gii pháp
thông tin t chc có nhia
chn. Ngày nay, vi s phát trin ca công ngh   h tng mng IP
(Internet) ngày mt hoàn thi a VPN ngày mt hoàn
thin.
Hin nay, VPN không ch dùng cho dch v thoi mà còn dùng cho các dch v d
liu, hình nh và các dch v n.
1.2 Định nghĩa VPN
c hin là s m rng ca mt mng riêng (Private Network)
thông qua các mng công cng. V n, mi VPN là mt mng riêng r s dng
mt mng là Int kt ni cùng vi các site (các mng riêng l)
hay nhii s dng t xa. Thay cho vic s dng kt ni th
ng leased-line, mi VPN s dng các kt ni c dng Internet t
mng riêng ca các công ty ti các site các nhân viên t  có th gi và nhn d
liu thông qua mng công cng mà vm bo tính an toàn và bo mt, VPN cung
c mã hóa d ling truyn to ra mng ng bo mt gia
i gi là Tunnel , Tunnel git kt ni point-to-point trên
m có th to ra mng ng bo m liu phc mã hóa
 gi cung cp phu gói tin (header) là thông tin v 
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 4

cho phép nó có th ng công cng mt cách nhanh chng. d

lic mã hóa mt cách cn thu các packet b bng truyn
công c c n gii mã, liên kt vi d
lic gi là kt nng kt nng
c gng ng VPN (Tunnel).

Hình 1: Mô Hình Kết Nối VPN.
1.3 Các thành phần tạo nên VPN.
 trin khai mt h thng VPN bn cn có mt s thành ph  n sau,
c to ra h thng VPN thì mi s có mt s la chn thành phn khác
 phù hp vi công ty hay ma mi.
1.3.1 VPN client



Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 5


       

hàng.

 



1.3.2 VPN Server
     
VPN.              


VPN.
 
 


1.3.3 IAS Server
      
 (Remote Authentication Dial In User Service). RADIUS là
 nhà


Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 6


 International Accounting Standards ) . 
trên Windows Server 2008.
1.3.4 Firewall


 Chúng ta




 
 
 
proxy VPN.     
ISA.  



1.3.5 Chọn một Giao thức Tunneling

 
             
nhiên mà có.  
 l
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 7


quy
 

 


     

1.3.6 Authentication Protocol

 -CHAP v2. MS-
 
là MS-CHAP.
1.4 Lợi ích và Hạn chế của việc sử dụng VPN.
1.4.1 Lợi ích.
Vic s dng mng riêng o là mt nhu cu và là xu th ca công ngh truyn
thông bi vì nó có mt s 
 Gim thiu chi phí trin khai và duy trì h thng:

- Vi VPN vic trin khai h th nhu cu truyn ti hay tính
bo mt an toàn d li vì VPN gim thiu t
ng truy tn dng li h thng mng Internet
có sn.
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 8

- Phí duy trì h tht v i VPN phí duy trì
rt r  na bng vic thuê h tng có sn ca các công ty dch v
Internet thì chi phí duy trì s i.
 Ci thin kt ni.
- t qua b lc chn truy cp Web: VPN là mt la chn t có th t
c b lc Internec s dng nhiu ti
mt s c có s kim duyt Internet kht khe.
- Via ch IP: Nu mui IP khác thì VPN có th giúp
u này vic này giúp ta có th che da ch ca mình
c s xâm h xu ca nhng hacker (k tn công, tin tc)
bên ngoài mng.
 An toàn trong giao dch.
- Vii thông tin trong công vic là nhiu và liên t bo
mt thông tin thì cc kì quan trng, vi VPN chúng ta s không phi lo lng
quá nhiu v vi d gi liu s c mã
hóa và thông tin d lic bo bc bi gói tin Header (phu gói tin
a ch u - cui ca gói tin) và truya vào Internet.
- ng tt vic chia s gói tin và d liu trong mt thi gian dài.
 Kh u khin t xa.
- Thi hin nay, Mi làm vic mun tit kim thi gian và gim chi
phí, vì vy vic m i làm vic ti nhà mà vn có th gii quyt tt
nhng công vic ca h thì tht là tuyt vi. Vi dùng có th truy
cp vào h thng mng t b nhà thm chí là mt quán coffe ch cn

  thng VPN s dng Internet), vì vy nó rt có li
i cho vic thc hin công vic t xa.
 Kh  rng h thng tt.
-    xây dng mt h thng m i chuyên dng (s dng cáp
mng) cho mu có th là hp lý, tuy nhiên công ty ngày càng
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 9

phát trin nhu cu m rng h thng mng là cn thit vì vy VPN là mt la
chn hp lý bi vì VPN không ph thuc quá nhiu vào v  th
nói mn là khi mun m rng thì ch cn tng ng
(tunnel) kt n tng Internet có sn.
1.4.2 Hạn chế.
Mc dù ph bing riêng o (VPN) không hn là hoàn ho và hn
ch thì luôn luôn tn ti trng bt kì h thng mng nào. Mt s hn ch c
khi trin khai h thng VPN:
 i s hiu bit chi tit v v an ninh mng, vic cu hình và cài
t phi cn thm bo tính an toàn trên h thng mng Internet
công cng.
  tin cy và hiu xut ca mt VPN da trên Internet không phi s
kim soát trc tip ca công ty , vì vy gii pháp thay th là hãy s dng mt
nhà cung cp dch v (ISP) tt và chng.
 Vic s dng các sn phm VPN và các gii pháp ca các nhà cung cp khác
nhau không ph v tiêu chun công
ngh VPN. Khi s dng pha trn và kt hp các thit b s có th gây ra nhng
v k thut hoc nu s d lãng phí rt nhiu chi phí
trin khai h thng.
 Mt hn ch m rt khó tránh khi c bo mt
cá nhân, bi vì vic truy cp t xa hay vic nhân viên kt ni vi h th
phòng bu máy tính ca h

thc hin hàng lot các ng dng khác, ngoài vic kt ni t
vic thì hacker (k tn công, tin tc) có th li dng ym t máy tính cá
nhân ca h tn công vào h thng ca công ty. Vì vy vic bo mt cá nhân
c các chuyên gia khuyn cáo phm bo an toàn.
1.5 Chức Năng của VPN.
Mt s cha VPN :
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 10

 Độ tin cậy (Confidentiality): i gi có th mã hóa các gói d lic
khi truyn chúng ngang qua mng. B truy nhp
c cho phép, nu lc
c mã hóa.
 Tính toàn vẹn dữ liệu (Data Integrity): i nhn có th kim tra d liu
nhc sau khi truyn qua Internet có b i hay không.
 Xác thực nguồn gốc (Origin Authentication): Khi nhc d liu mà
u tiên phi làm là xác thc ngn gc ca d lii dùng
xác thc thông tin, ngun gc ca d liu.
1.6 Phân loại mạng VPN
Mi vi công ngh mng VPN là tho mãn ba yêu cn sau:
 Ti mi thm, các nhân viên ca công ty có th truy nhp t xa hoc di
ng vào mng ni b ca công ty.
 Ni ling.
 Kh u khic quyn truy nhp ca khách hàng, các nhà cung
cp dch v hong bên ngoài khác.
Da vào nhng yêu cn trên, mng riêng c phân làm ba loi:
 Mng VPN truy nhp t xa (Remote Access VPN)
 Mng VPN cc b (Intranet VPN)
 Mng VPN m rng (Extranet VPN)

1.6.1 Mạng VPN truy nhập từ xa (Remote Access VPN)
Các VPN truy nhp t xa cung cp kh p t xa. Ti mi thi
ng có kh i, truy nhp
vào mng ca công ty. Kiu VPN truy nhp t xa là kin hình nht. Bi
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 11

vì, nhng VPN này có th thit lp bt k thm nào, t bt c 
mng Internet.
VPN truy nhp t xa m rng mng công ty ti nhi s dng thông
 h tng chia s chung, trong khi nhng chính sách mng công ty vn
duy trì. Chúng có th   cung cp truy nhp an toàn t nhng thit b di
ng, nh i s d  ng, nhng chi nhánh và nhng bn hàng ca
công ty. Nhng kic thc hi h tng công cng
bng cách s dng công ngh ISDN, quay sng, DSL và công ngh cáp
ng yêu cu mt vài kiu phn mm client chy trên máy tính ci s
dng.

Hình 2 : Mô hình mạng VPN truy nhập từ xa
a) Các ưu điểm của mạng VPN truy nhập từ xa:
 Mng VPN truy nhp t xa không cn s h tr ca nhân viên mng bi vì
quá trình kt ni t c các ISP thc hin.
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 12

 Gic các chi phí cho kt ni t khong cách xa bi vì các kt ni
kho   c thay th bi các kt ni cc b thông qua mng
Internet.
 Cung cp dch v kt ni giá r cho nhi s dng  xa.
 Bi vì các kt ni truy nhp là ni b nên các Modem kt ni hong 

t i các truy nhp khong cách xa.
 VPN cung cp kh p tn các site ca công ty bi vì
chúng h tr mc thp nht ca dch v kt ni.


b) Nhược điểm của mạng VPN truy cập từ xa:
 Mng VPN truy nhp t xa không h tr các dch v m bo QoS.
  mt d li b phân phát
c mt gói.
 Bi vì thut toán mã hoá phc t   giao th mt cách
.
1.6.2 Mạng VPN cục bộ ( Intranet VPN)
Các VPN cc b c s d bo mt các kt ni gim
khác nhau ca mt công ty. Mng VPN liên kt tr s 
nhánh trên m h tng chung s dng các kt ni luôn c mã hoá bo
mu này cho phép tt c m có th truy nhp an toàn các ngun d
lic phép trong toàn b mng ca công ty.
Nhng VPN này vn cung cp nh c tính ca m   
 rng, tính tin cy và h tr cho nhiu kiu giao thc khác nhau vi chi
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 13

phí thm bo tính mm do. Kic cu hình
t VPN Site- to- Site.
v¨n phßng ë xa
Router
InternetInternet
POPPOP
Remote site
Central site

or
PIX Firewall
Văn phòng
trung tâm

Hình 3: Mô hình mạng VPN cục bộ
a) Những ưu điểm chính của mạng cục bộ dựa trên giải pháp VPN bao
gồm:
- Các mi cc b hay toàn b có th c thit lp (vu kin mng
thông qua mt hay nhiu nhà cung cp dch v).
- Gic s nhân viên k thut h tr trên mi vi nh
- Bi vì nhng kt nc thc hin thông qua mng Internet, nên nó
có th d dàng thit lp thêm mt liên kt ngang cp mi.
- Tit kic t nhng lc bng cách s dng
ngm VPN thông qua Internet kt hp vi công ngh chuyn mch t cao.
Ví d gh Frame Relay, ATM.
b) Nhược điểm chính của mạng cục bộ dựa trên giải pháp VPN :
- Bi vì d lic truyng công cng  mng Internet  cho
nên vn còn nhng m m bo mt d liu và m cht
ng dch v (QoS).
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 14

- Kh  các gói d liu b mt trong khi truyn dn vn còn khá cao.
- ng hp truyn dn khng ln d lin, vi yêu
cu truyn dn t m bo thi gian thc là thách thc ln trong
ng Internet.
1.6.3 Mạng VPN mở rộng (Extranet)
Không ging VPN cc b và mng VPN truy nhp t xa, mng
VPN m rng không b cô lp v gic t mng VPN m

rng cung cp kh u khin truy nhp ti nhng ngun tài nguyên mng
cn thi m rng nhi ti tác, khách hàng,
và các nhà cung c

Intranet
DSL
cable
Extranet
Business-to-business
Router
InternetInternet
POPPOP
Remote site
Central site
or
PIX Firewall



trung tâm
DSL

Hình 4: Mô hình mạng VPN mở rộng
Các VPN m rng cung cp mng hm bo mt gia các khách hàng, các
nhà cung ci tác qua m h tng công cng. Kiu VPN này s dng
các kt nc bo mc ct VPN SitetoSite. S
khác nhau gia mt VPN cc b và mt VPN m r truy cp mc
công nhn  mu cui ca VPN.
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 15

a) Những ưu điểm chính của mạng VPN mở rộng:
- 
-  
- 


-  


a) Nhược điểm của mạng VPN mở rộng :
- 

-  

Internet.
- 
2 Các giao thức sử dụng trong VPN.
2.1 Bộ giao thức IPSec.
Internet Protocol Security (IPSec) là mt b giao thc bo mt (Internet Protocol
-IP) thông tin liên lc, bng cách xác thc và mã hóa mi gói tin IP ca mt phiên
giao dm các giao thc cho vic thit lp xác thc ln nhau gia
i lý trong các phiên giao dng cách s dng các key mã hóa.
IPSec là m   u hành bo mt end-to-end trong các Layer
Internet (lp kt ni internet) ca Internet Protocol Suite (IPS - giao thc chun trong
c s d vic bo v lung d liu gia mt cp máy (host-to-
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 16

host), gia hai mng (network-to-network), hay gia mt mng vi mt máy ch

(network-to-host).
Ngun gc phát trin ti phòng thí nghim Nghiên cu hi
quân và là mt phn ca d án nghiên cu ca DARPA (Defense Advanced Research
Projects Agency -  tiên tin ca b quc phòng M ). Trong
c bt ngun trc tip th giao thc SP3D, ch không phc bt
ngun t lt ca giao
thi NIST(National Institute of Standards and Technology 
Vin tiêu chun và công nghc thit k  bo mt h thng mng
b    inh Quc gia (NSP), IPSec AH bt ngun t các tiêu chun
IETF(Internet Engineering Task Force).
2.1.1 Kiến Trúc.
B giao thc IPSec là mt tiêu chun m, IPSec s dng các giao th thc
hin các chm các thành phn sau:
 Authentication Header(AH): cung cp kt ni an toàn và xác thc ngun gc
d lio v chng li các cuc tn công.
 Encapsulating Security (ESP): Cung cp bo mt, xác thc ngun gc d liu,
kt ni toàn vn, kim soát các lung d liu mt cách an toàn.
 Security Associations (SA):Cung cp nhng thut toán và thông s cn thi
AH và ESP ho    t cách th  i khóa ( ISAKMP-
Internet Security Association and Key Management Protocol) tính toán và
cung cp khóa chia s (Pre-  
IKEv2, KINK (Kerberized Internet Negotiation of Keys), hoc IPSECKEY.

Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 17



Hình 5: Sơ đồ các thành phần của IPSec và luồng dịch chuyển.

2.2 Giao thức PPTP và L2TP và SSTP .
2.2.1 Giao thức PPTP (Point-to-Point Tunneling Protocol).
PPTP là mc ca mng riêng c phát trin bi Microsoft kt
hp vi mt s công ty khác, nó s dng mu khin qua giao thc TCP và
ng h      liu PPP (Point-to-Point). PPTP là mt
phn ca các tiêu chun Internet Point-to-Point (PPP), PPTP s dng các loi xác
th-CHAP, và EAP).
PPTP thit l ng h p mã hóa, nó mã hóa bng
cách s dng giao thc Microsoft Point-to- to ra mt
   i thu này gii thích ti sao PPTP
c s dng nhiu bi các khách hàng ca Microsoft.
a) Nguyên tắc hoạt động của PPTP.



Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 18

sang máy khác.







PPTP khách có 



 


 
 
 



 






 
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 19




gán 





 



  

               


b) Nguyên tắc kết nối điều khiển đường hầm theo giao thức PPTP.
 






c) Nguyên lý đóng gói dữ liệu đường hầm PPTP.
nh tuyn chung GRE.Phn ti ca khung PPP
  to ra khung PPP. Khung
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 20

i ph ca phiên bn giao thc GRE si.
GRE là giao thchung, cung c  li nh tuyn
qua mi vi PPTP, ph cc si mt s 
là. Mng xác nhc thêm vào. Mt bits xác nhc s
d ch nh s có mt cng xác nhn 32 c thay th
b ng ch s cuc gng ch
s cuc gc thit lp bi máy trm PPTP trong quá trình khi tng hm.

Trong khi truyn ti phn t Gi

m IP cha ch ngup cho máy trm và
máy ch PPTP.
p liên kt d liu
 có th truyn qua mng LAN hay WAN thì gói tin IP cui cùng s 
gói vi m và phn cui ca lp liên kt d liu  giao din vu ra.
ng LAN thì ni qua giao din Ethernet, nó s
c gói vi ph c gng
truym tm nó s ói vi ph a giao
thc PPP.
-  


- 
               



Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 21

- 


- 
- 

- 
- 


d) Nguyên tắc thực hiện gói tin dữ liệu tại đầu cuối đường hầm PPTP.


- 
tin.
- 
- 
- 
- 
e) Tính năng và hạn chế của PPTP.
 Tính năng :
- PPTP to ra nhiu kt ni gia các khách hàng mà không yêu cu dch v
c bit ISP.
- PPTP phù hp trên nhiu h u hành thông dng. (Microsoft ,Nortel

- PPTP h tr các dch v IP, mã hóa các gói tin RC4 (56 bit hoc 128 bit),
s dng port 1723 và các giao thc GRE.
Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 22

 Một số hạn chế:
  
     
 
        



2.2.2 Giao thức đĩnh đường hầm lớp 2 (Layer 2 Tunneling Protocol).






          
PPP.
 
kh

 
).



Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 23

 







      


a) Các thành phần của L2TP.
             

          
Network Server (LNS).
 Network Access Server (NAS)
- -


P


 .
 Bộ tập kết truy cập L2TP (LAC)
- 

Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 24



 L2TP Network Server (LNS)
- 






b ) Qui trình xử lý L2TP.



Bước 1: 

Bước2: 


Bước3: 

Bước4: -


Bước 5: 



Trin Khai H Thng VPN có IPSEC GVHD: Trn N c
SVTH: ng Th Cm Li  Trp Trang 25

dùng và LAC.
Bước 6: 



thông báo.
Bước 7:  




 




c) Dữ liệu đường hầm L2TP.
             
              
tunneling:
 


 

 


