IPSec VPN設(shè)計

第1章　VPN簡介　1
1.1　部署VPN的動機(jī)　1
1.2　VPN技術(shù)　3
1.2.1　第2層VPN　3
1.2.2　第3層VPN　3
1.2.3　遠(yuǎn)程接入VPN　4
1.3　總結(jié)　6
第2章　IPSec概述　9
2.1　加密術(shù)語　9
2.1.1　對稱算法　10
2.1.2　非對稱算法　10
2.1.3　數(shù)字簽名　12
2.2　IPSec安全協(xié)議　12
2.2.1　IPSec傳輸模式　13
2.2.2　IPSec隧道模式　14
2.2.3　封裝安全有效負(fù)載(ESP)　14
2.2.4　驗證報頭(AH)　15
2.3　密鑰管理和安全關(guān)聯(lián)　17
2.3.1　Diffie-Hellman密鑰交換　17
2.3.2　安全關(guān)聯(lián)及IKE工作原理　18
2.3.3　IKE Phase 1的工作原理　20
2.3.4　IKE Phase 2的工作原理　24
2.3.5　IPSec分組的處理　25
2.4　總結(jié)　31
第3章　增強(qiáng)的IPSec特性　33
3.1　IKE存活消息　33
3.2　失效對等體檢測　34
3.3　空閑超時　38
3.4　反向路由注入　40
3.5　有狀態(tài)故障切換　46
3.5.1　SADB傳輸　46
3.5.2　SADB同步　46
3.6　IPSec和分段　53
3.6.1　IPSec和PMTUD　53
3.6.2　先行分段　56
3.7　GRE和IPSec　56
3.8　IPSec和NAT　61
3.8.1　NAT對AH的影響　61
3.8.2　NAT對ESP的影響　61
3.8.3　NAT對IKE的影響　62
3.8.4　IPSec和NAT共存問題解決方案　62
3.9　總結(jié)　70
第4章　IPSec認(rèn)證和授權(quán)模型　73
4.1　擴(kuò)展認(rèn)證和模式配置　73
4.2　模式配置　76
4.3　簡易VPN　77
4.3.1　EzVPN客戶模式　78
4.3.2　網(wǎng)絡(luò)擴(kuò)展模式　81
4.4　在IPSec VPN中使用數(shù)字證書　84
4.4.1　數(shù)字證書　84
4.4.2　申請證書　84
4.4.3　撤銷證書　86
4.5　總結(jié)　87
第5章　IPSec VPN架構(gòu)　89
5.1　IPSec VPN連接模型　89
5.1.1　IPSec模型　89
5.1.2　GRE模型　90
5.1.3　遠(yuǎn)程接入客戶模型　91
5.1.4　IPSec連接模型小結(jié)　92
5.2　星型架構(gòu)　93
5.2.1　使用IPSec模型　93
5.2.2　GRE模型　104
5.2.3　遠(yuǎn)程接入客戶連接模型　117
5.3　全互聯(lián)架構(gòu)　126
5.3.1　本征IPSec連接模型　126
5.3.2　GRE模型　132
5.4　總結(jié)　136
第6章　設(shè)計容錯的IPSec VPN　139
6.1　鏈路容錯　139
6.1.1　主干網(wǎng)絡(luò)的容錯　140
6.1.2　接入鏈路的容錯　140
6.1.3　接入鏈路容錯小結(jié)　152
6.2　IPSec對等體冗余　153
6.2.1　簡單對等體冗余模型　153
6.2.2　使用HSRP的虛擬IPSec對等體冗余　156
6.2.3　IPSec有狀態(tài)切換　158
6.2.4　使用GRE的對等體冗余　161
6.2.5　使用SLB的虛擬IPSec對等體冗余　165
6.2.6　服務(wù)器負(fù)載均衡的概念　165
6.2.7　使用SLB的IPSec對等體冗余　166
6.2.8　使用Cisco VPN 3000集群來實現(xiàn)對等體冗余　169
6.2.9　對等體冗余小結(jié)　171
6.3　機(jī)架內(nèi)部的IPSec VPN服務(wù)冗余　171
6.3.1　無狀態(tài)IPSec冗余　171
6.3.2　有狀態(tài)IPSec冗余　171
6.4　總結(jié)　172
第7章　場點到場點IPSec VPN的自動配置架構(gòu)　175
7.1　IPSec隧道端點發(fā)現(xiàn)　175
7.1.1　TED的工作原理　176
7.1.2　TED的局限性　178
7.1.3　TED的配置和狀態(tài)　178
7.1.4　TED容錯　181
7.2　動態(tài)多點VPN　183
7.2.1　多點GRE接口　184
7.2.2　下一跳解析協(xié)議　186
7.2.3　動態(tài)實例化IPSec代理　189
7.2.4　建立動態(tài)多點VPN　190
7.2.5　DMVPN架構(gòu)冗余　199
7.2.6　DMVPN模型小結(jié)　205
7.3　總結(jié)　205
第8章　IPSec和應(yīng)用的互操作性　207
8.1　支持QoS的IPSec VPN　208
8.1.1　IP QoS機(jī)制概述　208
8.1.2　IPSec對分類的影響　209
8.1.3　IPSec對QoS策略的影響　213
8.2　VoIP應(yīng)用對IPSec VPN的要求　214
8.2.1　延遲的影響　214
8.2.2　抖動的影響　215
8.2.3　分組丟失的影響　215
8.3　針對VoIP的IPSec VPN架構(gòu)考慮　217
8.3.1　分離VoIP和數(shù)據(jù)的架構(gòu)　217
8.3.2　IPSec遠(yuǎn)程接入網(wǎng)絡(luò)上的VoIP　218
8.3.3　IPSec保護(hù)的GRE架構(gòu)上的VoIP　219
8.3.4　VoIP星型架構(gòu)　220
8.3.5　DMVPN架構(gòu)中的VoIP　221
8.3.6　VoIP流量工程小結(jié)　223
8.4　IPSec VPN上的多播　223
8.4.1　IPSec保護(hù)的GRE上的多播　223
8.4.2　全互聯(lián)點到點GRE/IPSec隧道上的多播　225
8.4.3　DMVPN和多播　226
8.4.4　多播組安全　228
8.4.5　多播加密小結(jié)　231
8.5　總結(jié)　231
……