Службы виртуального удаленного доступа Cisco

Приводимые ниже определения полностью описывают службу виртуального уда­ленного доступа, которую Cisco Systems предоставляет в своем программном обеспе­чении IOS.

• Удаленный пользователь. Пользователь, осуществляющий удаленный доступ по ISDN-сети или по открытой коммутируемой телефонной сети (Public Switched Telephone Network — PSTN) из дома или другого удаленного места.

• Сервер NAS. Телекоммуникационное устройство, которое является терминирую­щей точкой удаленного вызова по аналоговой сети (базовая телефонная служба) или по цифровой сети ISDN.

• Intemet-провайдер. Организация или компания, предоставляющая службы удален­ного доступа. Она может предоставлять эти службы самостоятельно через сервер NAS или направлять вызов удаленного пользователя на заданный корпоративный шлюз.

• Корпоративный шлюз. Маршрутизатор пункта назначения, обеспечивающий дос­туп к службам, запрашиваемым удаленным пользователем. Этими службами могут быть соединение с корпоративной сетью или с другим Internet-провайдером.

Удаленные пользователи (используя асинхронный РРР или ISDN) получают дос­туп к корпоративной LAN таким же образом, как если бы они осуществляли доступ непосредственно к корпоративному шлюзу (несмотря на то, что физически их со­единение удаленного доступа осуществляется через сервер NAS Internet провайдера). На рис. 23.4 показана топологическая картина того, как были бы реализованы эти соглашения службой виртуального удаленного доступа.

Реализация Cisco протокола l2tp

Ниже приведены ключевые требования управления службы, предоставляемой при реализации Cisco протокола L2TP.

• Лля безопасного использования этой службы ни на удаленной конечной сис­теме, ни на ее корпоративных узлах не требуется специального программного обеспечения.

• Аутентификация осуществляется с использованием протокола удаленного дос­тупа РРР, протокол аутентификации с предварительным согласованием вызова (Challenge Handshake Authentication Protocol — CHAP) или протокола аутенти­фикации с использованием пароля (Password Authentication Protocol — PAP), включая систему управления доступом к контроллеру терминального доступа (Terminal Access Controller Access Control System Plus — TACACS+) и протокол аутентификации пользователя при удаленном доступе (Remote Authentication Dial-In User Service, RADIUS), а также smart-карты и одноразовые пароли. Эта аутентификация может осуществляться пользователем независимо от Internet- провайдера.

• При этом управление адресацией осуществляется так же, как и при использо­вании выделенных линий, т.е. назначение адреса выполняется корпорацией пользователя, а не Internet-провайдером.

• Авторизацией управляют удаленные пользователи корпорации, поскольку она содержится в прямом решении удаленного доступа.

Учет осуществляется как Internet-провайдером (для регистрации расходов), так и

пользователем.

Выполнение этих требований обеспечивается в первую очередь набором функ­ций, которые предоставляются пользователю туннелированием непосредственно к корпоративной сети по протоколу L2TP. В случае использования протокола РРР все согласования параметров протокола управления каналом (Link Control Protocol — LCP) и протокола управления сетью (Network Control Protocol — NCP) происходят в корпоративной сети пользователя. Протокол РРР можно использовать для переда­чи потоков данных от удаленного пользователя до терминирующей точки, которой является корпоративный шлюз.

Протокол L2TP представляет собой разрабатываемый стандарт IETF, сочетающий лучшие черты существующих протоколов туннелирования: протокола L2F корпорации Cisco и протокола РРТР корпорации Microsoft. Протокол L2TP представляет собой расширение протокола РРР, являющегося важной компонентой VPN-сетей. VPN-сети позволяют пользователям и телеработникам подсоединяться к корпоративным интра­нет- и экстранет-сетям. VPN-сети эффективны в финансовом аспекте, поскольку пользователи могут подсоединяться к Internet локально и осуществлять передачу дан­ных по туннелю в обратном направлении для подсоединения к корпоративным ресур­сам. Это не только уменьшает расходы, связанные с передачей служебной информа­ции, но на также повышает уровень гибкости и масштабируемости сети.

Традиционные сетевые службы удаленного доступа поддерживают только зарегист­рированные IP-адреса, что сужает круг приложений, которые могут быть реализованы по VPN-сетям. Протокол L2TP поддерживает несколько протоколов, а также незаре­гистрированные и управляемые частным образом IP-адреса при работе в Internet. Это позволяет использовать уже существующую инфраструктуру доступа, такую как Inter­net, модемы, серверы доступа и терминальные адаптеры ISDN (terminal adapter — ТА). Он также позволяет промышленным пользователям осуществлять внешнюю поддерж­ку удаленного доступа, тем самым уменьшая служебную нагрузку, расходы на под­держку аппаратного обеспечения и оплату номера 800, а также дает возможность кон­центрировать ресурсы корпоративного шлюза. На рис. 23.4 показана структура прото­кола L2TP в типичной среде удаленного доступа.