VPN业务维护操作介绍与演示-cpass报告,内部资料编号：048,VDN平台的介绍 VDN平台的维护和管理 IPSEC VPN终端的配置 SSL VPN和IBC平台的管理维护,培训目录,认识VPN,VPN（Virtual Private Network ），即虚拟专用网。是指将物理上分布 在不同地点的网络通过公用骨干网络（如Internet）联接而成逻辑上的 虚拟子网。为了确保信息在公网上传输的安全性，VPN技术采用了认证、 存取控制、机密性、数据完整性等措施，以保证信息在传输过程中不会 被偷看、篡改和复制。 理解： 1、VPN是通过公网传输数据。公网传输的优点：成本低廉；公网传输的缺点：数据包容易被攫取。 2、VPN对有效数据采用了加密、认证等措施。即使数据包被攫取，也无法偷看、篡改和复制。只有目的端才能解密和查看数据，这就是VPN的专用性。 所以，VPN既利用了公网的优点，又具备了专网的安全。,了解IPSec,上面说到，VPN对数据进行了加密和认证。那么，这是如何实现的呢？ 答案就是隧道协议。VPN通过隧道协议对数据进行加密和认证。隧道协议有PPTP、L2TP、IPSec等。PPTP和L2TP是windows支持的协议。目前VPN使用最广泛同时也非常安全的隧道协议就是IPSec协议。,利用IPSec协议建立VPN隧道的过程就是加密和解密策略的“制定”过程。,A,B,这个过程由IPSec协议自动完成，但前提条件是A和B都能够相互找到对 方。那A和B如何找到对方呢？ 1、都是公网固定IP 2、A和B的其中一方是动态IP（如ADSL），另一方是固定IP 3、都是公网动态IP 前两种情况由于具有公网IP，使得A和B通过该IP就可以很容易找到对 方；但第三种情况就不容易了，由于IP不固定，而且随时都会变化，不 通过第三方，A和B是无法找到对方的。举例：租房和买房 谁来充当第三方呢？ 现在很多企业能够提供动态域名服务（DDNS），如花生壳，把动态IP与 静态域名捆绑，并定时更新，使得VPN对等方通过其提供的静态域名就可 以找到对方，目前，许多VPN厂商都与DDNS提供商进行了这种捆绑合作。,这样做最主要的好处是大大降低了产品的成本，但同时隐藏着最致命的缺陷：稳定性和 可管理性很差。而稳定性和可管理性又都是VPN产品的关键评估要素，尤其是稳定性。正 因为如此，我们奥联自主研发并首先推出了稳定性和可管理性极强的全动态IP地址的VPN 解决方案VDN架构体系。,VDN平台介绍,VDN（Virtual Domain Name），虚拟域名服务。VDN平台为每个独立的“集体”分配一个 虚拟域名，然后为该“集体”内的每个APN终端设备分配一个主机名，虚拟域名和主机名 共同确立该设备的标识，并且全球唯一。同时，在Internet上，我们自己开发出一种机 制来解析这些域名，使得在同一个域之间的主机能够相互按照事先预定的规则快速搜索 到同域的其他机器。 那么，是不是具备了虚拟域名和主机名就彼此可以通过VDN平台建立隧道了呢？当然不 是，因为这样是非常不安全的，虚拟域名和主机名是很容易被外界知道的，所以，VDN 平台又建立了许可证机制，分配域名和主机名的同时，也分配一个随机生成的许可证， 作为这台主机到VDN平台的身份标识，没有这个许可证就无法通过身份验证，当然就不 能与其它APN建立隧道。只有同时具备这三个参数才可以相互之间建立隧道。,A通过主识别号找到VDN，提交许可证到VDN请求认证通过， 并要求和B建立通信隧道 VDN通知A已经通过认证 B上网后也通过主识别号找到VDN提交许可证到VDN， 请求VDN认证通过，寻求是否可以和别的点建立通信隧道 VDN通知B已经通过认证 VDN将B的在线信息告诉A VDN将A的在线信息告诉B A通过获得的B的IP找到B并请求和B建立通信隧道 B响应A请求，并和A交流数据,双方最终建立成功隧道,实时维护,通过VDN平台可以实现： 1、身份认证 2、网络拓扑定义 3、快速部署大规模的VPN网络 4、集中管理功能 5、事件报警功能,VDN平台的介绍 VDN平台的维护和管理 IPSEC VPN终端的配置 SSL VPN和IBC平台的管理维护,培训目录,登陆VDN平台,北京VDN地址:https:/222.35.57.109 浙江VDN地址:https/222.46.120.11,目前VDN平台的管理帐号已经下发到各省，由各省负责业务的开通和维护。,新建立用户,添加新节点,添加新节点,查询在线节点,查询在线节点,查询在线节点,定义网络拓扑关系,VDN平台的介绍 VDN平台的维护和管理 IPSEC VPN终端的配置 SSL VPN和IBC平台的管理维护,培训目录,APN的安装,由于VDN平台的强大功能，使得APN终端设备建立VPN隧道变得非常安全和 快速，也使得安装变得相当简单。在已经配置上网线路的情况下，只需 要配置由VDN平台分配的虚拟域名、主机名和许可证号三个参数就可以让 APN设备之间快速建立VPN隧道。把复杂的参数配置过程就这样简单化了。 所以APN的安装过程就是配置上网线路和这三个参数的过程，其中配置上 网线路跟普通路由器几乎没有区别。,1、安装前说明 安装前请准备一定长的交叉网线 安装前请安说明书检查设备附件 LAN口缺省IP：192.168.32.200 APN缺省登陆帐号信息 帐号：root 密码：gw1admin 确认已有APN许可证信息，如果没有请联系负责人或厂商技术支持 建议修改缺省IP并使用规划合理的IP网段 建议修改帐号的缺省密码 配置完成请及时做好系统备份，具体操作请参考使用说明书 安装完成请妥善保管所有附件及系统有用信息,APN安装：硬件连线指导,APN安装：配置调试步骤,正确将APN联入网络后，正常使用APN需要进行以下信息配置 第一步：APN LAN口IP配置 修改本地配置电脑IP及网关配置 使用缺省IP登陆APN web管理界面 为APN配置新的LAN IP地址 第二步：APN WAN口上网方式配置 第三步：APN许可证信息配置,VDN平台的介绍 VDN平台的维护和管理 IPSEC VPN终端的配置 SSL VPN和IBC平台的管理维护,培训目录,SSLVPN的发展,SSL协议 SSL VPN即指采用SSL （Security Socket Layer）协议来实现远程接入的一种新型VPN技术。SSL协议是网景公司提出的基于WEB应用的安全协议，它包括：服务器认证、客户认证（可选）、 SSL链路上的数据完整性和SSL链路上的数据保密性。对于内、外部应用来说，使用SSL可保证信息的真实性、完整性和保密性。目前SSL 协议被广泛应用于各种浏览器应用。正因为SSL 协议被内置于IE等浏览器中，使用SSL 协议进行认证和数据加密的SSL VPN就可以免于安装客户端。相对于传统的IPSEC VPN而言，SSL VPN具有部署简单，无客户端，维护成本低，网络适应强等特点,IPSEC VPN和SSL VPN的比较,IT环境 IPSec VPN SSL VPN 连接类型 固定连接 短暂连接 设备类型 可控的公司设备 经常变动的设备 接入类型 Site-to-site 远程员工，合作伙伴 访问控制 防火墙控制 允许增强的接入管理策略,IBC平台介绍,奥联IBC运营平台,是基于IBC认证加密体系进行客户端身份认证的运营管理平台。针对铁通SSL VPN具体业务,该平台可以为每个申请SSL业务的客户端用户生成带有邮件”标识”的唯一私钥,并结合奥联的IBC-USBKey,共同为企业的SSL VPN应用提供安全可靠的接入认证体系。同时,基于该平台,铁通公司可以实现该业务的运营。,身份认证 机制,运营服务,月服务费用,登陆平台方式,选择企业管理,省分业务界面,选择“下级企业”输入业务帐号和密码后进行业务管理操作登陆。如：北京分公司输入：cttbj 密码默认88888888,功能： 1、按地市生成分组； 2、生成、管理业务用户信息和帐号； 3、发送邀请邮件给客户，客户自行生成私钥； 4、管理用户私钥和标识； 5、业务查询和管理；,登陆,业务操作说明,在用户管理窗口下可新增用户，并输入相关用户信息，同时将用户分到相应的分组中。 注意：一定要填写客户有效的邮件地址作为私钥标识。,业务操作说明,省分业务管理员在IBC平台成功录入了用户的基本信息后，IBC平台会自动向用户的指定邮箱发送私钥生成的邀请链接！ 注意：在此为了保证客户的安全，私钥的生成一定需要客户自行打开邮箱，点击该链接，才能生成私钥，即使是铁通IBC管理员，也不可能生成客户的私钥。,用户私钥下载,用户点击了邀请链接后，用户自动登陆的到私钥生成界面，插入USBKey到电脑，输入默认服务密码，初始为88888888,同时进行服务密码的修改！并勾选“是否将私钥写入USBKEY”，然后提交。 注意：为了安全请客户修改服务密码，并记住新的密码！,用户私钥下载,输入服务密码（以后登陆IBC平台的密码）和USBKey的 Pin密码（USBKey的保护密码）将私钥下载到USBKey中去。 注意：为了保证用户的安全，用户必须保证这两个密码的安全，如有问题请即使联系管理人员，做出相应的处理。,过程演示,使用IBC KEY从外网接入APN，访问各服务器的演示,谢谢!,