【關於VPN的考試內容】
一、VPN(Virtual Private Network)：
虛擬專用網絡，是一門網絡新技術，為我們提供了一種通過公用網絡安全地對企業內部專用網絡進行遠程訪問的連接方式。
二、VPN使用三個方面的技術保證了通信的安全性：隧道協議、身份驗證和數據加密。
三
1.隧道技術是VPN的基本技術，類似於點對點連接技術，它在公用網建立一條數據通道(隧道)，讓數據包通過這條隧道傳輸。隧道是由隧道協議形成的，分為第二、三層隧道協議。第二層隧道協議是先把各種網絡協議封裝到PPP中，再把整個數據包裝入隧道協議中。這種雙層封裝方法形成的數據包靠第二層協議進行傳輸。第二層隧道協議有L2F、PPTP、L2TP等。L2TP協議是目前IETF的標準，由IETF融合PPTP與L2F而形成。 2、第三層隧道協議是把各種網絡協議直接裝入隧道協議中，形成的數據包依靠第三層協議進行傳輸。第三層隧道協議有VTP、IPSec等。IPSec(IP Security)是由一組RFC文檔組成，定義了一個系統來提供安全協議選擇、安全算法，確定服務所使用密鑰等服務，從而在IP層提供安全保障。
四、VPN的身份驗證方法：
1、PPP的身份驗證方法;2、CHAP：CHAP通過使用MD5(一種工業標準的散列方案)來協商一種加密身份驗證的安全形式。CHAP在響應時使用質詢-響應機制和單向MD5散列。用這種方法，可以向服務器證明客户機知道密碼，但不必實際地將密碼發送到網絡上。3、MS- CHAP：同CHAP相似，微軟開發MS-CHAP是為了對遠程Windows工作站進行身份驗證，它在響應時使用質詢-響應機制和單向加密。而且MS- CHAP不要求使用原文或可逆加密密碼。4、MS-CHAP v2：MS-CHAP v2是微軟開發的'第二版的質詢握手身份驗證協議，它提供了相互身份驗證和更強大的初始數據密鑰，而且發送和接收分別使用不同的密鑰。如果將VPN連接配置為用MS-CHAP v2作為唯一的身份驗證方法，那麼客户端和服務器端都要證明其身份，如果所連接的服務器不提供對自己身份的驗證，則連接將被斷開。5、EAP：EAP的開發是為了適應對使用其他安全設備的遠程訪問用户進行身份驗證的日益增長的需求。通過使用EAP，可以增加對許多身份驗證方案的支持，其中包括令牌卡、一次性密碼、使用智能卡的公鑰身份驗證、證書及其他身份驗證。對於VPN來説，使用EAP可以防止暴力或詞典攻擊及密碼猜測，提供比其他身份驗證方法(例如 CHAP)更高的安全性。 6、在Windows系統中，對於採用智能卡進行身份驗證，將採用EAP驗證方法;對於通過密碼進行身份驗證，將採用CHAP、MS-CHAP或MS- CHAP v2驗證方法。
五、VPN的加密技術。
VPN採用何種加密技術依賴於VPN服務器的類型，因此可以分為兩種情況。
1、對於PPTP服務器，將採用MPPE加密技術MPPE可以支持40位密鑰的標準加密方案和128位密鑰的增強加密方案。只有在MS-CHAP、MS- CHAP v2或EAP/TLS身份驗證被協商之後，數據才由MPPE進行加密，MPPE需要這些類型的身份驗證生成的公用客户和服務器密鑰。2、對於L2TP服務器，將使用IPSec機制對數據進行加密IPSec是基於密碼學的保護服務和安全協議的套件。IPSec對使用L2TP協議的VPN連接提供機器級身份驗證和數據加密。在保護密碼和數據的L2TP連接建立之前，IPSec在計算機及其遠程VPN服務器之間進行協商。IPSec可用的加密包括56位密鑰的數據加密標準DES和56位密鑰的三倍DES(3DES)
六、VPN有三種解決方案，用户可以根據自己的情況進行選擇。
這三種解決方案分別是：遠程訪問虛擬網(AccessVPN)、企業內部虛擬網(IntranetVPN)和企業擴展虛擬網(ExtranetVPN)，這三種類型的VPN分別與傳統的遠程訪問網絡、企業內部的Intranet以及企業網和相關合作夥伴的企業網所構成的Extranet相對應。
以思科路由器為例,你寫下單臂路由的配置命令?
答：router(config)#interface f0/1.1
router(config-if)#encapsulation dotlQ 100
router(config-if)#ip add
router(config-if)#no shutdown
router(config-if)#interface f0/1.2
router(config-if)#i encapsulation dotlQ 200
router(config-if)#i ip add
router(config-if)#no shutdown
