CISCO VPN技术常见的11个问题

2020-04-02 16:59:21 云杰通信 119

CISCO VPN技术常见的11个问题

1.为什么CISCO力推第二层隧道协议,而不是第三层隧道协议?

CISCO都提供这两种方案。CISCO没有着重强调那一个。第二层隧道协议主要用在访问VPN方案,而第三层隧道协议则对Intranet和Extranet提供VPN方案支持。第三层隧道协议同样也可用于一些访问VPN的方案,例如,客户端初始化的隧道模式和Internet大规模的访问解决方案。

2.什么是第三层隧道?

第三层隧道不是一个新的技术。RFC1701中定义的GRE已经存在很长时间了。CISCO在自从ios版本9.21就支持该技术。Ipsec是新的为支持加密隧道而定义的IETF标准。CISCO自从ios版本11.3(3)T支持该项特性。CISCO在ios版本12.0(1)T支持移动IP。

3.GRE的主要作用是什么?

GRE是一种基于IP的隧道技术,它可被用来在基于IP的骨干网上传输多种协议的数据流量,如IPX、AppleTalk等。同时,GRE还可被用来在Internet网络上通过隧道传输广播和组播信息,如路由更新信息等。需要注意的是,在使用GRE之前需要先在作为VPN终点设备的物理接口上进行相关配置,随后可以使用诸如IPSec等安全措施保护隧道。

4.语音和数据集成的数据流是否能够通过VPN进行很好的传输,Cisco的哪些设备支持该项功能?

一般来讲,如果没有硬件加速、压缩以及优秀的QOS机制,使用加密机制如IPSec传输语音几乎是无法想象的。目前,我们已经距离通过VPN传输加密的语音和数据的组合数据流的目标越来越近,在7100系列路由器中使用硬件加密技术已经成为现实,在不远的将来,这一功能将会在Cisco7200、3600、2600以及1700系列的路由器中实现。另外,通过使用对IPSec数据包的LZS压缩技术和QOS机制如NBAR,都将加速语音的VPN传输。

5.使用基于VPN的防火墙解决方案与使用基于IPSec的路由器解决方案相比较,有哪些优势和不足?

优势:

集成的解决方案,不需安装额外的设备。

降低了设备投资成本,减少了设备支持和维护工作。

不足:

防火墙可能不支持路由功能和其它一些特性,如QOS。

在同一台设备上同时执行防火墙和加密功能,将会影响设备的性能。

在特定的VPN设备上同时支持的VPN隧道数量过于巨大。

6.IPSec是什么?它是否是一种新的加密形式?

IPSec是一套用来通过公共IP网络进行安全通讯的协议格式,它包括数据格式协议、密钥交换和加密算法等。IPSec在遵从IPSec标准的设备之间提供安全的通讯,即使这些设备可能是由不同厂商所提供的。

7.L2TP和IPSec在VPN的接入实施中起到什么作用?

L2TP提供隧道建立或封装,以及第二层验证。IPSec提供L2TP隧道的加密,从而可以提供对会话的安全保证。用户可以在隧道模式中自己使用IPSec功能,但L2TP可以提供更好的用户验证功能。

8.IPSEC和CET的比较?

答案在于你的要求。如果你所需要的是CISCO路由器到CISCO路由器的数据加密,你就可以用CET,他是更成熟,更高速的解决方案。如果你需要基于工业界标准,提供对多厂商和远端客户访问连接的支持,你就该用IPSEC。再者,如果你要在有或没有加密的情况下对数据认证的支持,IPSEC也是正确的选择。如果你愿意,你可以在网络中同时配置CET和IPSEC,甚至在同一个设备上。CISCO设备可以同时支持对多个终端的CET安全会话和IPSEC安全会话。

9.Cisco系列VPN路由器一般可以支持多少个远端移动用户?

Cisco1700系列VPN路由器可以支持20-30个用户,如果采用硬件加速技术,则可以支持100个左右的用户。Cisco2600/3600系列VPN路由器可以支持100-500个左右的用户。对于超过500个以上的用户数的VPN应用,建议采用Cisco7XXX系列的VPN路由器。

10.Cisco的VPN软件能否在同一个连接中支持多种协议(如IP、IPX等)?

如果VPN支持多协议隧道功能,如GRE、L2TP或PPTP(均在CiscoIOS软件中被支持),那么就可以支持多协议。

11.Cisco加密技术如何实现?

网络数据加密是在IP包一级提供的,只有IP包可以被加密。只有当包满足在路由器上配置加密时所建立的条件时,这个数据包才会被加密/解密。当加密以后,单个数据包在传输时可以被检测到,但IP包的内容不能被读取。IP头和上层协议头没有被加密,但TCP或UDP包内所有的净荷数据都被加密,因此,在传输过程中不能被读取。