Router路由

关键词:

什么是静态路由
静态路由就是手工配置的路由,使得数据包能够按照预定的路径传送到指定的目标网络。当不能通过动态路由协议学到一些目标网络的路由时,配置静态路由就会显得十分重要。通常可以给没有确切路由的数据包静态配置缺省路由。


什么是NAT功能
网络地址转换(NAT,Network Address Translation)属接入广域网(WAN)技术,是一种将私有(保留)地址转化为合法IP地址的转换技术,它被广泛应用于各种类型Internet接入方式和各种类型的网络中。原因很简单,NAT不仅完美地解决了lP地址不足的问题,而且还能够有效地避免来自网络外部的攻击,隐藏并保护网络内部的计算机。

路由器是否支持同时做DHCP中继和DHCP服务器
不支持。在设备上DHCP中继和DHCP服务器是一个互斥的功能。

什么是L2TP VPN
L2TP(Layer 2 Tunneling Protocol,二层隧道协议)是VPDN(Virtual Private Dial-up Network,虚拟私有拨号网)隧道协议的一种。VPDN是指利用公共网络(如ISDN或PSTN)的拨号功能接入公共网络,实现虚拟专用网,从而为企业、小型ISP、移动办公人员等提供接入服务。即,VPDN为远端用户与私有企业网之间提供了一种经济而有效的点到点连接方式。VPDN采用专用的网络通信协议,在公共网络上为企业建立安全的虚拟专网。企业驻外机构和出差人员可从远程经由公共网络,通过虚拟隧道实现和企业总部之间的网络连接,而公共网络上其它用户则无法穿过虚拟隧道访问企业网内部的资源。

L2TP拨号的协商及认证过程


L2TP模型中,客户端、LAC、LNS的作用
1)用户是需要登录私网的设备(如PC),是发起PPP协商的端设备。用户既是PPP二层链路的一端又是PPP会话的一端。

2)LAC(L2TP Access Concentrator)是直接接受用户呼叫的一端,也是PPP二层链路的一端。NAS可以和用户可以合并为一个LAC端点,也可以单独作为LAC端点。在我司的3G拨号中,LAC为运营商提供的设备。

3)LNS(L2TP Network Server)端是接受PPP会话的一端,一般位于私网与公网边界。通过LNS,用户就可以登录到私网上,访问私网资源。L2TP隧道端点分别位于LAC和LNS两端。

GRE VPN
功能介绍

GRE(Generic Routing Encapsulation,通用路由封装)协议是对某些网络层协议(如IP 和IPX)的数据报文进行封装,使这些被封装的数据报文能够在另一个网络层协议(如IP)中传输。GRE采用了Tunnel(隧道)技术,是VPN(Virtual Private Network)的第三层隧道协议。

Tunnel 是一个虚拟的点对点的连接,提供了一条通路使封装的数据报文能够在这个通路上传输,并且在一个Tunnel 的两端分别对数据报进行封装及解封装。

应用场景

若总公司和分公司各自的内网之间要能够互相共享资料,并且对数据的安全性要求不高,此时您可以在总公司和分公司的网络设备上建立GRE VPN,它即能实现总公司和分公司之间能够直接互相访问资源。

一、组网需求

两个局域网分别通过出口路由器访问internet,同时要求这两台出口路由器使用GRE隧道实现两个局域网用户间的互访。

二、组网拓扑

PPTP VPN
功能介绍

PPTP(Point to Point Tunneling Protocol)即点对点隧道协议,是一种2层的VPN技术。相对于L2TP,由于windows操作系统集成PPTP客户端(注:windows也有集成L2TP客户端,但默认将L2TP与IPSEC绑定在一起),因此具有部署方便,扩展性强的特点;一般用于有用户终端需直接拨入VPN访问内网,且无需对数据使用IPSEC加密的场景。


应用场景

企业的移动办公人员,需要通过公网访问企业内部的资源,在对数据安全性要求不高的情况下,可以通过PPTP VPN拨入企业内网,访问企业内部资源。


一、组网需求

用户使用一台RSR系列路由器作为互联网的出口设备,由于存在较多出差、移动办公用户,并且近期又新成立了分支机构,因此希望这部分用户能通过PPTP VPN技术动态拨入路由器,完成与内网用户和内网应用服务器的正常通信。

二、组网拓扑

IPSEC VPN
功能介绍

使用IPSEC静态隧道组网时,需要在每个IPSEC隧道两端手动进行隧道配置,无需动态协商。但随着加密点和隧道的增多,对IPSEC隧道的配置和维护难度也增加,因此静态隧道技术一般应用在加密点比较少的场景。

应用场景

若总公司和分公司各自的内网要能够互相共享资料,且希望资料在网络传输中不易被黑客截获破解窃取,保证资料的安全保密,此时您可以在总公司和分公司的网络设备上建立IPSec VPN,它即能实现总公司和分公司之间能够直接互相访问资源,也能对数据传输进行加密,保证了数据的安全性。若总部和分公司均是固定IP地址的方式,那么可以采用静态IPSec VPN。

工作原理

IPSec VPN分为两个协商阶段,ISAKMP阶段及IPSec阶段,ISAKMP阶段主要是协商两端的保护策略,验证对等体的合法性,产生加密密钥,保护第二阶段IPSec SA的协商。第二阶段IPSec 阶段,主要是确定IPSec SA的保护策略,使用AH还是ESP、传输模式还是隧道模式、被保护的数据是什么等等。第二阶段协商的目标就是产生真正用于保护IP数据的IPSec SA。 IPSec通信实体双方对于一、二阶段的这些安全策略必须达成一致,否则IPSec协商将无法通过。

一、组网需求

两个局域网分别通过两台RSR路由器接入internet(或者专网),同时这两个局域网的网段192.168.0.0/24和192.168.1.0/24间有通信需求,并且要对通信流量进行加密。

该场景通过在两台RSR路由器上部署静态的IPSEC VPN来实现局域网间的通信及数据加密需求。

二、组网拓扑