【關於VPN的考試內容】
一、VPN(Virtual Private Network)：
虛擬專用網路，是一門網路新技術，為我們提供了一種通過公用網路安全地對企業內部專用網路進行遠端訪問的連線方式。
二、VPN使用三個方面的技術保證了通訊的安全性：隧道協議、身份驗證和資料加密。
三
1.隧道技術是VPN的基本技術，類似於點對點連線技術，它在公用網建立一條資料通道(隧道)，讓資料包通過這條隧道傳輸。隧道是由隧道協議形成的，分為第二、三層隧道協議。第二層隧道協議是先把各種網路協議封裝到PPP中，再把整個資料包裝入隧道協議中。這種雙層封裝方法形成的資料包靠第二層協議進行傳輸。第二層隧道協議有L2F、PPTP、L2TP等。L2TP協議是目前IETF的標準，由IETF融合PPTP與L2F而形成。 2、第三層隧道協議是把各種網路協議直接裝入隧道協議中，形成的資料包依靠第三層協議進行傳輸。第三層隧道協議有VTP、IPSec等。IPSec(IP Security)是由一組RFC文件組成，定義了一個系統來提供安全協議選擇、安全演算法，確定服務所使用金鑰等服務，從而在IP層提供安全保障。
四、VPN的身份驗證方法：
1、PPP的身份驗證方法;2、CHAP：CHAP通過使用MD5(一種工業標準的雜湊方案)來協商一種加密身份驗證的安全形式。CHAP在響應時使用質詢-響應機制和單向MD5雜湊。用這種方法，可以向伺服器證明客戶機知道密碼，但不必實際地將密碼傳送到網路上。3、MS- CHAP：同CHAP相似，微軟開發MS-CHAP是為了對遠端Windows工作站進行身份驗證，它在響應時使用質詢-響應機制和單向加密。而且MS- CHAP不要求使用原文或可逆加密密碼。4、MS-CHAP v2：MS-CHAP v2是微軟開發的'第二版的質詢握手身份驗證協議，它提供了相互身份驗證和更強大的初始資料金鑰，而且傳送和接收分別使用不同的金鑰。如果將VPN連線配置為用MS-CHAP v2作為唯一的身份驗證方法，那麼客戶端和伺服器端都要證明其身份，如果所連線的伺服器不提供對自己身份的驗證，則連線將被斷開。5、EAP：EAP的開發是為了適應對使用其他安全裝置的遠端訪問使用者進行身份驗證的日益增長的需求。通過使用EAP，可以增加對許多身份驗證方案的支援，其中包括令牌卡、一次性密碼、使用智慧卡的公鑰身份驗證、證書及其他身份驗證。對於VPN來說，使用EAP可以防止暴力或詞典攻擊及密碼猜測，提供比其他身份驗證方法(例如 CHAP)更高的安全性。 6、在Windows系統中，對於採用智慧卡進行身份驗證，將採用EAP驗證方法;對於通過密碼進行身份驗證，將採用CHAP、MS-CHAP或MS- CHAP v2驗證方法。
五、VPN的加密技術。
VPN採用何種加密技術依賴於VPN伺服器的型別，因此可以分為兩種情況。
1、對於PPTP伺服器，將採用MPPE加密技術MPPE可以支援40位金鑰的標準加密方案和128位金鑰的增強加密方案。只有在MS-CHAP、MS- CHAP v2或EAP/TLS身份驗證被協商之後，資料才由MPPE進行加密，MPPE需要這些型別的身份驗證生成的公用客戶和伺服器金鑰。2、對於L2TP伺服器，將使用IPSec機制對資料進行加密IPSec是基於密碼學的保護服務和安全協議的套件。IPSec對使用L2TP協議的VPN連線提供機器級身份驗證和資料加密。在保護密碼和資料的L2TP連線建立之前，IPSec在計算機及其遠端VPN伺服器之間進行協商。IPSec可用的加密包括56位金鑰的資料加密標準DES和56位金鑰的三倍DES(3DES)
六、VPN有三種解決方案，使用者可以根據自己的情況進行選擇。
這三種解決方案分別是：遠端訪問虛擬網(AccessVPN)、企業內部虛擬網(IntranetVPN)和企業擴充套件虛擬網(ExtranetVPN)，這三種類型的VPN分別與傳統的遠端訪問網路、企業內部的Intranet以及企業網和相關合作夥伴的企業網所構成的Extranet相對應。
以思科路由器為例,你寫下單臂路由的配置命令?
答：router(config)#interface f0/1.1
router(config-if)#encapsulation dotlQ 100
router(config-if)#ip add
router(config-if)#no shutdown
router(config-if)#interface f0/1.2
router(config-if)#i encapsulation dotlQ 200
router(config-if)#i ip add
router(config-if)#no shutdown
