Tổng quan về công nghệ Mạng riêng ảo (VPN)

Kỹ thuật Tunneling trong mạng VPN điểm-nối điểm

Trong VPN loại này, giao thức mã hóa định tuyến GRE (Generic Routing Encapsulation) cung cấp cơ cấu "đóng gói" giao thức gói tin (Passenger Protocol) để truyền đi trên giao thức truyền tải (Carier Protocol). Nó bao gồm thông tin về loại gói tin mà bạn đang mã hóa và thông tin về kết nối giữa máy chủ với máy khách. Nhưng IPSec trong cơ chế Tunnel, thay vì dùng GRE, đôi khi lại đóng vai trò là giao thức mã hóa.

IPSec hoạt động tốt trên cả hai loại mạng VPN truy cập từ xa và điểm- nối-điểm.

Định dạng gói dữ liệu VPN

Như đã được mô tả ở phần trước, trước khi gói dữ liệu nguyên gốc được phân phát đến mạng đích thông qua tunnel, nó đã được mã hóa bởi FA. Bởi vì quá trình giao dịch thông qua Internet chủ yếu là dựa trên cơ sở IP, phần đầu này là phần IP header chuẩn phổ biến và chứa địa chỉ IP của FA, HA tham gia trong qua trinh giao dịch. Trường này chỉ ra loại giao thức của gói dữ liệu nguyên gốc (hoặc pay-load).

Phần này chứa thông tin kiểm tra tổng quát liệu gói dữ liệu có bị mất mát trong suốt qua trình giao dịch. Thông tin này được dùng để nhận dạng hoặc xác nhận nguồn thực của dữ liệu (bộ khởi tạo). Trường này chứa đựng 1 con số mà chỉ ra số tuần tự của gói dữ liệu trong một loạt các gói dữ liệu đãvà đang trao đổi.

Point-to-Point Protocol (PPP)

Cuối cùng, chỉ thiết bị PPP có thể cho một kết nối kép (2 chiều) có thể đối xứng hoặc không đối xứng và có thể thao tác theo phương thức chuyễn mạch hoặc chuyên dụng. Chú ý : Tiêu chuẩn cho việc đóng gói các gói dữ liệu thông qua các kết nối điểm-điểm là phương thức lỏng lẻo trong giao thức High-Level Data Link Control (HDLC). • Tiêu chuẩn cho việc thiết lặp và cấu hình một số các giao thức tầng mạng và phát hiện lỗi trong suốt quá trình giao dịch dưới hình thức của Network Control Protocol (NCP) phù hợp.

Sau khi nút đích chấp nhận yêu cầu kết nối và một kết nối được thiết lặp thành công, những tùy chọn thuận lợi được đã đàm phán, được xác định bời LCPs. Trường này chứa dãy số nhị phân 00000011, có nghĩa là frame đang mang dữ liệu của người dùng là một frame thiếu trình tự chỉ ra tính chất quá trình giao dịch không kết nối của PPP. Để tăng khả năng thành công khi trao đổi dữ liệu giữa 2 nút, PPP cũng đảm nhiệm chức năng điều khiển kết nối được thiết lặp giữa hai thông tin đầu cuối.

LCP dựa trên điều khiển kết nối xảy ra trong 4 giai đoạn, giai đoạn thiết lặp kết nối và đàm phán, giai đoạn xác định chất lượng kết nối, giai đoạn đàm phán giao thức tầng mạng, và giai đoạn kết thúc kết nối. Trước khi có bất kỳ sự trao đổi dựa trên PPP có thể xảy ra giữa 2 nút nguồn và đích, LCP phải thiết lặp (mở) kết nối giữa 2 đầu cuối và đàm phán các tham. Một sự kiện vật lý, như mất người vận chuyễn hoặc hết thời hạn của một khoảng thời gian nhàn rổi, sự ngắt kết nối bất thình lình sẽ xảy ra.

Ngày nay mặc dù không được sử dụng như VPNs, công nghệ PPP là nguyên tắc cơ bản cho các giao thức tunneling khác sử dụng rộng rãi trong VPNs. Thật vậy, tất cả các giao thức tunneling phổ biến đều dựa trên PPP và đóng gói PPP frames vào IP hay các datagram khác cho việc giao dịch thông qua mạng trung gian.

Point-to-Point Tunneling Protocol (PPTP)

• Các thành phần của quá trình giao dịch PPTP
• Quá trình xữ lý PPTP

Trong giai đoạn này, dữ liệu của giao thức tầng dưới (tầng Network) mà đã được đóng gói trong trường Protocol của PPP frame được đàm phán. PPTP client cũng phải được kết nối vào thiết bị VPN để có thể tunnel yêu cầu (và dữ liệu tiếp theo, nếu yêu cầu được chấp nhận) đến thiết bị VPN trên mạng từ xa. Kết nối đến các thiết bị VPN từ xa sử dụng kết nối quay số đầu tiên đến ISP’s NAS để thiết lặp một tunnel giữa hai thiết bị VPN thông quan Internet hoặc các mạng trung gian khác.

Không giống những yêu cầu cho các phiên kết nối VPN từ xa, yêu cầu cho một phiên VPN đến một mạng cục bộ không yêu cầu một kết nối đến ISP’s NAS. Khi các gói dữ liệu yêu cầu định tuyến cho một yêu cầu từ xa và một yêu cầu kết nối cục bộ khác nhau, gói dữ liệu được gắn kèm với 2 yêu cầu được xử lý khác nhau. Ngược lại, gói dữ liệu PPTP đến remote server được định tuyến thông qua phương tiện truyền thông vật lý được gắn kèm trong thiết bị thông tin, chẳng hạn như router.

Như hình 5-7, PPTP connection control được thiết lặp dựa trên cơ sở địa chỉ IP của client và server, sử dụng cổng TCP động và chiếm giữ cổng TCP 1723. Sau khi quá trình điều khiển kết nối được thiết lặp, các thông tin điều khiển và quản lý sẽ được trao đổi giữa các bên có liên quan trong quá trình giao tiếp. Những thông điệp này là những thông điệp có định kỳ bao gồm "PPTP-Echo-Request, PPTP- Echo-Reply" dùng để giúp đỡ trong việc dò tìm các kết nối PPTP hư hỏng giữa server và client.

Ơû một khía cạnh khác, nếu tunnel được đáp lại thông qua một kết nối WAN, phần đầu và đuôi mà được thêm vào gói dữ liệu một lần nữa thì không thay đổi. Khi dữ liệu PPTP được chuyển thành công đến người nhận mong muốn, người nhận phải xữ lý gói dữ liệu đã tunnel trích ra thành dữ liệu nguyên bản.

Mô tả mô hình

Quá trình xữ lý trích xuất PPTP-tunneled data một cách chính xác công việc phục hồi dữ liệu PPTP đã tạo hầm. Người nhận xữ lý và gở bỏ phần đầu và phần đuôi của tầng Data Link header mà đã được thêm vào bởi người gửi.

Thiết lập máy chủ CA (Certificate Authority) cho máy chủ OpenVPN và các máy khách

Trong bài Lab này chúng ta sẽ sinh một chứng chỉ gốc (Master Certificate Authority), một chứng nhận cho máy chủ và 3 chứng nhận cho máy khách. Giả sử máy chủ là Linux và Windows ta thực hiện các bước sau để sinh key. Câu lệnh cuối cùng để tạo CA certificate và key bằng việc kết hợp với câu lệnh openssl.

You are about to be asked to enter information that will be incorporated into your certificate request. Chú ý: Các tùy chọn đưa ra có thể đặt theo mặc định hoặc do người dùng tự quy định. Duy nhất một tham số yờu cầu phải nhập vào một cỏch rừ ràng là Common Name “FNC-CA”.

Bước cuối cùng trong quá trình tạo key là copy tất cả các tệp tới các máy khách có yêu cầu kết nối đến server Openvpn.

Cấu hình cho máy chủ và máy khách kết nối VPN .1 Tệp cấu hình cho máy chủ

# (The OpenVPN server machine may need to NAT. # the TUN/TAP interface to the internet in. # order for this to work properly).