97国际

不必推倒重修,老终端也能焕新 丨 97国际教育云电脑老客户升级分享会
预约直播
融合光加速,慧联全场景 丨 97国际极简以太彩光5.0 界说万兆园区全场景新范式
预约直播
97国际·(中国区)集团官方网站
产品
< 返回主菜单
产品中心
产品
解决计划
< 返回主菜单
解决计划中心
行业
合作伙伴
返回主菜单
选择区域/语言
97国际·(中国区)集团官方网站

您订阅的产品有更新,请实时查阅

审查详情
97国际·(中国区)集团官方网站 97国际·(中国区)集团官方网站

VPN手艺浅谈之怎样安排远程办公网络

【VPN手艺】本文从端到站点VPN的看法简述、手艺选择、安排与使用这三面举行睁开解说,希望能够资助列位读者深入相识到怎样安排远程办公网络。

  • 97国际·(中国区)集团官方网站

    宣布时间:2020-02-17

  • 97国际·(中国区)集团官方网站

    点击量:

  • 97国际·(中国区)集团官方网站

    点赞:

分享至

97国际·(中国区)集团官方网站
97国际·(中国区)集团官方网站
97国际·(中国区)集团官方网站

我想谈论

前言

在武汉爆发新型冠状病毒疫情的配景下,各公司都已经启动了节后在家办公的机制,中国正上演一场全球最大规模的在家远程办公,志同道合战疫情。为了使远程办公的员工清静、便捷地会见公司内网资源,使用VPN手艺是最合适的选择。

什么是VPN手艺?VPN属于远程会见手艺,简朴地说就是使用公用网络架设专用网络。远程办公的员工可以通过VPN在互联网上架设一条清静的通道到公司的内网并会见公司资源。

随着VPN手艺的生长,目今保存许多差别的VPN手艺,若是凭证营业用途可以将VPN分为“站点到站点VPN”和“端到站点VPN”两类。站点到站点VPN常用于两个公司之间的网络互通,典范的场景是总部和分支之间,好比L2TP VPN、L2TP over IPSec VPN、IPSec VPN、GRE over IPSec VPN、SSL VPN等。端到站点VPN常用于远程办公职员和公司网络互通,好比PPTP VPN、L2TP VPN、L2TP over IPSec VPN、SSL VPN等。本文从端到站点VPN的看法简述、手艺选择、安排与使用这三面举行睁开解说,希望能够资助列位读者深入相识到怎样安排远程办公网络。

97国际支持VPN的装备有许多种,差别装备对各VPN手艺的支持情形略有差别,本文以97国际网关装备为例给各人解说VPN的选择与安排,如读者使用其他装备欢迎联系97国际工程师或到97国际官网咨询,谢谢。

97国际·(中国区)集团官方网站

▲ 图1:常见企业VPN接入拓扑模子

端到站点VPN手艺简述

1、PPTP VPN手艺

PPTP最早由微软等厂商主导开发的一种点对点二层隧道手艺,PPTP通讯需要建设两个毗连,控制毗连和隧道毗连,控制毗连使用TCP协议(TCP端口号1723)建设控制通道来发送控制下令,隧道毗连使用GRE通道(IP协议号47)来封装PPP数据包来发送数据。

97国际·(中国区)集团官方网站

▲ 图2:PPTP报文名堂(控制报文)

97国际·(中国区)集团官方网站

▲ 图3:PPTP报文名堂(数据报文)

PPTP VPN手艺目今保存一些缺乏,首先PPTP VPN只能在IP网络上使用 ;其次由于正常情形下GRE报文无法通过NAT,使得NAT装备需要支持应用层网关(Application Layer Gateway,ALG)功效才华安排 ;最后PPTP VPN对传输的数据不加密,清静性较低,以是微软已经不再建议使用这个协议。

ALG:通俗NAT实现了对UDP或TCP报文中的IP地址及端口转换,但对应用层数据载荷中的字段无能为力,导致一些协议不可被NAT,好比DNS、FTP、H323、PPTP、TFTP、SIP。ALG手艺能对多通道协议举行应用层报文信息的剖析和地址转换,将载荷中需要举行地址转换的IP地址和端口或者需特殊处置惩罚的字段举行响应的转换和处置惩罚,以后包管以上协议NAT后的准确性。

2、L2TP VPN手艺和L2TP over IPSec VPN手艺

L2TP和PPTP相同也提供一种跨越原始数据网络(如IP网络)构建二层隧道的机制,L2TP团结了PPTP和L2F这两种协议的优点。关于L2TP和PPTP作者经常被问到一个问题,PPTP和L2TP是否是统一个手艺、两者有什么差别?着实它们是实现相同功效的差别手艺,都是作为隧道手艺实现对PPP数据帧的封装,总结来说有如下三点差别:

a、L2TP通讯使用的控制毗连和隧道毗连都是UDP协议(UDP端口号1701),使得L2TP比PPTP能更好地穿越NAT装备

b、L2TP支持对隧道的验证及包头压缩,而PPTP不支持

c、L2TP支持在IP网络、以太网等多协议之上传输,而PPTP只支持在IP网络中传输

L2TP VPN传输的数据仍未举行加密,为解决L2TP VPN的清静性问题,L2TP over IPSec VPN手艺团结了L2TP和IPSec两种手艺的优势,先用L2TP封装再用IPSec封装,通过L2TP实现用户验证和地址分派,并使用IPSec包管数据的清静性。

97国际·(中国区)集团官方网站

▲ 图4:L2TP报文名堂(控制报文和数据报文相同名堂)

97国际·(中国区)集团官方网站

▲ 图5:L2TP over IPSec报文名堂

3、SSL VPN手艺

SSL VPN是基于SSL协议建设远程清静会见通道的VPN手艺,SSL协议建设好底层的VPN隧道,交互的数据封装在隧道中传输。

SSL VPN相比于另外三种VPN手艺有如下四点优势:

a、客户端安排简朴:用户若是使用WEB方法接入SSL VPN,终端无需举行设置,可直接使用浏览器会见HTTP资源 ;若是使用清静隧道方法接入SSL VPN,只需第一次使用时装置SSL VPN客户端,后续直接使用客户端登录即可

b、精准的用户权限控制:可对使用SSL VPN的差别用户或用户组授权基于IP、协议、端口中分派差别资源权限

c、安排利便无邪:相比于PPTP VPN和L2TP VPN只能使用协议默认的TCP 1723和UDP 1701端口,SSL VPN可以使用恣意端口,且由于SSL协议位于传输层与应用层之间不会改变IP报文和TCP报文,以是使得SSL VPN可以无邪穿透NAT装备

d、较高的清静性:SSL VPN使用加密和署名手艺,包管了传输数据的清静性和完整性,并支持使用数字证书对身份源举行验证,可实现对传输数据举行加密、完整性校验和身份源验证三重清静� ;�

端到站点VPN手艺选择

端到站点VPN手艺看起来许多,着实选择一个适合自己企业的VPN手艺并不难。读者可从清静性、使用VPN的终端类型、安排网络情形这三个角度举行判断便能快速确定出适用的VPN手艺。

首先,要关注使用VPN隧道传输的数据是否需要加密。其次,要关注使用VPN的终端类型,差别的VPN手艺目今支持的终端类型有所差别。最后,要关注VPN装备是作为出口NAT装备照旧穿透出口NAT装备,如图6所示。

97国际·(中国区)集团官方网站

▲ 图6:VPN装备安排方法模子图

97国际·(中国区)集团官方网站

▲ 表1:VPN手艺支持情形一览表

端到站点VPN手艺安排与使用

本节主要解惑两个问题:

1、 怎样在VPN装备上安排VPN手艺

2、 怎样在终端上举行VPN设置

本文重点为各人先容目今推荐使用的两种VPN手艺,L2TP over IPSec VPN和SSL VPN的设置要领。

VPN安排办法

VPN装备安排在出口NAT装备之下场景,设置时通常有如下三个办法:

1)  出口NAT装备举行端口映射,下表列出各VPN手艺使用的端口以供参考

2)  添加路由,包管VPN网段的内网可达

3)  VPN装备举行VPN设置

97国际网关SSL VPN在默认情形下使用TCP443端口和UDP443端口,端口号可修改。其中TCP端口用于提供HTTPS服务,如用户会见SSL VPN登录页面,而UDP端口用于提供清静隧道服务,如隧道协商、IP地址分派等。以是若是只使用SSL VPN的WEB接入时仅映射TCP端口即可,若是使用SSL VPN的清静隧道接入(SSL VPN客户端接入)时需同时映射TCP和UDP端口。

VPN装备作为出口NAT装备场景设置时只需设置以上办法二和办法三即可。

97国际·(中国区)集团官方网站

▲ 表2:VPN手艺使用的端口情形

VPN装备设置及使用

1、L2TP over IPSec VPN

1)   登录装备的WEB界面,单击“网络”“VPN设置”进入VPN设置界面,单击“我在总部”下面的“最先设置”

97国际·(中国区)集团官方网站

▲ 图7:97国际网关装备VPN设置界面

2)   随后进入VPN设置向导界面,单击“L2TP IPSec”。没有履历的使用者可以凭证自身需求单击“隧道需加密”“支持IOS终端”“支持安卓终端”“支持WIN使用”其中的一项或多项,装备会推荐最合适的VPN类型

97国际·(中国区)集团官方网站

▲ 图8:VPN类型选择设置界面

3)   在举行VPN基本信息的设置时需要注重,客户端使用地址要确保未在局域网中使用,不然会造成通讯异常,别的建议DNS服务器设置成和局域网用户相同的DNS阻止资源会见异常

97国际·(中国区)集团官方网站

▲ 图9:VPN基础设置界面

4)   关于VPN用户身份源,可以使用“外地账号”或“Radius服务器账号”,读者可以凭证企业自身情形无邪选择

97国际·(中国区)集团官方网站

▲ 图10:VPN用户账号设置界面

5)   在设置IPSec的IKE战略和转换集时需要注重,要提前确认好VPN终端支持的IPSec协商参数,确保所有VPN终端都可以和VPN装备IPSec协商乐成,若是无法确认可以使用以下的协商参数(IKE战略:DES-SHA-Group1,转换集:ESP-DES、ESP-SHA-HMAC),现在大大都主流的终端装备都支持该协商参数

97国际·(中国区)集团官方网站

▲ 图11:L2TP IPSec参数设置界面

6)   在L2TP over IPSec VPN设置乐成界面有终端设置指南的链接,网络管理员可将链接同步给VPN使用者,便于指导VPN使用者怎样在终端上举行VPN设置

97国际·(中国区)集团官方网站

▲ 图12:VPN设置完成界面

2、SSL VPN

1)   登录装备的WEB界面,单击“网络”“SSLVPN设置”进入SSL VPN设置页面,单击“最先设置”

97国际·(中国区)集团官方网站

▲ 图13:97国际网关装备SSL VPN设置界面

2)   随后进入SSL VPN设置向导界面,单击“典范应用”,该安排模式适用于终端远程办公场景

97国际·(中国区)集团官方网站

▲ 图14:SSL VPN安排模式设置界面

3)   在举行SSL VPN基本信息的设置时,可自行界说SSL VPN服务端口,别的建议DNS服务器设置成和局域网用户相同的DNS阻止有些资源会见异常。关于SSL VPN用户认证方法,可以使用“外地认证”、“Radius服务器”和“优先外地认证”三种方法,读者可以凭证企业自身情形无邪选择

97国际·(中国区)集团官方网站

▲ 图15:SSL VPN基本设置界面

4)   在举行SSL VPN客户端网段的设置时需要注重,客户端使用地址要确保未在局域网中使用,不然会造成通讯异常

97国际·(中国区)集团官方网站

▲ 图16:SSL VPN接入资源设置界面

5)   SSL VPN可对差别用户或用户组授权差别资源,在用户登录SSL VPN后SSL VPN装备就会把授权的资源下发到终端(SSL VPN装备以下发路由的形式下发到终端的路由表中)。网关默认有两个资源“所有网络”和“局域网”(当给用户授权“所有网络”SSL VPN装备会给终端下发一条0.0.0.0/0下一跳是SSL VPN装备的默认路由,当给用户授权“局域网”SSL VPN装备会给终端下发10.0.0.0/8、172.16.0.0/12、192.168.0.0/16三条下一跳是SSL VPN装备的路由)读者可凭证网络现真相形基于IP、协议、端口界说差别的资源授权给用户。用户登录SSL VPN乐成后可以通过审查本机的路由表审查到下发的路由(Windows终端在CMD上通过route print下令可以审查本机路由表)。

97国际·(中国区)集团官方网站

▲ 图17:SSL VPN用户资源授权设置界面

6)   在SSL VPN设置乐成界面会显示SSL VPN地址,网络管理员将SSL VPN地址同步给VPN使用者,VPN使用者装置好SSL VPN客户端输入SSL VPN地址完成SSL VPN接入

97国际·(中国区)集团官方网站

▲ 图18:SSL VPN设置完成界面

7)   VPN使用者可以通过“WEB接入”或“清静隧道接入”的方法接入SSL VPN。需要注重的是WEB接入的资源容易受到网站的限制,推荐读者使用“清静隧道接入”方法

97国际网关11.1(6)B9及以上版本除部分高端型号(EG2000UE/2000XE/3000XE)外其他型号已不再支持WEB接入方法

a) WEB接入

VPN用户使用WEB浏览器登录,登录乐成后可以使用浏览器直接会见网络管理员提前设置好的基于HTTP的应用程序

97国际·(中国区)集团官方网站

▲ 图19:97国际网关装备SSLVPN WEB登录页面

97国际·(中国区)集团官方网站

▲ 图20:WEB接入后可会见快捷资源或其他网络权限规模内的资源

b) 清静隧道接入

VPN用户使用SSL VPN客户端登录,登录乐成后从VPN装备获取一个虚拟IP地址用于与公司内网资源通讯,实现远程接入用户与内网服务器,像在局域网一样在网络层(即IP层)之上的清静通讯,包括TCP、UDP、ICMP类型的应用等

97国际·(中国区)集团官方网站

▲ 图21:97国际网关SSLVPN客户端登录页面

8)   VPN使用者可通过以下两种方法获取SSL VPN客户端:

a)   网络管理员登录97国际官网(详细地址:http://www.ruijie.com.cn/fw/wt/82396/)下载SSL VPN客户端同步给VPN使用者

b)   VPN使用者使用浏览器登录SSL VPN地址,在WEB接入界面首页可下载SSL VPN客户端

97国际·(中国区)集团官方网站

▲ 图22:VPN使用者可通过浏览器登录SSL VPN地址下载SSL VPN客户端

 

97国际·(中国区)集团官方网站

 

相关推荐:

97国际·(中国区)集团官方网站 97国际·(中国区)集团官方网站

点赞

更多手艺博文

任何需要,请联系97国际

97国际·(中国区)集团官方网站

返回顶部

收起
97国际·(中国区)集团官方网站 文档AI助手
97国际·(中国区)集团官方网站 文档评价
资料内容是否对您有资助?
您对目今页面的知足度怎样?
不咋滴
很是好
您知足的缘故原由是(多�。�?
您对文档是否尚有其它的问题或建议?
为尽快解决问题,请您留下联系方法以便回复
邮箱
手机号
谢谢您的反�。�
97国际·(中国区)集团官方网站
97国际·(中国区)集团官方网站
97国际·(中国区)集团官方网站
请选择服务项目
关闭咨询页
售前咨询 售前咨询
售前咨询
售后服务 售后服务
售后服务
意见反响 意见反响
意见反响
更多联系方法
网站地图