Tiểu luận môn mạng máy tính Tìm hiểu về Virtual Private Network (VPN)

1
Môn: Mạng máy tính
Đề tài: Tìm hiểu về Virtual Private Network
(VPN)
• Nhóm: BQV
Mở đầu
Hiện nay nền kinh tế nước ta đang trên con đường phát triển mạnh, các doanh nghiệp,
công ty có xu hướng mở chi nhánh phân bố các nơi khác nhau. Điều đó đã thu của các
doanh nghiệp một khoản chi phí không nhỏ. Vì thế một vấn đề cấp thiết đặt ra là phải
thiết kế một mạng máy tính có khả năng tăng cường thông tin từ xa trên địa bàn hoạt
động rộng (trên toàn quốc hay toàn cầu). ngoài ra tài nguyên ở trung tâm có thể kết nối
đến từ nhiều nguồn để tiết kiệm được chi phí và thời gian. VPN ra đời đáp ứng tất cả các
yêu cầu trên.
Cụm từ Virtual Private Network hay tạm dịch là mạng riêng ảo, thường gọi tắt là VPN,
thực sự bùng nổ vào năm 1997 và càng ngày càng có nhiều nhà cung cấp đưa ra những
giải pháp riêng về VPN cho những khách hang của họ, trên các tạp chí chuyên đề, trên
Internet, ở đâu chúng ta cũng có thể bắt gặp những bài báo, những hội thảo lien quan đến
VPN cũng như các sản phẩm hỗ trợ cho VPN. Do đó VPN có một vị trí quan trọng trong
nền kinh tế hiện nay và trong tương lai. Tuy nhiên nó lại chưa được biết đến đầy đủ và
chi tiết, vì vậy nhóm em quyết định chọn đề tài về VPN ứng dụng trong doanh nghiệp để
tìm hiểu rõ hơn về vấn đề này.Trong bài thuyết trình này chúng ta sẽ xem xét đến những
cấn đề cơ bản về VPN, các loại hình VPN, lợi ích mà nó đem lại, cùng với một số vấn đề
có liên quan.
Do đó VPN có một vị trí quan trọng trong nền kinh tế hiện nay và trong tương lai.
Tuy nhiên nó lại chưa được biết đến đầy đủ và chi tiết, vì vậy nhóm em quyết định chọn
đề tài về VPN ứng dụng trong doanh nghiệp để tìm hiểu rõ hơn về vấn đề này.
Nội dung
1. Khái niệm
VPN được hiểu đơn giản như là sự mở rộng của một mạng riêng (Private
Network) thông qua các mạng công cộng.Về cơ bản, VPN là một mạng riêng sử dụng
2

hệ thống mạng công cộng (thường là Internet) để kết nối các địa điểm hoặc người sử
dụng từ xa với một mạng LAN ở trụ sở trung tâm. Thay vì dùng kết nối thật khá phức
tạp như đường dây thuê bao số, VPN tạo ra các liên kết ảo được truyền qua Internet
giữa mạng riêng của một tổ chức với địa điểm hoặc người sử dụng ở xa.
Trước đây,để truy cập từ xa vào hệ thống mạng,người ta thường sừ dụng phương
thức Remote Access quay số dựa trên mạng điện thoại.Phương thức này vừa tốn
kém vừa không an toàn
VPN cho phép các máy tính truyền thông với nhau thông qua một môi trường chia
sẻ như mạng Internet nhưng vẫn đảm bảo được tính riêng tư và bảo mật dữ liệu.
Giải pháp VPN (Virtual Private Network) được thiết kế cho những tổ chức có xu
hướng tăng cường thông tin từ xa vì địa bàn hoạt động rộng (trên toàn quốc hay
toàn cầu). Tài nguyên ở trung tâm có thể kết nối đến từ nhiều nguồn nên tiết kiệm
được được chi phí và thời gian.
Để cung cấp kết nối giữa các máy tính, các gói thông tin được bao bọc bằng một
header có chứa những thông tin định tuyến, cho phép dữ liệu có thể gửi từ máy
truyền qua môi trường mạng chia sẻ và đến được máy nhận, như truyền trên các
đường ống riêng được gọi là tunnel. Để bảo đảm tính riêng tư và bảo mật trên môi
trường chia sẻ này, các gói tin được mã hoá và chỉ có thể giải mã với những khóa
thích hợp, ngăn ngừa trường hợp "trộm" gói tin trên đường truyền
3
Một mạng VPN điển hình bao gồm mạng LAN chính tại trụ sở
(Văn phòng chính), các mạng LAN khác tại những văn phòng
từ xa, các điểm kết nối (như 'Văn phòng' tại gia) hoặc người sử
dụng (Nhân viên di động) truy cập đến từ bên ngoài.
Nếu bạn muốn vào Facebook và các website bị chặn khác ở VN
thì HotspotShield là giải pháp tối ưu nhất. Đó là một chương
trình mạng riêng ảo VPN client miễn phí giúp địa chỉ IP của
bạn ẩn dưới 1 IP khác của Mỹ để kết nối vào mạng và hoàn
toàn bảo mật. Chúng ta có thể vào các website bị chặn một cách
dễ dàng với tốc độ không hề thay đổi như khi không dùng

Hotspot Shield.
2. Đặc điểm- Chức năng của VPN
 Đặc điểm của VPN:
- Bảo mật (security): các dữ liệu quan trọng sẽ được che giấu đối với những người
không có quyền truy cập và cho phép truy cập đối với những người dùng có quyền
truy cập.
- Tin cậy (reliability): ngăn không cho một ai đó đọc hay sao chép dữ liệu khi dữ
liệu được truyền đi qua mạng Internet
- Khả năng mở rộng (scalability): dễ mở rộng, nâng cấp
- Khả năng quản trị hệ thống mạng (network management): thuận tiện
- Khả năng quản trị chính sách (policy management): tốt
 VPN cung cấp ba chức năng chính :
• Xác thực nguồn gốc (Origin Authentication): Người nhận có thể xác thực
nguồn gốc của gói dữ liệu, đảm bảo và công nhận nguồn thông tin.
• Tínhtoàn vẹn dữ liệu (Data Integrity): Người nhận có thể kiểm tra rằng dữ
liệu đã được truyền qua mạng Internet mà không có sự thay đổi nào.
• Sự bảo mật (Confidentiality): Người gửi có thể mã hóa các gói dữ liệu
trước khi truyền chúng ngang qua mạng. Bằng cách làm như vậy, không
một ai có thể truy nhập thong tin mà không được phép, mà nếu lấy được
thông tin cũng không đọc được vì thông tin đã được mã hóa.
3. Các loại VPN
Có hai loại phổ biến hiện nay là VPN truy cập từ xa (Remote-Access ) và VPN điểm-nối-
điểm (site-to-site)
a) VPN truy cập từ xa còn được gọi là mạng Dial-up riêng ảo (VPDN), là một kết nối
người dùng-đến-LAN, thường là nhu cầu của một tổ chức có nhiều nhân viên cần
4
liên hệ với mạng riêng của mình từ rất nhiều địa điểm ở xa. Ví dụ như công ty muốn
thiết lập một VPN lớn phải cần đến một nhà cung cấp dịch vụ doanh nghiệp (ESP).
ESP này tạo ra một máy chủ truy cập mạng (NAS) và cung cấp cho những người sử
dụng từ xa một phần mềm máy khách cho máy tính của họ. Sau đó, người sử dụng

có thể gọi một số miễn phí để liên hệ với NAS và dùng phần mềm VPN máy khách
để truy cập vào mạng riêng của công ty. Loại VPN này cho phép các kết nối an toàn,
có mật mã.
Hình minh họa cho thấy kết nối giữa Văn phòng chính và "Văn phòng" tại gia hoặc nhân
viên di động là loại VPN truy cập từ xa).
b) VPN điểm-nối-điểm là việc sử dụng mật mã dành cho nhiều người để kết nối nhiều
điểm cố định với nhau thông qua một mạng công cộng như Internet. Loại này có thể
dựa trên Intranet hoặc Extranet.
Loại dựa trên Intranet: Nếu một công ty có vài địa điểm từ xa muốn tham gia
vào một mạng riêng duy nhất, họ có thể tạo ra một VPN intranet (VPN nội bộ) để
nối LAN với LAN.
5
Loại dựa trên Extranet: Khi một công ty có mối quan hệ mật thiết với một
công ty khác (ví dụ như đối tác cung cấp, khách hàng ), họ có thể xây dựng một
VPN extranet (VPN mở rộng) kết nối LAN với LAN để nhiều tổ chức khác nhau có
thể làm việc trên một môi trường chung.
4. Các phương pháp bảo mật trong VPN
a) Tường lửa (firewall) là rào chắn vững chắc giữa mạng riêng và Internet. Bạn có
thể thiết lập các tường lửa để hạn chế số lượng cổng mở, loại gói tin và giao thức
được chuyển qua. Một số sản phẩm dùng cho VPN như router 1700 của Cisco có
thể nâng cấp để gộp những tính năng của tường lửa bằng cách chạy hệ điều hành
Internet Cisco IOS thích hợp. Tốt nhất là hãy cài tường lửa thật tốt trước khi thiết
lập VPN.
b) Mật mã truy cập là khi một máy tính mã hóa dữ liệu và gửi nó tới một máy tính
khác thì chỉ có máy đó mới giải mã được. Có hai loại là mật mã riêng và mật mã
chung.
- Mật mã riêng (Symmetric-Key Encryption): Mỗi máy tính đều có một mã bí mật
để mã hóa gói tin trước khi gửi tới máy tính khác trong mạng. Mã riêng yêu cầu
bạn phải biết mình đang liên hệ với những máy tính nào để có thể cài mã lên đó,
để máy tính của người nhận có thể giải mã được.

6
- Mật mã chung (Public-Key Encryption) kết hợp mã riêng và một mã công cộng.
Mã riêng này chỉ có máy của bạn nhận biết, còn mã chung thì do máy của bạn cấp
cho bất kỳ máy nào muốn liên hệ (một cách an toàn) với nó. Để giải mã một
message, máy tính phải dùng mã chung được máy tính nguồn cung cấp, đồng thời
cần đến mã riêng của nó nữa. Có một ứng dụng loại này được dùng rất phổ biến là
Pretty Good Privacy (PGP), cho phép bạn mã hóa hầu như bất cứ thứ gì.
c) Giao thức bảo mật giao thức Internet (IPSec) cung cấp những tính năng an ninh
cao cấp như các thuật toán mã hóa tốt hơn, quá trình thẩm định quyền đăng nhập
toàn diện hơn.
IPSec có hai cơ chế mã hóa là Tunnel và Transport.Tunnel mã hóa tiêu đề
(header) và kích thước của mỗi gói tin còn Transport chỉ mã hóa kích thước.Chỉ
những hệ thống nào hỗ trợ IPSec mới có thể tận dụng được giao thức này. Ngoài
ra, tất cả các thiết bị phải sử dụng một mã khóa chung và các tường lửa trên mỗi
hệ thống phải có các thiết lập bảo mật giống nhau. IPSec có thể mã hóa dữ liệu
giữa nhiều thiết bị khác nhau như router với router, firewall với router, PC với
router, PC với máy chủ.
d) Máy chủ AAA
AAA là viết tắt của ba chữ Authentication (thẩm định quyền truy cập),
Authorization (cho phép) và Accounting (kiểm soát). Các server này được dùng để
đảm bảo truy cập an toàn hơn. Khi yêu cầu thiết lập một kết nối được gửi tới từ
máy khách, nó sẽ phải qua máy chủ AAA để kiểm tra. Các thông tin về những
hoạt động của người sử dụng là hết sức cần thiết để theo dõi vì mục đích an toàn.
5. Sản phẩm công nghệ dành cho VPN
Tùy vào loại VPN (truy cập từ xa hay điểm-nối-điểm), bạn sẽ cần phải cài đặt
những bộ phận hợp thành nào đó để thiết lập mạng riêng ảo. Đó có thể là:
- Phần mềm cho desktop của máy khách dành cho người sử dụng từ xa.
- Phần cứng cao cấp như bộ xử lý trung tâm VPN hoặc firewall bảo mật PIX.
- Server VPN cao cấp dành cho dịch vụ Dial-up.
- NAS (máy chủ truy cập mạng) do nhà cung cấp sử dụng để phục vụ người sử dụng

từ xa.
- Mạng VPN và trung tâm quản lý.
a) Bộ xử lý trung tâm VPN
Có nhiều loại máy xử lý VPN của các hãng khác nhau, nhưng sản phẩm của Cisco tỏ ra
vượt trội ở một số tính năng.Tích hợp các kỹ thuật mã hóa và thẩm định quyền truy cập
cao cấp nhất hiện nay, máy xử lý VPN được thiết kế chuyên biệt cho loại mạng
này.Chúng chứa các module xử lý mã hóa SEP, cho phép người sử dụng dễ dàng tăng
dung lượng và số lượng gói tin truyền tải.Dòng sản phẩm có các model thích hợp cho các
7
mô hình doanh nghiệp từ nhỏ đến lớn (từ100 cho đến 10.000 điểm kết nối từ xa truy cập
cùng lúc).
Bộ xử lý trung tâm VPN số hiệu 3000 của hãng
Cisco.
b) Router dùng cho VPN
Thiết bị này cung cấp các tính năng truyền dẫn, bảo mật. Dựa trên hệ điều hành Internet
IOS của mình, hãng Cisco phát triển loại router thích hợp cho mọi trường hợp, từ truy
cập nhà-tới-văn phòng cho đến nhu cầu của các doanh nghiệp quy mô lớn.
c) Tường lửa PIX của Cisco
Firewall trao đổi Internet riêng (Private Internet Exchange) bao gồm một cơ chế dịch địa
chỉ mạng rất mạnh, máy chủ proxy, bộ lọc gói tin, các tính năng VPN và chặn truy cập
bất hợp pháp.
Thay vì dùng IOS, thiết bị này có hệ điều hành với khả năng tổ chức cao, xoay sở được
với nhiều giao thức, hoạt động rất mạnh bằng cách tập trung vào IP.
6. VPN Tunneling
Hầu hết các VPN đều dựa vào kỹ thuật gọi là Tunneling để tạo ra một mạng riêng trên
nền Internet. Về bản chất, đây là quá trình đặt toàn bộ gói tin vào trong một lớp header
(tiêu đề) chứa thông tin định tuyến có thể truyền qua hệ thống mạng trung gian theo
những "đường ống" riêng (tunnel).
Khi gói tin được truyền đến đích, chúng được tách lớp header và chuyển đến các máy
trạm cuối cùng cần nhận dữ liệu. Để thiết lập kết nối Tunnel, máy khách và máy chủ phải

sử dụng chung một giao thức (tunnel protocol).
Giao thức của gói tin bọc ngoài được cả mạng và hai điểm đầu cuối nhận biết.Hai
điểm đầu cuối này được gọi là giao diện Tunnel (tunnel interface), nơi gói tin đi vào và đi
ra trong mạng.
 Kỹ thuật Tunneling yêu cầu 3 giao thức khác nhau:
8
• Giao thức truyền tải (Carrier Protocol) là giao thức được sử dụng bởi mạng có
thông tin đang đi qua.
• Giao thức mã hóa dữ liệu (Encapsulating Protocol) là giao thức (như GRE, IPSec,
L2F, PPTP, L2TP) được bọc quanh gói dữ liệu gốc.
• Giao thức gói tin (Passenger Protocol) là giao thức của dữ liệu gốc được truyền đi
(như IPX, NetBeui, IP).
Người dùng có thể đặt một gói tin sử dụng giao thức không được hỗ trợ trên
Internet (như NetBeui) bên trong một gói IP và gửi nó an toàn qua Internet. Hoặc, họ
có thể đặt một gói tin dùng địa chỉ IP riêng (không định tuyến) bên trong một gói
khác dùng địa chỉ IP chung (định tuyến) để mở rộng một mạng riêng trên Internet.
 Kỹ thuật Tunneling trong mạng VPN điểm-nối điểm
Trong VPN loại này, giao thức mã hóa định tuyến GRE (Generic Routing
Encapsulation) cung cấp cơ cấu "đóng gói" giao thức gói tin (Passenger Protocol) để
truyền đi trên giao thức truyền tải (Carier Protocol).Nó bao gồm thông tin về loại gói
tin mà bạn đang mã hóa và thông tin về kết nối giữa máy chủ với máy khách.Nhưng
IPSec trong cơ chế Tunnel, thay vì dùng GRE, đôi khi lại đóng vai trò là giao thức mã
hóa.IPSec hoạt động tốt trên cả hai loại mạng VPN truy cập từ xa và điểm- nối-
điểm.Tất nhiên, nó phải được hỗ trợ ở cả hai giao diện Tunnel.
Trong mô hình này, gói tin được chuyển từ một máy tính ở văn phòng chính qua máy
chủ truy cập, tới router (tại đây giao thức mã hóa GRE diễn ra), qua Tunnel để tới máy
tính của văn phòng từ xa.
 Kỹ thuật Tunneling trong mạng VPN truy cập từ xa
9
Với loại VPN này, Tunneling thường dùng giao thức điểm-nối-điểm PPP

(Point-to-Point Protocol). Là một phần của TCP/IP, PPP đóng vai trò truyền tải cho
các giao thức IP khác khi liên hệ trên mạng giữa máy chủ và máy truy cập từ xa. Nói
tóm lại, kỹ thuật Tunneling cho mạng VPN truy cập từ xa phụ thuộc vào PPP.
Các giao thức dưới đây được thiết lập dựa trên cấu trúc cơ bản của PPP và
dùng trong mạng VPN truy cập từ xa.
• L2F (Layer 2 Forwarding) được Cisco phát triển. L2 F dùng bất kỳ cơ chế thẩm
định quyền truy cập nào được PPP hỗ trợ.
• PPTP (Point-to-Point Tunneling Protocol) được tập đoàn PPTP Forum phát triển.
Giao thức này hỗ trợ mã hóa 40 bit và 128 bit, dùng bất kỳ cơ chế thẩm định
quyền truy cập nào được PPP hỗ trợ.
• L2TP (Layer 2 Tunneling Protocol) là sản phẩm của sự hợp tác giữa các thành
viên PPTP Forum, Cisco và IETF. Kết hợp các tính năng của cả PPTP và L2F,
L2TP cũng hỗ trợ đầy đủ IPSec. L2TP có thể được sử dụng làm giao thức
Tunneling cho mạng VPN điểm-nối-điểm và VPN truy cập từ xa. Trên thực tế,
L2TP có thể tạo ra một tunnel giữa máy khách và router, NAS và router, router và
router. So với PPTP thì L2TP có nhiều đặc tính mạnh và an toàn hơn.
7. Ưu-nhược điểm của VPN
i. Ưu điểm:
- Giảm chi phí thiết lập:
VPN có giá thành thấp hơn rất nhiều so với các giải pháp truyền tin truyền thống
như Frame Relay, ATM, hay ISDN. Lý do là VPN đã loại bỏ các kết nối khoảng
cách xa bằng cách thay thế chúng bằng các kết nối nội bộ và mạng truyền tải như
ISP, hay ISP's Point of Presence (POP).
- Giảm chi phí vận hành quản lý:
Bằng cách giảm chi phí viễn thông khoảng cách xa, VPN cũng giảm chi phí vận
hành mạng WAN một cách đáng kể. Ngoài ra các tổ chức cũng có thể giảm được
tổng chi phí thêm nếu các thiết bị mạng WAN dử dụng trong VPNs được quản lý
bởi ISP. Một nguyên nhân nữa giúp làm giảm chi phí vận hành là nhân sự, tố chức
không mất chi phí để đào tạo và trả cho nhiều người người quản lý mạng.
- Nâng cao kết nối (Enhanced connectivity):

VPN sử dụng mạng Internet cho kết nối nội bộ giữa các phần xa nhau của intranet.
Do Internet có thể được truy cập toàn cầu, do đó ở bất cứ các chi nhánh ở xa nào
thì người sử dụng cũng có thể kết nối dễ dàng với mạng intranet chính
- Bảo mật:
Bởi vì VPN sử dụng kĩ thuật tunneling để truyền dữ liệu thông qua mạng công
cộng cho nên tính bảo mật cũng được cải thiện.Thêm vào đó, VPN sử dụng thêm
các phương pháp tăng cường bảo mật như mã hóa, xác nhận và ủy quyền. Do đó
VPN được đánh giá cao bảo mật trong truyền tin.
- Hiệu suất băng thông:
10
Sự lãng phí băng thông khi không có kết nối Internet nào được kích hoạt. Trong kĩ
thuật VPN thì các “đường hầm” chỉ được hình thành khi có yêu cầu truyền tải
thông tin. Băng thông mạng chỉ được sử dụng khi có kích hoạt kết nối Internet. Do
đó hạn chế rất nhiều sự lãng phí băng thông.
- Có thể nâng cấp dễ dàng:
Bởi bì VPN dựa trên cơ sở Internet nên các nó cho phép các các mạng intranet các
tổ chức có thể phát triển khi mà hoạt động kinh doanh phát triển hơn, mà yêu cầu
nâng cấp, các thành phần bổ sung thêm vào tối thiểu. Điều này làm mạng intranet
có khả năng nâng cấp dễ dàng theo sự phát triển trong tương lai mà không cần đầu
tư lại nhiều cho cơ sở hạ tầng.
ii. Nhược điểm:
- Phụ thuộc nhiều vào chất lượng mạng Internet
Sự quá tải hay tắt nghẽn mạng có thể làm ảnh hưởng xấu đến chất lượng truyền tin
của các máy trong mạng VPN.
- Thiếu các giao thức kế thừa hỗ trợ:
VPN hiện nay dựa hoàn toàn trên cơ sở kĩ thuật IP.Tuy nhiên, nhiều tổ chức tiếp
tục sử dụng máy tính lớn (mainframes) và các thiết bị và giao thức kế thừa cho
việc truyền tin mỗi ngày.Kết quả là VPN không phù hợp được với các thiết bị và
giao thức này.Vấn đề này có thể được giải quyết một cách chừng mực bởi các
“tunneling mechanisms”.Nhưng các gói tin SNA và các lưu lượng non-IP bên

cạnh các gói tin IP có thể sẽ làm chậm hiệu suất làm việc của cả mạng.
- Nhược điểm của các thiết bị VPN hiện nay :
+ Khi có một gói tin được gửi thông qua mạng Internet giữa 2 mạng Intranet, thì
gói tin này được gửi đến mọi đường hầm trong mạng. Điều này khiến cho lưu
lượng thông tin trao đổi gia tăng một cách đáng kể.
+ Khi cấu hình mạng con thay đổi, các nhà quản trị mạng phải cập nhật, cấu hình
các thiết bị VPN theo phương pháp thủ công, chưa có những công cụ tự động cập
nhật lại tình trạng của các mạng con.
+ Khi cấu hình của các Intranet phức tạp, như bao gồm nhiều mạng con, nhiều
mạng bên trong, thì thông tin của Intranet bên trong không được lưu trữ một cách
trọn vẹn đầy đủ.
+ Thiết bị VPN hiện nay không hỗ trợ đối với những đường hầm được thiết lập
với cơ chế mã hóa có khóa thay đổi theo thời gian. Phương pháp mã hóa dữ liệu
trong những đường ống luôn được định trước, cả về phương pháp mã hóa, khóa
mã dữ liệu Khi muốn thay đổi khóa mã hóa, nhà quản trị mạng phải thực hiện
việc thay đổi khóa một cách thủ công trên tất cả các thiết bị VPN trong VPN đó.
Để cải tiến hoạt động của mạng riêng ảo, khắc phục những hạn chế hiện nay của
các thiết bị VPN là áp dụng kỹ thuật tác tử thông minh để tăng cường việc điều
phối hoạt động giữa các thiết bị VPN.
11
8. Thiết lập và sử dụng VPN
Nếu muốn truy cập an toàn với mạng công ty khi ở xa văn phòng làm việc của mình, bạn có thể
thiết lập một mạng riêng ảo (VPN). Với mạng riêng ảo này, bạn có thể kết nối thông qua Internet
và truy cập các file chia sẻ cũng như tài nguyên của mình một cách an toàn. Không phải mua
máy chủ VPN đắt tiền nếu tổ chức của bạn không có nhiều người dùng. Hệ điều hành Windows
cũng cho phép chúng ta có thể thiết lập một máy chủ và máy khách VPN.
Cách thiết lập máy chủ VPN trên Windows 7 hay Vista và kết nối với Windows XP, Vista, hoặc
Windows 7. Dưới đây là cách thực hiện cụ thể:
Tránh xung đột IP
Do các kết nối VPN liên kết cùng với các mạng nên phải cẩn thận với việc đánh địa chỉ IP và

subnet để sao cho chúng không xung đột lẫn nhau. Trên mạng hosting máy chủ VPN, bạn nên sử
dụng địa chỉ IP khác với các địa chỉ IP của router, chẳng hạn như 192.168.50.1. Nếu có nhiều
văn phòng, hãy gán cho mỗi văn phòng một IP/subnet riêng, chẳng hạn như 192.168.51.1,
192.168.52.1,…
Hình 1
Tạo kết nối incoming VPN trong Windows
( Nhớ mở cổng TCP 1723 trên modem ADSL và map/forward cổng đó đến IP của máy chủ VPN
Server chạy Win7)
Để cấu hình máy chủ Windows VPN, bạn cần tạo một kết nối incoming. Máy tính này sẽ là máy
chủ hoặc host của VPN. Ngoài ra, cần chỉ định người dùng mà bạn muốn họ có thể thực hiện kết
nối VPN. Thực hiện theo các bước sau để tạo kết nối incoming:
12
1. Kích phải vào biểu tượng mạng trong khay hệ thống và chọn Open Network and
Sharing Center.
2. Kích Manage network connections (Windows Vista) hoặc Change adapter
settings (Windows 7).
3. Nhấn phím Alt để hiển thị File Menu và kích File > New Incoming connection… .
4. Chọn người mà bạn thích cho phép truy cập VPN hoặc tạo các tài khoản tùy chỉnh bằng
cách kích Add someone. Xem ví dụ trong hình 2. Khi tạo xong, kích Next.
Hình 2
• Chọn Through the Internet và kích Next.
Như thể hiện trong hình 3, chọn các giao thức muốn sử dụng cho kết nối này. Hãy
chọn Internet Protocol Version 4 (TCP/IPv4) để người dùng từ xa sẽ nhận địa chỉ IP và có
thể truy cập mạng hoặc Internet. Thêm vào đó, nếu muốn người dùng từ xa có thể truy cập file
và máy in chia sẻ, chọn File and Printer Sharing for Microsoft Networks. Sau khi thực
hiện xong, kích Allow access.
13
Hình 3
• Trong cửa sổ tiếp theo, kích Close.
Lúc này, hãy truy cập vào trang thuộc tính của kết nối incoming vừa được tạo và định nghĩa dải

địa chỉ IP cho các máy khách VPN:
1. Trong cửa sổ Network Connections, kích đúp Incoming Connections.
2. Chọn tab Networking và kích đúp Internet Protocol Version 4 (TCP/IPv4).
3. Chọn Specify IP addresses sau đó nhập vào địa chỉ đầu và địa chỉ cuối của dải subnet cục
bộ của bạn, tuy nhiên không được xung đột với dải DHCP. Cho ví dụ, nếu địa chỉ IP của
router là 192.168.50.1, bạn có thể nhập từ 192.168.50.50 đến 192.168.50.59 như thể hiện
trong hình 4, dải địa chỉ này hỗ trợ cho 10 máy khách. Nếu muốn các máy khách có thể tự gán
địa chỉ IP, chọn tùy chọn đó.
14
Hình 4
• Kích OK trong hai hộp thoại để lưu các thay đổi.
Cấu hình tường lửa của các hãng thứ ba
Windows sẽ tự động cho phép các kết nối VPN thông qua Windows Firewall khi bạn cấu hình
kết nối incoming trên máy tính host. Mặc dù vậy, nếu sử dụng tường lửa của hãng thứ ba trên
máy tính này, bạn cần bảo đảm nó cho phép lưu lượng VPN này. Có thể bạn phải tự nhập vào số
cổng 47 và 1723.
Cấu hình địa chỉ IP, DNS động và router
Để kích hoạt các kết nối VPN cho máy tính host từ Internet, bạn phải cấu hình sao cho
router sẽ chuyển tiếp chúng đến máy tính Windows chấp nhận các kết nối gửi vào
(incoming connection). Chỉ định máy host bằng cách nhập vào địa chỉ IP cục bộ của nó.
Như vậy, trước khi thiết lập cổng chuyển tiếp, bạn nên bảo đảm địa chỉ IP sẽ không bị
thay đổi.
Bắt đầu bằng cách đăng nhập vào giao diện điều khiển web của router.Sau đó vào thiết
lập Network hoặc DHCP và xem có thể duy trì một địa chỉ IP cho máy tính để nó không
bị thay đổi hay không.Điều này được gọi là DHCP reservation hoặc Static DHCP.Một số
router không có tính năng này.Trong trường hợp đó, cần gán cho máy tính một IP tĩnh
trong thiết lập TCP/IP của kết nối mạng trong Windows.
Khi đã chỉ định địa chỉ IP, tìm máy chủ ảo hoặc thiết lập chuyển tiếp cổng trong giao diện
điều khiển web của router.Sau đó tạo entry chuyển tiếp cổng 1723 đến địa chỉ IP cục bộ
của máy tính, như thể hiện trong hình 5. Không quên lưu lại các thay đổi!

15
Hình 5
Nếu kết nối Internet sử dụng địa chỉ IP động, bạn nên đăng ký và cấu hình một dịch vụ
DNS động. Lý do ở đây là vì, khi cấu hình các máy khách từ xa, bạn phải nhập vào địa
chỉ IP Internet của nơi nắm giữ máy host. Điều này sẽ gây ra vấn đề nếu IP thay đổi. Mặc
dù vậy, bạn có thể đăng ký một dịch vụ miễn phí, chẳng hạn như từ No-IP và nhập các
thông tin tài khoản vào router để nó cập nhật hostname với địa chỉ IP của bạn. Sau đó bạn
sẽ có một hostname (chẳng hạn như yourname.no-ip.org) để nhập vào máy khách từ xa,
hostname này sẽ luôn trỏ đến địa chỉ IP Internet hiện hành của máy host.
Lúc này mọi thứ bên phía máy chủ đã được cấu hình xong. Tiếp theo chúng ta cần thiết
lập các máy khách.
Tạo kết nối VPN gửi ra trong Windows
Lúc này sau khi đã thiết lập xong máy chủ, chúng ta cần cấu hình các máy khách muốn
truy cập từ xa qua kết nối VPN, được gọi là các máy khách VPN. Đây là cách thực hiện
trong Windows Vista và Windows 7:
1. Kích phải vào biểu tượng mạng trong khay hệ thống và chọn Open Network and
Sharing Center.
2. Kích Set up a connection or network (Windows Vista) hoặc Set up a new
connection or network (Windows 7, như thể hiện trong hình 6).
16
Hình 6
• Trên wizard, chọn Connect to a workplace và kích Next.
• Chọn Use my internet connection (VPN).
• Đánh địa chỉ IP Internet hoặc hostname vào Internet address và nhập thông tin
mô tả trong phần Destination name. Xem ví dụ trong hình 7. Nên vô hiệu hóa các tùy
chọn khác sau đó kích Next để tiếp tục.
Hình 7
• Nhập User name và password đã được chọn khi tạo kết nối VPN gửi vào
(incoming VPN) và kích Next để thử kết nối. Thao tác này sẽ thực hiện một cố gắng
kết nối bằng cách sử dụng các giao thức sau: SSTP, PPTP, và sau đó là L2TP.

• Khi kết nối thành công, kích Close.
Mặc định Windows sẽ gán kiểu kết nối là Public Network, đây là kiểu kết nối hạn chế
tính năng chia sẻ. Vì vậy nếu muốn thay đổi điều này, bạn cần mở Network and Sharing
17
Center kích Customize (Windows Vista) hoặc liên kết Public network bên dưới tên kết
nối (Windows 7). Sau đó trên cửa sổ xuất hiện, chọn Work Network.
Đây là cách tạo kết nối VPN gửi đi trong Windows XP:
1. Mở cửa sổ Network Connections và kích Create a new connection.
2. Chọn Connect to the network at my workplace và kích Next.
3. Chọn Virtual Private Network connection và kích Next.
4. Nhập vào tên kết nối và kích Next.
5. Chọn Do not dial the initial connection và kích Next.
6. Đánh địa chỉ IP Internet hoặc hostname và kích Next.
7. Kích Finish.
Hạn chế lưu lượng VPN
Mặc định, tất cả lưu lượng Internet trên máy khách VPN sẽ được truyền tải qua VPN thay
vì Internet cục bộ mà chúng kết nối đến.Đây là một kỹ thuật tuyệt vời nếu chúng ta sử
dụng kết nối công cộng, kiểu như cổng truy cập nào đó ở khách sạn hoặc điểm truy cập
Wi-Fi nào đó, lúc này nó sẽ giúp việc duyệt web trở nên riêng tư hơn.Mặc dù vậy, nếu
các máy tính này nằm trong một mạng tin cậy, giống như tại nhà hoặc văn phòng từ xa
thì cách thức này có thể gây lãng phí băng thông. Do đó chúng ta có thể hạn chế lưu
lượng thông qua kết nối VPN:
1. Trên cửa sổ Network Connections, kích phải vào VPN connection và
chọn Properties.
2. Chọn tab Network và kích đúp Internet Protocol (TCP/IP).
3. Kích nút Advanced và hủy chọn Use default gateway on remote network (xem
hình 8).
Hình 8
• Kích OK trên các hộp thoại để lưu các thay đổi.
18

Lúc này máy khách VPN sẽ sử dụng kết nối Internet cục bộ khi duyệt web. Nó sẽ chỉ sử
dụng kết nối VPN khi máy chủ hoặc địa chỉ IP không thể kết nối thông qua Internet,
chẳng hạn như khi truy cập các file chia sẻ tên mạng hosting VPN.
Kết nối với VPN
Trong Windows XP, có thể kết nối và hủy kết nối bằng cách mở cửa sổ Network
Connections và kích phải vào kết nối VPN. Trong Windows Vista, có thể kích biểu
tượng mạng trong khay hệ thống, kích Connect to và chọn kết nối. Trong Windows 7,
kích biểu tượng mạng trong khay hệ thống và chọn kết nối VPN.
Sau khi kết nối, bạn có thể truy cập các tài nguyên chia sẻ trên mạng hosting VPN. Cần
lưu ý rằng: có thể bạn phải truy cập các thư mục chia sẻ một cách thủ công (chẳng hạn
như: địa chỉ IP của máy tính hoặc file://computer_name/) thay vì duyệt trong My
Network Places hoặc Network.
9. Kết luận
Với chi phí thoả đáng VPN sẽ giúp doanh nghiệp tiếp xúc toàn cầu nhanh chóng và
hiệu quả hơn vè chi phí so với các giải pháp mạng diện rộng WAN khác. Ta có thể giảm
chi phí thường xuyên một cách đáng kể và thu hồi vốn nhanh chóng. Với VPN chúng ta
có thể mở rộng các trình ứng dụng nghiệp vụ tối quan trọng đến các văn phòng ở xa và
các đối tác WAN khác qua Extranet làm cho doanh nghiệp của mình có tính cạnh tranh
mạnh hơn , đồng thời cũng cải thiện khả năngphục vụ khách hàng tốt hơn.
Ngày nay, trong nền kinh tế nối mạng tiến bộ nhanh chóng, một mô hình mới dùng
cho truyền thông thương mại đã xuất hiện.Trong mô hình mới này, các nhà cung cấp dịch
vụ hợp tác với khách hàng để phân phối các dịch vụ mạng, là nền tảng cho các hoạt động
kinh doanh của họ và để nâng cao hiệu quả cạnh tranh. Mạng riêng ảo VPN đã thể hiện
sự đột phá công nghệ làm chuyển biến nghành công nghiệp và cách mạng hoá các dịch
vụ do khách hàng yêu cầu. Mô hình mạng này hiện đang chuyển nhu cầu tự động hoá
việc điều hành thông tin liên lạc riêng của các công ty sang quan hệ hợp tác với nhà cung
cấp dịch vụ thông qua VPN để phát triển mạng của họ ra quy mô toàn cầu. VPN đã mở ra
những tiền đề thuận lợi để tiếp tục phát triển.khả năng thu lợi ngày càng nhiều và đạt hiệu
quả cao nhất cho các nhà cung cấp dịch vụ lẫn khách hàng.
The remote connection was not made because the attempted VPN tunnels failed. The

VPN server might be unreachable. If this connection is attempting to use an L2TP/IPsec
tunnel, the security parameters required for IPsec negotiation might not be configured
properly.