Проектирование vpn-сетей с использованием аппаратного и программного обеспечения Cisco

Использование на всем протяжении маршрута прохождения данных аппаратного обеспечения Cisco и сетевого программного обеспечения Cisco IOS предоставляет возможности комплексного обеспечения безопасности при передаче конфиденци­альных данных по открытой инфраструктуре, включая обеспечение качества обслу­живания QoS посредством дифференциации потоков данных, надежность для кри­тически важных приложений, масштабируемость для поддержки большой полосы пропускания для данных и всеобъемлющее управление сетью для полного решения задачи доступа для VPN-сети.

В последующих разделах обсуждается вопрос о том, каким образом серверы сете­вого доступа (Network Access Server — NAS) и маршрутизаторы с установленным программным обеспечением IOS Cisco обеспечивают выполнение новых функций виртуального удаленного доступа. Эти функции базируются на проекте протокола L2F группы поддержки Internet (Internet Engineering Task Force — IETF) (RFC 2341). Это протокол предоставляет основанный на стандартах механизм создания туннелей для передачи фреймов канального уровня, содержащих данные протоколов более высокого уровня, таких как высокоуровневый протокол управления канального уровня (High-Level Data Link Control — HDLC), асинхронный протокол “точка- точка” (Point-to-Point Protocol — PPP), Internet-протокол последовательного канала (Serial Line Internet Protocol — SLIP) или ISDN PPP. В настоящее время протокол L2F комбинируется с протоколом РРТР, а во многих случаях заменен протоколом L2TP. Протокол L2TP представляет собой расширение протокола РРР, позволяю­щее Internet-провайдерам использовать VPN-сети. Этот протокол объединяет в себе лучшие черты двух других протоколов туннелирования — протокола РРТР корпора­ции Microsoft и протокола L2F корпорации Cisco Systems. Для использования про­токола L2TP требуется, чтобы его поддерживали все маршрутизаторы Internet- провайдера. За счет использования таких туннелей становится возможным отделить место расположения сервера первоначального удаленного доступа от точки. В, кото­рой заканчивается соединение протокола удаленного доступа и от точки, в которой предоставляется доступ к сети (обычно корпоративный шлюз).

Обзор технологии создания туннелей

Ключевым компонентом службы виртуального удаленного доступа является туннели­рование, которое представляет собой способ инкапсуляции пакетов в протоколе, который понятен только во входной и выходной точках данной сети. Эти входная и выходная точ­ки определяются как туннельные интерфейсы. Туннельный интерфейс аналогичен аппа­ратному интерфейсу, однако конфигурируется в программном обеспечении.

В последующих разделах межсетевое взаимодействие и Cisco-реализация протокола L2TP описаны более подробно. Используя туннелирование протокола L2TP Internet- провайдер (Internet service provider — ISP) или другая служба доступа могут создать виртуальный туннель для связи удаленных узлов пользователя или удаленных пользо­вателей с домашней корпоративной сетью. Концентратор доступа протокола L2TP (L2TP access concentrator— LAC), расположенный в точке присутствия провайдера (point of presence — POP), обменивается сообщениями протокола РРР с удаленными пользователями и посредством запросов и ответов протокола L2TP осуществляет связь с сетевым сервером L2TP (L2TP network server — LNS) для установки туннелей.

Протокол L2TP передает пакеты протокольного уровня по виртуальному туннелю между конечными точками соединения “точка-точка”. Фреймы от удаленных пользо­вателей принимаются точкой присутствия POP Internet-провайдера, инкапсулируются в пакеты протокола L2TP и пересылаются по соответствующему туннелю.

ПРИМЕЧАНИЕ

В настоящее время еще не существует стандарта, описывающего аппаратные и программные компоненты VPN-сетей. Каждый производитель, предлагающий VPN-службу, осуществляет это тем методом, который наиболее подходит для его собственных платформ аппаратного обеспечения и программных приложений.

Домашний шлюз пользователя принимает эти фреймы протокола L2TP, удаляет его инкапсуляцию и пересылает поступающие фреймы на соответствующий интер­фейс. На рис. 23.3 подробно показаны отдельные элементы туннеля протокола L2TP и процесс подсоединения пользователя “lsmith” к серверу LNS для получения дос­тупа к требуемой корпоративной intranet-cera.

Корпоративная

Как показано на рис. 23.3, при туннелировании используются три типа протоколов.

• Протокол пассажира. Протокол, данные которого инкапсулируются. В сцена­рии соединения удаленного доступа в качестве такого протокола могут высту­пать протоколы РРР, SLIP или текстовый диалог.

• Инкапсулирующий протокол. Этот протокол создает, поддерживает и ликвиди­рует туннель. В аппаратном и программном обеспечении Cisco поддержива­ются несколько инкапсулирующих протоколов, включая протокол L2TP, ко­торый используется для служб виртуального удаленного доступа.

• Протокол носителя. Этот протокол осуществляет передачу по сети данных ин­капсулирующего протокола. Первым протоколом носителя, используемым протоколом L2TP является протокол IP, благодаря его надежности при мар­шрутизации, повсеместной поддержке в различных средах и реализации его в глобальной сети Internet.

В процессе эволюции туннелирование стало одним из ключевых компонентов определения и использования виртуальных частных сетей. Программное обеспече­ние IOS Cisco обеспечивает службу виртуального удаленного доступа посредством телекоммуникационной формы VPN-сетей.