Giáo Trình Khởi Tạo Mạng Riêng Ảo - CÔNG NGHỆ MẠNG RIÊNG ẢO part 8

mạng nội bộ của công ty. Nếu một người sử dụng ở xa quay số kết nối tới ISP
và cố gắng truy cập tới mạng không hỗ trợ giao thức PPTP, thì Firewall của tổ
chức sẽ phải mở ra một cổng nào đó cho người sử dụng vào mạng cục bộ, điều này
có thể tạo ra lỗ hỗng. Vì vậy, không phải khi nào họ kết nối tới ISP là cũng có thể
vào mạng cục bộ.
2.2.2. Chuyển tiếp tầng 2 (L2F)
Như đã đề cập trước đây, các dịch vụ mạng quay số truyền thống được thực
hiện qua Internet và vì vậy dựa trên cơng nghệ IP. Điều này giải thích tại sao giải
pháp đường hầm lại thông dụng như PPP và PPTP, chứng tỏ thành công hơn của
cơ sở hạ tầng IP so với các công nghệ mạng đương thời như ATM, FR. Bảo mật là
vấn đề khác. Bất chấp các yêu cầu của Microsoft về giao dịch bảo mật, PPTP dựa
trên MS-CHAP khơng thật sự an tồn. Vấn đề này làm cho các tổ chức công
nghiệp và các chuyên gia tìm đến các giải pháp thay thế có thể đem lại sự bảo mật
liền mạch cho nhiều dịch vụ quay số ảo và nhiều giao thức.
Cisco System cùng với Nortel là một trong các nhà cung cấp hàng đầu các
giải pháp theo hướng:
- Có khả năng bảo mật các giao dịch.
- Cung cấp truy cập qua cơ sở hạ tầng của Internet và các mạng công cộng
trung gian khác.
- Hỗ trợ nhiều công nghệ mạng như ATM, FDDI, IPX, Net-BEUI, và Frame
Relay.


Hình 2.11 Đường hầm L2F từ POP của ISP tới Gateway của một mạng riêng

Sau thời gian dài tìm kiếm, Cisco hiện tại đang mở rộng nghiên cứu L2F.
Ngoài việc thực hiện đầy đủ những mục đích trên, L2F mang lại những thuận lợi
khác trong công nghệ truy cập từ xa. Các đường hầm L2F có thể hỗ trợ nhiều phiên
đồng thời trong cùng một đường hầm. Theo cách nói đơn giản hơn là nhiều người
dùng từ xa có thể cùng truy cập vào mạng cục bộ riêng qua một kết nối quay số
đơn. L2F đạt được điều này bằng cách định nghĩa nhiều kết nối trong một đường

hầm nơi mỗi kết nối mơ tả một dịng PPP đơn. Hơn nữa, các dịng này có thể bắt
đầu từ một người dùng từ xa đơn lẻ hoặc từ nhiều người dùng. Vì một đường hầm
có thể hỗ trợ nhiều kết nối đồng thời, một vài kết nối được yêu cầu từ một Site ở xa
tới ISP và từ POP của ISP tới Gateway của mạng riêng. Điều này đặc biệt hữu ích
trong việc giảm chi phí người dùng. Hình 2.11 mơ tả đường hầm L2F
2.2.2.1. Tiến trình L2F
Khi một Client quay số từ xa khởi tạo một kết nối tới Host cục bộ trong một
Intranet riêng.
Private Network

ISP'sIntranet
Internet
Remote
NAS
User
1
PPP Connection
Request
2
Request Accepted/
Rejected

Host
Network
Gateway

Server

3
User

Authentication
(PAP, CHAP)
4 L2F Tunnel Initiation
5 Tunnel Establishment
Allocated

6b Tunnel Established Notification

6a Connection
RequestAccepted/
Rejected
7a User
Authentication

7b Tunnel Established

Hình 2.12 Thiết lập một đường hầm L2F giữa người dùng từ xa và Server


Các tiến trình sau được thực hiện tuần tự:
1. Người dùng từ xa khởi tạo một kết nối PPP tới ISP của họ. Nếu một người
dùng từ xa là một phần của mạng LAN, người dùng có thể tận dụng ISDN hoặc
liên kết để kết nối tới ISP. Nếu người dùng không phải là một phần của bất kỳ
Intranet nào, họ có thể cần sử dụng các dịch vụ của PSTN.
2. Nếu NAS đặt tại POP của ISP chấp nhận yêu cầu kết nối, kết nối PPP được
thiết lập giữa NAS và người dùng.
3. Người dùng được xác thực bởi ISP cuối cùng, cả CHAP và PAP đều được
sử dụng cho chức năng này.
4. Nếu khơng có đường hầm nào tới Gateway của mạng đích tồn tại, thì một
đường hầm sẽ được khởi tạo.

5. Sau khi một đường hầm được thiết lập thành công, một ID (MID) đa công
duy nhất được phân phối tới các kết nối. Một thông điệp thông báo cũng được gửi
tới các Gateway của máy chủ mạng. Thông điệp này thông báo cho Gateway về
yêu cầu kết nối từ một người dùng ở xa.
6. Gateway có thể chấp nhận hoặc từ chối yêu cầu kết nối này. Nếu yêu cầu bị
từ chối, người dùng sẽ được thông báo lỗi và kết nối quay số bị kết thúc. Trong
trường hợp yêu cầu được chấp nhận, máy chủ Gateway gửi thông báo khởi tạo cài
đặt tới Client từ xa, phản hồi này có thể bao gồm cả thơng tin xác thực, nó được
dùng bởi Gateway để xác thực người dùng từ xa.
7. Sau khi người dùng được xác thực bởi máy chủ Gateway mạng, một giao
diện ảo được thiết lập giữa 2 đầu cuối.
2.2.2.2. Đường hầm L2F
Khi một người dùng từ xa đã được xác thực và yêu cầu kết nối được chấp
nhận, một đường hầm giữa NAS của nhà cung cấp và Gateway máy chủ mạng
được thiết lập, như trong hình 2.13.


Hình 2.13 Quá trình định đường hầm dữ liệu dựa trên L2F

Sau khi đường hầm giữa 2 đầu cuối được thiết lập xong. Các Frame tầng 2 có
thể được trao đổi qua đường hầm như sau:
1. Người dùng từ xa chuyển tiếp các frame thông thường tới NAS đặt tại ISP.
2. POP cắt bỏ thông tin tầng liên kết dữ liệu hay các byte trình diễn, thêm vào
tiêu đề L2F và đánh dấu frame. Sau khi frame được đóng gói mới thì được chuyển
tiếp tới mạng đích qua đường hầm.
3. Máy chủ Gateway mạng chấp nhận các gói đường hầm này, cắt bỏ tiêu đề
L2F, đánh dấu và chuyển tiếp các frame tới Node đích trong mạng Intranet.
Node đích xử lý các frame nhận được như là các gói khơng qua đường hầm.
Chú ý: Đường hầm L2F được xem như là một “Giao diện ảo”
Bất kỳ một phản hồi nào từ máy chủ đích trong mạng phải qua q trình

ngược lại. Đó là, host gửi một frame tầng liên kết dữ liệu thơng thường tới
Gateway, Gateway này sẽ đóng gói frame vào trong một gói L2F (như trong hình
2.14) và chuyển tiếp nó tới NAS đặt tại Site của ISP. NAS cắt bỏ thông tin L2F từ
các frame và thêm vào thơng tin tầng liên kết dữ liệu thích hợp với nó.
Frame sau đó được chuyển tiếp tới người dùng từ xa.
L2F Header

Payload Packet(PPP/SLIP)

L2F CheckSum

Hình 2.14 định dạng gói L2F

2.2.2.3. Bảo mật L2F
L2F cung cấp các dịch vụ: Mã hoá dữ liệu và xác thực


1. Mã hoá dữ liệu L2F

L2F sử dụng MPPE cho các chức năng mã hố cơ bản. Tuy nhiên nó khơng
an tồn với các kỹ thuật Hacking tiên tiến ngày nay. Và nó cũng phải sử dụng mã
hố dựa trên IPSEC để đảm bảo dữ liệu được giao dịch bí mật. IPSec sử dụng hai
giao thức cho chức năng mã hố: đóng gói tải bảo mật(ESP) và xác thực tiêu đề
(AH). Thêm vào đó, để làm tăng tính bảo mật của khoá trong pha trao đổi khoá,
IPSec cũng sử dụng một giao thức bên thứ ba đó là trao đổi khoá Internet(IKE).
2. Xác thực dữ liệu L2F

Xác thực L2F được hoàn thành tại hai mức. Mức thứ nhất của xác thực dựa
trên L2F xuất hiện khi một người dùng từ xa sử dụng đường quay số tới POP của
ISP. Tại đây, quá trình thiết lập đường hầm được bắt đầu chỉ sau khi người dùng

được xác thực thành công. Mức thứ hai của xác thực được thực hiện bởi máy chủ
Gateway của mạng, nó khơng thiết lập một đường hầm giữa hai điểm đầu cuối cho
đến khi nó xác thực người dùng từ xa.
Giống như PPTP, L2F cũng sử dụng các dịch vụ bảo mật được hỗ trợ bởi PPP
cho xác thực. Kết quả là L2F sử dụng PAP để xác thực một Client từ xa khi một
Gateway L2F nhận một yêu cầu kết nối. L2F cũng sử dụng lược đồ xác thực như
sau để nâng cao tính bảo mật dữ liệu:
- Giao thức xác thực có thăm dị trước(CHAP)
- Giao thực xác thực mở rộng (EAP)
2.2.2.4. Các ưu và nhược điểm của L2F
Mặc dù L2F yêu cầu mở rộng để khắc phục sự khác nhau với LCP và các tuỳ
chọn xác thực, nhưng nó đắt hơn PPTP vì nó là giải pháp chuyển tiếp Frame ở mức
thấp, nó cũng cung cấp một giải pháp VPN nền cho mạng doanh nghiệp tốt hơn
PPTP.
Những ưu điểm chính của việc thực thi một giải pháp L2F bao gồm:
- Nâng cao tính bảo mật của các phiên giao dịch.
- Độc lập với nền.


- Không cần phải đàm phán với ISP.
- Hỗ trợ nhiều công nghệ mạng như: ATM, FDDI, IPX, NetBEUI, và Frame
Relay.
Ngồi những ưu điểm trên, nó cũng có một số nhược điểm:
- Việc thực thi giải pháp dựa trên L2F phụ thuộc nhiều vào ISP, nếu ISP
không hỗ trợ L2F thì khơng thể thực hiện được giải pháp này.
- L2F khơng cung cấp kiểm sốt luồng. Và như vậy, nếu đường hầm bị đầy thì
các gói dữ liệu có thể bị xoá tuỳ tiện. Điều này là nguyên nhân của việc phải phát
lại gói dữ liệu, nó làm chậm tốc độ truyền.
- Do kết hợp cả xác thực và mã hoá, các giao dịch thực hiện qua đường hầm
dựa trên L2F là chậm khi so sánh với PPTP.