1. TỔNG QUAN VỀ MẠNG RIÊNG ẢO (VPN)
1. Mạng riêng ảo VPN
Khái niệm:
VPN (virtual private network) là công nghệ xây dựng hệ thống mạng riêng ảo nhằm
đáp ứng nhu cầu chia sẻ thông tin, truy cập từ xa và tiết kiệm chi phí.VPN cho phép các máy
tính truyền thông với nhau thông qua một môi trường chia sẻ như mạng Internet nhưng vẫn
đảm bảo được tính riêng tư và bảo mật dữ liệu.
VPN là một mạng riêng sử dụng hệ thống mạng công cộng (thường là Internet) để kết nối các
địa điểm hoặc người sử dụng từ xa với một mạng LAN ở trụ sở trung tâm. Thay vì dùng kết
nối thật khá phức tạp như đường dây thuê bao số, VPN tạo ra các liên kết ảo được truyền qua
Internet giữa mạng riêng của một tổ chức với địa điểm hoặc người sử dụng ở xa
2. Các mô hình của VPN
2.1. Remote-Access:
Hay cũng được gọi là Virtual Private Dial-up Network (VPDN), đây là dạng kết nối
User-to-Lan áp dụng cho các công ty mà các nhân viên có nhu cầu kết nối tới mạng riêng
(private network) từ các địa điểm từ xa. Điển hình, mỗi công ty có thể hy vọng rằng cài đặt
một mạng kiểu Remote-Access diện rộng theo các tài nguyên từ một nhà cung cấp dịch vụ
ESP (Enterprise Service Provider). ESP cài đặt một một công nghệ Network Access Server
(NAS) và cung cấp cho các user ở xa với phần mềm client trên mỗi máy của họ. Các nhân
viên từ xa này sau đó có thể quay một số từ 1-800 để kết nối được theo chuẩn NAS và sử
dụng các phần mềm VPN client để truy cập mạng công ty của họ. Các công ty khi sử dụng
loại kết nối này là những hãng lớnvới hàng trăm nhân viên thương mại. Remote-access VPNs
đảm bảo các kết nối được bảo mật, mã hoá giữa mạng riêng rẽ của công ty với các nhân viên
từ xa qua một nhà cung cấp dịch vụ thứ ba (third-party)
2.2. Site-to-Site:
Bằng việc sử dụng một thiết bị chuyên dụng và cơ chế bảo mật diện rộng, mỗi công ty có
thể tạo kết nối với rất nhiều các site qua một mạng công cộng như Internet. Các mạng Site-to-
site VPN có thể thuộc một trong hai dạng sau:
Intranet-based: Áp dụng trong truờng hợp công ty có một hoặc nhiều địa điểm ở xa, mỗi
địa điểm đều đã có 1 mạng cục bộ LAN. Khi đó họ có thể xây dựng một mạng riêng ảo VPN
để kết nối các mạng cục bộ đó trong 1 mạng riêng thống nhất.
Extranet-based: Khi một công ty có một mối quan hệ mật thiết với một công ty khác (ví dụ
như, một đồng nghiệp, nhà hỗ trợ hay khách hàng), họ có thể xây dựng một mạng extranet
VPN để kết nối kiểu mạng Lan với mạng Lan và cho phép các công ty đó có thể làm việc
trong một môi trường có chia sẻ tài nguyên.
3.Lợi ích của VPN:
VPN cung cấp nhiều đặc tính hơn so với những mạng truyền thống và những mạng
mạng leased-line.Những lợi ích đầu tiên bao gồm:
• Chi phí thấp hơn những mạng riêng: VPN có thể giảm chi phí khi truyền tới 20-
40% so với những mạng thuộc mạng leased-line và giảm việc chi phí truy cập từ xa từ
60-80%.
• Tính linh hoạt cho khả năng kinh tế trên Internet: VPN vốn đã có tính linh hoạt và
có thể leo thang những kiến trúc mạng hơn là những mạng cổ điển, bằng cách đó nó có
thể hoạt động kinh doanh nhanh chóng và chi phí một cách hiệu quả cho việc kết nối
mở rộng. Theo cách này VPN có thể dễ dàng kết nối hoặc ngắt kết nối từ xa của những
văn phòng, những vị trí ngoài quốc tế,những người truyền thông, những người dùng
điện thoại di động, những người hoạt động kinh doanh bên ngoài như những yêu cầu
kinh doanh đã đòi hỏi.
• Đơn giản hóa những gánh nặng.
• Những cấu trúc mạng ống, vì thế giảm việc quản lý những gánh nặng: Sử dụng

2. một giao thức Internet backbone loại trừ những PVC tĩnh hợp với kết nối hướng những
giao thức như là Frame Rely và ATM.
• Tăng tình bảo mật: các dữ liệu quan trọng sẽ được che giấu đối với những người
không có quyền truy cập và cho phép truy cập đối với những người dùng có quyền truy
cập.
• Hỗ trợ các giao thức mạn thông dụng nhất hiện nay như TCP/IP
• Bảo mật địa chỉ IP: bởi vì thông tin được gửi đi trên VPN đã được mã hóa do đó
các điạ chỉ bên trong mạng riêng được che giấu và chỉ sử dụng các địa chỉ bên ngoài
Internet.
3.Các thành phần cần thiết để tạo kết nối VPN:
User Authentication: cung cấp cơ chế chứng thực người dùng, chỉ cho phép người
dùng hợp lệ kết nối và truy cập hệ thống VPN.
- Address Management: cung cấp địa chỉ IP hợp lệ cho người dùng sau khi gia nhập
hệ thống VPN để có thể truy cập tài nguyên trên mạng nội bộ.
- Data Encryption: cung cấp giải pháp mã hoá dữ liệu trong quá trình truyền nhằm
bảo đảm tính riêng tư và toàn vẹn dữ liệu.
- Key Management: cung cấp giải pháp quản lý các khoá dùng cho quá trình mã hoá
và giải mã dữ liệu.
4.Mô tả bài lab và đồ hình
Cấu hình VPN cho phép 2 LAN ở router HN và router SG liên lạc được với nhau.
Cấu hinh:
Router HN và SG, cấu hình hostname và ip theo mô hình, sau đó cấu hình default route.
R1 (config)#host HN
HN (config)# interface s0/0
HN (config-if)# ip address 192.168.1.1 255.255.255.0
HN (config-if)# clockrate 64000
HN (config-if)# no shutdown
HN (config-if)# interface fastethernet0/0
HN (config-if)# ip address 1.1.1.254 255.255.255.0
HN (config-if)# no shutdown
HN (config)#ip route 0.0.0.0 0.0.0.0 192.168.1.2
R3 (config)#host SG
SG (config)# interface s0/0
SG (config-if)# ip address 192.168.2.1 255.255.255.0
SG (config-if)# no shutdown

3. SG (config-if)# clockrate 64000
SG (config-if)# interface fastethernet0/0
SG (config-if)# ip address 2.2.2.254 255.255.255.0
SG (config-if)# no shutdown
SG (config)#ip route 0.0.0.0 0.0.0.0 192.168.2.2
R2(config)#interface s0/0
R2(config-if)# ip address 192.168.1.2 255.255.255.0
R2(config-if)# no shutdown
R2(config-if)# clockrate 64000
R2(config-if)# interface serial0/1
R2(config-if)# ip address 192.168.2.2 255.255.255.0
R2(config-if)# clockrate 64000
R2(config-if)# no shutdown
Các bước cấu hình VPN site to site
Bước 1: Tạo internet key exchange (IKE) key policy
HN (config)#crypto isakmp policy 9
HN (config-isakmp)#hash md5
HN (config-isakmp)#authentication pre-share
SG (config)#crypto isakmp policy 9
SG (config-isakmp)#hash md5
SG (config-isakmp)#authentication pre-share
Bước 2: Tạo share key để sử dụng cho kết nối VPN
HN (config)#crypto isakmp key 12345 address 192.168.2.1
SG (config)#crypto isakmp key 12345 address 192.168.1.1
Bước 3: Quy định lifetime
HN (config)#crypto ipsec security-association lifetime seconds 86400
SG (config)# crypto ipsec security-association lifetime seconds 86400
Bước 4: Cấu hình ACL dãy IP có thể VPN
HN (config)# access-list 100 permit ip 1.1.1.0 0.0.0.255 2.2.2.0 0.0.0.255
SG (config)# access-list 100 permit ip 2.2.2.0 0.0.0.255 1.1.1.0 0.0.0.255
Bước 5: Cấu hình tranform-set Ipsec
HN (config)# crypto ipsec transform-set LAN1 esp-md5-hmac esp-3des
SG (config)# crypto ipsec transform-set LAN2 esp-md5-hmac esp-3des
Bước 6: Tạo crypto-map cho các trasform, setname
HN (config)#crypto map mapvpn1 10 ipsec-isakmp
HN (config-crypto-map)#set peer 192.168.2.1
HN (config-crypto-map)#set transform-set LAN1
HN (config-crypto-map)#match address 100
SG (config)#crypto map mapvpn1 10 ipsec-isakmp
SG (config-crypto-map)#set peer 192.168.1.1
SG (config-crypto-map)#set transform-set LAN2
SG (config-crypto-map)#match address 100
Bước 7: Gán vào interface

4. HN (config)#interface s0/0
HN (config-if)#crypto map mapvpn1
SG (config)#interface s0/0
SG (config-if)#crypto map mapvpn2
Phần trên các router cấu hình đến đây đã xong!
Kết quả: ping từ LAN 1.1.1.0/24 sang LAN 2.2.2.0 /24 đã thành công!
Kiểm tra và thẩm định quá trình hoạt động của IPSe
Dùng lệnh show crypto isakmp sa cho ta biết các tất cả active SA đang có trên
thiết bị.
Muốn xem cấu hình transform set thì dùng câu lệnh show crypto ipsec
transform-set
Kiểm tra xem một IPSec SA đang hoạt động thì dùng lệnh show crypto ipsec sa