《【精品IT资料】企业VPN配置说明.doc》由会员分享，可在线阅读，更多相关《【精品IT资料】企业VPN配置说明.doc（8页珍藏版）》请在三一文库上搜索。
1、中小企业安全路由器VPN配置作者: 张建清VPN极大地降低了用户的费用，而且提供了比传统方法更强的安全性和可靠性。但是对于初次接触的中小企业，时常发生有所不足的问题对于中小企业，VPN 相对于专线，在成本效益上的优点适合作为远程接入或是多个公司间联机的基础。企业信息化的风潮，包括ERP、财务软件、CRM、CAD/CAM的引入，更让不同的企业都感受到VPN的必要。对于略具规模的中小企业，利用现有的宽带接入，建置一个安全的远程或特定点之间的联机，显然很有必要。VPN极大地降低了用户的费用，而且提供了比传统方法更强的安全性和可靠性。但是对于初次接触的中小企业，或是有特殊需求的网管，仍时常发生有所不足
2、的问题。以下就Qno侠诺接触中小企业的经验，针对不同问题，加以说明如下：项目问题解决功能1有那些VPN标准?该如何选择?IPSec、PPTP、SmartLink、SSL2行动用户如何进行配置?该使用那一种客户端软件?窗口操作系统、VPN客户端软件3联机双方没有固定IP怎么办?如何设置动态DDNS功能?如何加强DDNS稳定性?是否有DDNS备援功能?动态DDNS功能、DDNS备援功能4多WAN VPN有那些特性?如何简化外点的配置? 是否能提供VPN备援功能?是否能于中央点一次完成所有点的监控?SmartLink VPN功能、中央控管功能5是否能解决跨网VPN不稳定问题?策略路由6不同外点之间是
3、否可以通联?在VPN上架设VoIP需要用到什么功能?VPN Hub功能7如何给予VPN封包较高的处理权限?如何确保VPN封包得到较多的带宽?带宽管理以下一一介绍相关功能一、 IPSec、PPTP、SmartLink、SSL VPN协定选定适合的VPN协调是一个规划VPN网管会碰到的问题。以下先介绍一个可用于规划VPN所使用的流程1. 依VPN应用及宽带接入决定总需要带宽，再决定总部线路及分支点线路，以及采用路由器WAN口数。2. 如分支点散布在不同ISP区域，需作跨网VPN规划，总部需申请不同ISP线路。3. 依应用需要决定VPN协议，常见的情况是混用不同的协议。网对网互联用IPSec或Sma
4、rtLink(侠诺科技特有的基于IPSec协议的简化的VPN连接方式)。简化管理可用SmartLink。单一用户或行动用户可用PPTP或IPSec，并决定适用VPN客户端软件。4. 建立管理政策，列出优先保留带宽的应用，及需加以管理排除的应用。5. 依需要WAN口及运算能力进行选型，决定总部及分支点产品。6. 进行网络拓朴规划及各接入点功能规划7. 加入网络安全及防护相关功能考虑在以上的流程中，VPN协议是一个需要决定的重大问题，必须根据远程访问的需求与目标而定。Qno侠诺的VPN提供不同的协议，可应用于不同的情况，主要支持的协议包括IPSec, PPTP, SmartLink, SSL。以下
5、分别介绍：1. IP_SECURITY协议(IPSec):是互联网工程任务组(IETF)为IP安全推荐的一个协议。通过相应的通道技术，可实现VPN、IPSec有两种模式：通道模式和传输模式。IPSec协议包括ESP(Encapsulating Security Payload)封装安全负载、AH(Authentication Header)报头验证协议及IKE密钥管理协议等，可以用在公共IP网络上确保数据通信的可靠性和完整性，能够保障数据安全穿越公网而没有被侦听。它的特点是安全性极高，适用于点对点的VPN配置。Qno侠诺科技IPSec通过国际VPNC认证，可以完成与其它VPN厂商的VPN设备相
6、连接。2. SSL的英文全称是“Secure Sockets Layer”，中文名为“安全套接层协议层”，它是网景(Netscape)公司提出的基于WEB应用的安全协议。SSL协议指定了一种在应用程序协议(如Http、Telenet、NMTP和FTP等)和TCP/IP协议之间提供数据安全性分层的机制，它为TCP/IP连接提供数据加密、服务器认证、消息完整性以及可选的客户认证。它的特点是无需客户端软件，使用方便，适用于用户安装配置不易或是特定应用情况。3. PPTP(Point to Point Tunneling Protocol)点对点隧道协议:是一种支持多协议虚拟专用网络的协议。通过该协议
7、，远程用户能够跨越 Microsoft Windows NT工作站、 Windows2000 和 Windows XP 操作系统以及其它点对点激活系统安全访问共同网络，并通过拨号本地互联网服务提供商安全链接它们互联网上的共同网络。优点也是简单易配置，对于初阶应用安全性足以因应。4. SmartLink VPN协议：这是Qno基于IPSec协议，所发展出特有SmartLink VPN功能，强调简易的配置及管理。Qno侠诺QVM路由器的功能里通过设置确认联机后，路由器将大部份的设定参数交由VPN网关自动完成，只要进行简单的总部服务器IP、用户名、及密码输入就能建立IPSec设定，也能轻易穿透不同的
8、IP环境，建立方便、快捷的VPN连接。有着PPTP简易配置的优点，又有IPSec的高度安全性，适用于点对点的联机。当前企业需要安全的点对点连接，或用单一装置进行远程访问，并且让企业拥有管理所有远程访问使用能力，应视使用的情况决定采用的技术为宜。IPSec可以保护任何IP流量，而SSL专注于应用层流量。IPSec适合长期的连接，即宽带、持续和网络层连接要求。SSL 仅适合于个别的，对应用层和资源的连接，而且支持的应用没有IPSec 多。实现外出出差员工通过PPTP拨号或VPN软件连接等方式连接公司网络完成相关工作。二、行动用户VPN软件对于在外的行动用户而言，除了SSL以外，往往都需要使用客户端
9、软件才能建立VPN。由于用户对配置了解程度不够，因此移动用户的客户端VPN软件，对网管造成相当的支持负担。Qno侠诺VPN支持不同的客户端软件，包括常见的窗口操作系统的IPSec/PPTP客户端、TauVPN、Greenbow VPN、Symantec VPN、Fortinet、SoftRemote、SSH都支持。对于注重成本的用户，可以选择窗口操作系统内建的客户端软件或是免费的CVP客户端软件，例如TauVPN或是SSH。其它的用户则可采用付费的商用软件，可得到对应的技术支持服务。三、动态DDNS功能有了远程配置，中小企业的网管还面临另一个问题，就是一般企业用的ADSL线路使用的为动态IP地
10、址。也就是IP地址是会变动的，今天和明天的IP不一定相同，这个小时和下个小时的IP也不一定相同。那网管要从家中，根本就找不到路由器了，要如何进行管理呢?还好，为了这个问题，市面上提供了动态域名的服务，用户的IP即使时时变动，也能通过固定的域名，对应到特定的路由器，可解决以上的问题。用户可以登记例如的域名，就再也不用记IP地址了。Qno侠诺路由器支持动态域名服务，为了服务侠诺用户，也建置了动态域名系统，提供给最新产品的用户使用。用户可到http:/ IPSec VPN的方式建立连接的。3).中央控管功能，让所有外点或分公司的VPN联机状态清楚且可直接在总部中心点中控画面，进入外点做设定。4).V
11、PN断线备份机制，营运商掉线可从另一广域网端口重建，让ISP断线困扰造成外点或分公司资料无法对总公司传送问题顺利解决。图二：QVM服务端配置画面，简化的配置省去网管配置客户端的时间。图三：QVM客户端配置画面，由原本二十多个参数减少到三个参数。五、QVM中央控管功能很多网管在进到办公室网络都需要一一登入到不同外点的VPN网关，以确定联机正常，这个工作占去了很多时间。以下这个功能可以简化这个工作：中央控管功能让总部VPN服务器管理画面上可看到所有分点联机情形，无需一一作远程登入，一眼即可了解整体VPN网络运作情况。同时它可支持直接登入各分点进行配置，远程控管功能让网管免于奔波轻松管理，省时省费用
12、。如图，我们可以点击远程用户“sunny”登录远程对路由器进行控制。图四：中央控管的服务状态显示，一个昼面即能显示多个点的VPN联机情况。六、 VPN备援掉线是网管在管理VPN时另一个害怕的问题。当所有的业务都依赖VPN进行时，一旦掉线，所有的人都会找网管要求解决。传统的VPN支持单线，如果因为线路问题，完全无计可施。不过侠诺的多WAN路由器支持备援功能，可提供更进一步的稳定保证。VPN备援功能是采用SmatLinkVPN连络时另一强大的功能。对于要求稳定的用户，它可增加VPN网络稳定性。输入QVM路由器中心端备援连接的IP或是网域名，一旦断线可从中心服务端路由器的另一个WAN端口自动建立VP
13、N联机，确保VPN服务永不断线，保证数据传输的安全。图五：线路备援配置，可选择从不同条线路重新播入中心端。七、 VPN Hub功能很多企业建置VPN是为了建置VoIP，以达到较佳的通话质量，可是在建立之后才发现只能建立各外点和中心点的VoIP连络，外点与外点之间无法通话。这是因为IPSec VPN是点对点互通的，并没有让各个外点互通，因此星状的VPN网络间，各外点间是不通的。VPN Hub功能就是打通这个限制，让各外点间可以通过总部中心点互通的，这大大增加了数据分享及分散管理的方便性。分点与总部连通后，可以让分点之间实现互联互通，不用再去各分点的设备之间建立通道，方便管理，更能节省资源。不同运
14、营商电信网通线路可通过总部中央点进行转换，让联机速度不延迟，解决跨网VPN联机很卡的问题。同时还能结合侠诺专长的带宽管理功能，让总部的网管人员可以控制不同分支持点间的互相联机，达到更严密控管的功能。图六：VPN配置画面的VPN Hub功能只能配合Qno专有的SmartLink VPN使用。八、策略路由有些企业由于经营的特性，在国内不同区域或国外都有分支办公室，都想经由VPN交流信息。但由于中国存在南电信北网通情况，位于南方的办公室往往采用电信线路，而位于北方的办公室则采用网通线路，因此总公司位于大都市，往往较有机会申请到二家运营商的线路。在采用单一线路时，若是总公司采用电信线路时，从网通线路建
15、立VPN的办公室，会发生不稳定或VPN掉线情况;反之若总公司采用网通线路由，则从电信建立VPN也会不稳定。若是采用多WAN路由器，总部可同时连接不同运营商线路，配合策略路由，指定不同运营商的分支办公室，各自由对应的线路建立VPN通道，则可解决南电信北网通跨网瓶颈。Qno侠诺路由器中均配备有自动策略路由配置，内部建有不同ISP的网段进行判断，用户只要启用即可。如果没有设定的范围，也可经由绑定协议或指定路由设定，或是手动键入方式达成。这样可解决企业面临的跨网VPN不稳定问题。九、 VPN及QoS带宽管理对于上网人数较多又需要采用VPN的企业，网管往往希望能将VPN带宽及一般上网带宽分开，以免互相受
16、到影响。多WAN路由器可支持多条线路，网管可将上网及VPN带宽分开，在这种情况下，VPN应用不致受到上网用户，例如BT下载的影响，而VPN应用需要带宽时，也不会限制一般用户的上网。对于VPN数据的传输是加密的，在传输过程以GRE/ESP的封包位于网络传输协议的网络层，如果我们需要对VPN的流量做QoS设定，比如保证VPN传输的质量，我们可以在QoS带宽管理将GRE/ESP的封包传输服务的优先级别调到最高级别来保证VPN联机的稳定畅通。图七：ESP/GRE封包传输优先级设定小结VPN的配置，已成为成长型中小企业必备基础。如何在安全之外，还能作到方便，相信对于很多网管是很需要的。Qno侠诺经由提供各种适用不同情况的功能，对于许多企业可以发挥到投入小效益大的效果。