Tìm Hiểu Giao Thức L2TP

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC CÔNG NGHỆ TP HỒ CHÍ MINH Ngành: CÔNG NGHỆ THÔNG TIN Chuyên Ngành: MẠNG MÁY TÍNH VÀ TRUYỀN THÔNG Đề Tài: Tìm Hiểu Giao Thức L2TP MÔN: CHUYÊN ĐỀ Giảng Viên Hướng Dẫn: Nguyễn Đức Quang Sinh Viên thực hiện: Họ Tên Dương Minh Chiến Lê Duy An Mssv 1151020065 1151020057 Điện Thoại 01638277155 0906903799 TP Hồ Chí Minh, Năm 2014 Email Minhchien412@gmail.com Duyantkh@gmail.com Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Mục Lục L2TP Định nghĩa 1.1 RFC Liên Quan 1.2 Port, layer tpc/udp Công dụng 3 Các gói tin L2TP 3.1 Các loại thông điệp điều khiển 3.2 Cách thức xử lý thông điệp liệu 3.3 Cấu trúc gói tin Các đường hầm ( tunnel) 10 4.1 Đường hầm bắt buộc L2TP (L2TP Compulsory Tunnel Mode) 10 4.2 Đường hầm tự nguyện L2TP (L2TP Voluntary Tunnel Mode) 12 4.3 L2tp Ipsec 14 4.4 Nguyên lý hoạt động 16 LAB L2TP 18 I Mô Hình Giả Lập 18 Quá Trình Cài Đặt 19 Hình Chụp Lược Đồ Của Gói Tin Phân Tích Từng Trường Của Gói Tin 32 Giao Thức L2TP Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang L2TP Định nghĩa Giao thức đường hầm lớp (Layer Tunneling Protocol - L2TP) giao thức tiêu chuẩn IETF (Internet Engineering Task Force) công nhận Được công bố vào năm 1999 với RFC 2661 Nó kết hợp đặc điểm tối ưu giao thức có trước giao thức chuyển tiếp lớp (Layer Forwarding - L2F) Cisco giao thức đường hầm điểm-điểm (Point to Point Tunneling Protocol - PPTP) Microsoft L2TP sử dụng UDP port 500, 1701,4500 L2TP có tất đặc điểm ưu việt L2F, có thêm đặc điểm khác Một máy có cài đặt L2TP hoạt động với máy chủ cài đặt L2F máy chủ nâng cấp lên chạy L2TP LNS không yêu cầu thiết lập lại cấu hình LAC nâng cấp từ L2F lên L2TP 1.1 RFC Liên Quan  RFC 2341: Cisco Layer Two Forwarding (Protocol) "L2F" (a predecessor to L2TP)  RFC 2637: Point-to-Point Tunneling Protocol (PPTP) (a predecessor to L2TP)  RFC 2661: Layer Two Tunneling Protocol "L2TP"  RFC 2809: Implementation of L2TP Compulsory Tunneling via RADIUS  RFC 2888: Secure Remote Access with L2TP  RFC 3070: Layer Two Tunneling Protocol (L2TP) over Frame Relay  RFC 3145: L2TP Disconnect Cause Information  RFC 3193: Securing L2TP using IPsec  RFC 3301: Layer Two Tunnelling Protocol (L2TP): ATM access network  RFC 3308: Layer Two Tunneling Protocol (L2TP) Differentiated Services  RFC 3355: Layer Two Tunnelling Protocol (L2TP) Over ATM Adaptation Layer (AAL5) Giao Thức L2TP Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang  RFC 3371: Layer Two Tunneling Protocol "L2TP" Management Information Base  RFC 3437: Layer Two Tunneling Protocol Extensions for PPP Link Control Protocol Negotiation  RFC 3438: Layer Two Tunneling Protocol (L2TP) Internet Assigned Numbers: Internet Assigned Numbers Authority (IANA) Considerations Update  RFC 3573: Signaling of Modem-On-Hold status in Layer Tunneling Protocol (L2TP)  RFC 3817: Layer Tunneling Protocol (L2TP) Active Discovery Relay for PPP over Ethernet (PPPoE)  RFC 3931: Layer Two Tunneling Protocol - Version (L2TPv3)  RFC 4045: Extensions to Support Efficient Carrying of Multicast Traffic in Layer-2 Tunneling Protocol (L2TP)  RFC 4951: Fail Over Extensions for Layer Tunneling Protocol (L2TP) "failover" 1.2 Port, layer tpc/udp Công dụng L2TP cho phép người dùng từ xa truy cập vào mạng từ xa thông qua mạng công cộng với địa IP chưa đăng ký (hoặc riêng tư) Quá trình xác nhận chứng thực L2TP thực cổng mạng máy chủ Do đó, ISP không cần giữ liệu xác nhận quyền truy cập người dùng từ xa Hơn nữa, mạng riêng intranet định nghĩa sách truy cập riêng cho thân Điều làm qui trình xử lý việc thiết lập đường hầm nhanh so với giao thức tạo hầm trước Giao Thức L2TP Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Điểm L2TP tunnels L2TP thiếp lập đường hầm PPP không giống PPTP, không kết thúc gần vùng ISP Thay vào đó, đường hầm mở rộng đến cổng mạng máy chủ (hoặc đích), yêu cầu đường hầm L2TP khởi tạo người dùng từ xa cổng ISP Khi PPP frames gửi thông qua L2TP đường hầm, chúng đóng gói thông điệp User Datagram Protocol (UDP) L2TP dùng thông điệp UDP cho việc tạo hầm liệu trì đường hầm Ngoài ra, đường hầm liệu đường hầm trì gói tin, không giống giao thức tạo hầm trước, hai có cấu trúc gói liệu Các gói tin L2TP L2TP có hai loại gói tin: gói tin điều khiển gói tin liệu Các gói tin điều khiển sử dụng việc thiết lập, vận hành xoá bỏ đường hầm gọi Các gói tin liệu sử dụng để đóng gói gói tin PPP nhằm vận chuyển qua đường hầm Các gói tin điều khiển sử dụng kênh đáng tin cậy để truyền Các gói tin liệu không truyền lại có mát 3.1 Các loại thông điệp điều khiển Đối với thông điệp điều khiển phần header gói tin T=1 Các loại thông điệp quản lý việc thiết lập điều khiển kết nối: Để dành cho mục đích tương lai (SCCRQ) Start-Control-Connection-Request (Thông điệp yêu cầu thiết lập điều khiển kết nối) (SCCRP) Start-Control-Connection-Reply (Thông điệp trả lời việc yêu cầu thiết lập điều khiển kết nối) (SCCCN) Start-Control-Connection-Connected (Thông điệp thiết lập điều khiển kết nối) (StopCCN) Stop-Control-Connection-Notification (Thông điệp dừng việc thiết lập điều khiển kết nối) Để dành cho mục đích tương lai Giao Thức L2TP Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang (HELLO) Hello Các loại thông điệp quản lý gọi: (OCRQ) Outgoing-Call-Request (Thông điệp yêu cầu gọi đi) (OCRP) Outgoing-Call-Reply (Thông điệp trả lời gọi đi) (OCCN) Outgoing-Call-Connected (Thông điệp kết nối gọi đi) 10 (OCRQ) Outgoing-Call-Request (Thông điệp yêu cầu gọi đến) 11 (OCRP) Outgoing-Call-Reply (Thông điệp trả lời gọi đến) 12 (OCCN) Outgoing-Call-Connected (Thông điệp kết nối gọi đến) 13 Để dành cho mục đích tương lai 14 (CDN) Call-Disconnected-Notify (Thông điệp thông báo ngừng gọi) Báo lỗi: 15 (WEN) WAN-Error-Notify (Thông điệp thông báo lỗi WAN) Điều khiển phiên làm việc PPP: 16 (SLI) Set-Link-Info (Thông điệp thiết lập liên kết) Giao Thức L2TP Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang 3.2 Cách thức xử lý thông điệp liệu Tương tự việc đóng gói PPTP qua đường hầm, gói liệu L2TP trải qua nhiều mức đóng gói Các bước đóng gói bao gồm: - Đóng PPP vào liệu Không giống việc đóng gói PPTP, liệu không mã hoá trước đóng gói Chỉ có PPP header thêm vào phần liệu ban đầu - Đóng gói L2TP khung PPP Sau phần liệu ban đầu đóng gói vào gói PPP L2TP Header thêm vào - Đóng gói UDP khung L2TP Tiếp đó, gói L2TP đóng gói thành khung UDP Nói cách khác, UDP header thêm vào gói L2TP đóng gói Địa nguồn địa đích UDP header đặt 1701 (ngầm định) khác - Đóng gói IPSEc gói UDP Sau khung L2TP đóng gói theo UDP, khung UDP kết mã hoá IPSec ESP header thêm vào Một IPSec AH trailer (phần đánh lừa) thêm vào liệu sau đóng gói mã hoá - Đóng gói IP gói liệu IPSec Tiếp đến, IP header thêm vào gói IPSec vừa nhận IP header chứa địa IP L2TP server (LNS) người dùng từ xa - Đóng gói lớp liên kết liệu Cuối cùng, header tầng liên kết liệu thêm vào gói IP Phần header trailer lớp liên kết liệu giúp cho gói tin đến nút đích Nếu nút đích nằm mạng cục bộ, header trailer dựa kỹ thuật mạng cục LAN (chẳng hạn, chúng Ethernet-based) Mặt khác, nút đích nằm xa, PPP header trailer thêm vào gói tin đóng gói đường hầm Giao Thức L2TP Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Hình 3.2a: Quá trình đóng gói gói tin liệu L2TP Quá trình xử lý gói tin L2TP bên nhận ngược với trình đóng gói Khi thành phần L2TP (LNS người dùng cuối) nhận gói tin đóng gói theo L2TP, xử lý gói tin loại bở phần header trailer lớp liên kết liệu Tiếp đến, gói tin xử lý kỹ phần IP header loại bỏ Gói tin liệu sau xác thực cách kiểm tra thông tin có IPSec ESP header AH trailer IPSec ESP header sử dụng để giải mã thông tin mã hoá Tiếp đến, UDP header xử lý loại bỏ Các trường Tunnel ID Call ID L2TP header đóng vai trò xác định đường hầm phiên làm việc L2TP Cuối cùng, PPP header xử lý loại bỏ phần tải PPP (PPP payload) truyền tới giao thức phù hợp để xử lý Giao Thức L2TP Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Hình mô tả trình xử lý gói liệu L2TP bên nhận: Hình 3.2b: Quá trình xử lý gói L2TP bên nhận 3.3 Cấu trúc gói tin Các gói tin điều khiển liệu giao thức L2TP có khuôn dạng cho phần header Có số trường lựa chọn tuỳ thuộc vào loại gói tin Lưu ý trường chiều dài (Length), Ns, Nr trường tuỳ chọn gói tin liệu, gói tin điều khiển trường bắt buộc Giao Thức L2TP Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Cấu trúc phần header gói tin sau: Bit T (Type: kiểu) xác định dạng gói tin Nó có giá trị gói tin liệu gói tin điều khiển Nếu bit L (Length: chiều dài) 1, trường chiều dài xuất Bit bắt buộc phải có giá trị gói tin điều khiển Các bit X để dành cho mở rộng tương lai Tất bit để dành phải có giá trị gọi không cần quan tâm gọi đến Khi Bit S (Sequence: dãy số) có giá trị trường Ns Nr phải xuất Bit bắt buộc phải có giá trị gói tin điều khiển Khi Bit O (Offset) có giá trị trường Offset size phải xuất Bit phải có giá trị gói tin điều khiển Khi bit P (Priority: ưu tiên) 1, gói tin liệu nhận ưu tiên việc xếp hàng truyền Trong trường hợp này, yêu cầu LCP gửi kèm gói tin để đảm bảo liên kết luôn hoạt động Nếu LCP, có lúc liên kết bị đứt quãng Đặc điểm có gói tin liệu Bit P có giá trị gói tin điều khiển Phần Ver phải 2, số Version (phiên bản) L2TP đề cập đến tài liệu Giá trị để dành để dùng trường hợp gói tin L2F đến lẫn với gói tin L2TP Các gói tin nhận mà trường Ver bị loại bỏ Trường chiều dài (Length) mô tả chiều dài gói tin theo byte Giao Thức L2TP Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Chọn VPN Lan routing Chọn Finnish để kết thúc Giao Thức L2TP 22 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Màn hình kết Chuột phải tên server chọn properties Tab ipv4  Check Static address pool Giao Thức L2TP 23 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Chọn new  ok Tại tab sercurity  check Allow custom IPsec policy L2TP connection nhập preshake key: 123456 Giao Thức L2TP 24 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang B2: TẠO USER ”U1” TRÊN MÁY VPN SERVER, ĐỂ CLIENT DÙNG USER NÀY KẾT NỐI Cấp quyền Allow Access cho user u1: Kích chuột phải lên user u1 chọn properties  Tab Dial-in  Check vào Allow access Giao Thức L2TP 25 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang B3: TẠO KẾT NỐI TỪ MÁY CLIENT Mở Network Connections  Nhấn vào network and sharing center  chọn setup a connection or network Chọn Connected to a workplace Giao Thức L2TP 26 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Chọn dòng “use internet connection(VPN)” Nhập IP card Wan VPN server Giao Thức L2TP 27 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Nhập username password kết nối đến vpn server, u1 Nó biểu tượng “VPN Connection” kết nối VPN hình Giao Thức L2TP 28 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Right click vào biểu tượng trên, chọn properties Hộp thoại xuất hiện, ta chọn tab networking  panel Type of VPN ta chọn kiểu VPN: L2TP Ipsec VPN Giao Thức L2TP 29 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Sau đó, ta click vào button Ipsec Settings…  check use preshared key for authentication nhập key: 123456  ok Giao Thức L2TP 30 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Connect từ Client Xem giao thức L2TP Client ping pc bên mạng Giao Thức L2TP 31 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Client truy cập mạng nội Kết Client bên mạng truy cập liệu thành công đến mạng bên Hình Chụp Lược Đồ Của Gói Tin Phân Tích Từng Trường Của Gói Tin Do giao thức L2TP bảo mật nên thường triển khai với IPSEC, tiến trình tạo kết nối L2TP over IPSEC VPN tiến hành bắt gói wireshak sau:  Tiến trình tạo kết nối L2TP over IPSEC gồm bước:  Bước 1: L2TP over IPSEC bắt đầu trình thương lượng ipsec isakmp, sử dụng port 500 trao đổi khóa exchange key Giao Thức L2TP 32 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Giao thức isakmp  Protocol: udp  Port: 500  Ipsec sử dụng security association (sa) để thương lượng qua giao thức isakmp  Transform IKE(internet key exchange) Giao Thức L2TP 33 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang o o sử dụng thuật toán mã hóa: aes-cbc độ dài key: 256 o thuật toán hash: sha o phương thức xác thực: psk o thời gian sống là: 28800 tính seconds o Cho ta biết hãng sản xuất Microsoft, chạy hệ điều hành NT5 o Có rfc 3947 để thương lượng Nat in IKE o loại giao thức Microsoft L2TP/IPSEC VPN Client Tiếp theo trình trao đổi khóa exchange key Giao Thức L2TP 34 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang Key exchange data bị mã hóa  Bước 2: sau trình thương lượng ipsec SA thì, ESP thành lập hoạt động chế độ transport mode esp sử dụng port 50, lúc kênh bảo mật thành lập, tunnel l2tp chưa thành lập  Bước 3: Quá trình thương lượng thành lập tunnel l2tp diễn kênh bảo mật esp ipsec tạo trước Giao Thức L2TP 35 Sinh viên thực hiện: Dương Minh Chiến Lê Duy An Gvhd: Nguyễn Đức Quang  Protocol: layer tunneling protocol version  Tunnel id: 3903875037, số hiệu đường hầm tunnel  Type: control message connection  Length bit: trường chiều dài  Sequence bit: gồm ns nr fields  Version:  Ns: số sequence number cho control message 1104  Nr: số sequence number chuẩn bị nhận Giao Thức L2TP 36