思科业务VPN概述和最佳实践

使用VPN连接的风险

• 配置错误可能会带来安全风险。由于VPN的设计和实现可能非常复杂，因此需要将连接配置任务委托给知识渊博且经验丰富的专业人员来确保专用网络的安全不会受到损害。
• 它可能不太可靠。由于VPN连接需要Internet连接，因此必须拥有信誉经过验证和测试的提供商来提供卓越的Internet服务，并保证最短甚至不出现停机。
• 如果出现需要添加新基础架构或新配置集的情况，则可能会因不兼容而出现技术问题，尤其是如果不兼容的产品或供应商与您已经使用的产品或供应商不同。
• 连接速度可能会慢。如果您使用的ISP连接提供免费VPN服务，则可能预期您的连接也会变慢，因为这些提供商不会优先处理连接速度。请注意，VPN吞吐量取决于路由器的硬件功能。

有关VPN如何工作的详细信息，请单击此处。

配置VPN时使用的提示

1. 在不同站点之间配置VPN时，在两端使用不同的LAN IP子网。例如，如果连接的站点使用192.168.x.x编址方案，则您需要使用10.x.x.x或172.16.x.x - 172.31.x.x子网。另一种选择是使用不同的子网掩码。当您更改路由器IP地址时，动态主机配置协议(DHCP)上的设备将自动获取该子网中的IP地址。
2. 在路由器的WAN接口上使用静态公有IP来实现稳定的VPN连接。
3. 请确保所选的加密和身份验证级别与要为VPN建立VPN隧道的路由器相同。
4. 确保输入的PSK和密钥生存期与远程路由器相同。PSK可以是您想要的，它只需在站点上匹配，并在客户端在其计算机上设置为客户端时与客户端匹配即可。根据设备，可能有禁止使用的符号。Key Lifetime是系统更改密钥的频率。首选证书，因为它被认为更安全。
5. 对于大多数VPN，客户端使用VPN不需要证书，它只是通过路由器进行验证。例如，OpenVPN需要客户端和站点证书。
6. 在第I阶段设置SA生命期的时间长于第II阶段SA生命期。如果将第I阶段缩短到第II阶段，则您将不得不频繁重新协商隧道，而不是数据隧道。数据隧道需要更高的安全性，因此最好使第II阶段的寿命短于第I阶段。
7. 将所有密码更改为更复杂的密码。

VPN类型

安全套接字层(SSL)

Cisco Business RV34x系列路由器使用AnyConnect支持SSL VPN。RV160和RV260可以选择使用OpenVPN，这是另一个SSL VPN。SSL VPN服务器允许远程用户使用Web浏览器建立安全VPN隧道。此功能允许使用通过SSL超文本传输协议安全(HTTPS)浏览器支持的本地超文本传输协议(HTTP)轻松访问各种Web资源和支持Web的应用。

SSL VPN允许用户通过加密网络流量，使用安全且经过身份验证的路径远程访问受限网络。

在SSL中设置访问有两个选项：

1. 自签名证书：由其自己的创建者签名的证书。不建议使用，应仅用于测试环境。
2. CA签名证书：这更加安全，而且强烈建议。第三方需要付费才能验证网络是否合法并创建CA证书，然后将其附加到站点。有关CA证书的详细信息，请参阅本文的证书部分。

本文档中包含有关AnyConnect的文章的链接。有关AnyConnect的概述，请单击此处。

IPsec配置文件

Easy VPN(EZVPN)、TheGreenBow和Shrew Soft是Internet协议安全(IPSec)VPN。IPSec VPN在两个对等体之间或从客户端到站点提供安全隧道。被视为敏感的数据包应通过这些安全隧道发送。必须通过指定这些隧道的特征来定义用于保护这些敏感数据包的参数，包括哈希算法、加密算法、密钥生存期和模式。然后，当IPsec对等体看到此类敏感数据包时，它会建立适当的安全隧道并通过此隧道将数据包发送到远程对等体。

当IPsec在防火墙或路由器中实施时，它可提供强大的安全性，可应用于跨边界的所有流量。公司或工作组内的流量不会产生与安全相关的处理开销。

为了成功加密和建立VPN隧道的两端，两者需要就加密、解密和身份验证的方法达成一致。IPsec配置文件是IPsec中的中心配置，用于在自动模式和手动键控模式下为阶段I和II协商定义加密、身份验证和Diffie-Hellman(DH)组等算法。

IPsec的重要组件包括互联网密钥交换(IKE)第1阶段和第2阶段。

IKE第一阶段的基本目的是验证IPSec对等体，并在对等体之间设置安全通道以启用IKE交换。IKE第1阶段执行以下功能：

• 对IPSec对等体的身份进行身份验证和保护
• 在对等体之间协商匹配的IKE安全关联(SA)策略以保护IKE交换
• 使用匹配的共享密钥的最终结果执行经过身份验证的Diffie-Hellman交换
• 设置安全隧道以协商IKE阶段2参数
• 在主模式和主动模式两种模式下发生

IKE阶段2的目的是协商IPSec SA以设置IPSec隧道。IKE阶段2执行以下功能：

• 协商由现有IKE SA保护的IPSec SA参数
• 建立IPSec安全关联
• 定期重新协商IPSec SA以确保安全
• 可选地执行额外的Diffie-Hellman交换
• 仅使用一种快速模式

如果在IPSec策略中指定完全前向保密(PFS)，则在每个快速模式下执行新的DH交换，提供具有更大熵（密钥材料寿命）的密钥材料，从而更大地抵抗密码攻击。每个DH交换都需要大的指数，从而增加CPU使用并提高性能成本。

• 在RV34x系列路由器上配置Internet协议安全(IPSec)配置文件
• 在RV160和RV260上配置IPSec配置文件（自动密钥模式）
• 在RV160和RV260路由器上配置IPsec配置文件手动键控模式

点对点隧道协议 (PPTP)

PPTP是用于在公共网络之间创建VPN隧道的网络协议。PPTP服务器也称为虚拟专用拨号网络(VPDN)服务器。PPTP有时用于其他协议，因为它速度更快，能够在移动设备上工作。但是，必须注意的是，它不像其他类型的VPN那样安全。与PPTP类型帐户连接有多种方法。点击链接了解详情：

• 在Rv34x系列路由器上配置点对点隧道协议(PPTP)服务器
• 在Windows上配置RV320和RV325 VPN路由器系列上的点对点隧道协议(PPTP)服务器

通用路由封装

通用路由封装(GRE)是一种隧道协议，它通过封装提供一种简单的通用方法，通过另一种协议传输一种协议的数据包。

GRE封装负载，即需要将内部数据包传送到外部IP数据包内的目的网络。GRE隧道作为虚拟点对点链路运行，该链路有两个端点，由隧道源地址和隧道目标地址标识。

隧道终端通过通过干预IP网络路由封装的数据包，通过GRE隧道发送负载。沿途的其他IP路由器不解析负载（内部数据包）；它们只解析外部IP数据包，将其转发到GRE隧道终端。到达隧道终端后，GRE封装将被删除，负载将转发到数据包的最终目标。

在网络中封装数据报是出于多种原因，例如当源服务器希望影响数据包到达目的主机所经过的路由时。源服务器也称为封装服务器。

IP-in-IP封装涉及在现有IP报头上插入外部IP报头。外部IP报头中的源地址和目的地址指向IP-in-IP隧道的端点。如果网络管理员知道传输数据包的路由器的环回地址，则使用IP报头堆栈将数据包通过预定路径引导到目的地。

此隧道机制可用于确定大多数网络架构的可用性和延迟。需要注意的是，从源到目的地的整个路径不必包含在报头中，但可以选择网段来定向数据包。

第 2 层隧道协议

L2TP不为它通过的流量提供加密机制。相反，它依靠其他安全协议（如IPSec）来加密数据。

在L2TP接入集中器(LAC)和L2TP网络服务器(LNS)之间建立L2TP隧道。 IPSec 隧道也建立在这些设备之间，并使用 IPSec 对所有 L2TP 隧道流量进行加密。

L2TP的一些关键术语：

• CHAP — 质询握手身份验证协议。点对点身份验证协议(PPP)。
• L2TP接入集中器(LAC)- LAC可以是连接到公共交换电话网(PSTN)的思科网络接入服务器。 LAC只需实施介质即可通过L2TP运行。LAC可以使用局域网或广域网（如公共或专用帧中继）连接到LNS。LAC是传入呼叫的发起者和传出呼叫的接收者。
• L2TP网络服务器(LNS) — 几乎任何连接到局域网或广域网的Cisco路由器都可以充当LNS。它是L2TP协议的服务器端，必须在终止PPP会话的任何平台上运行。LNS是呼出呼叫的发起者和呼入呼叫的接收者。图1描述了LAC和LNS之间的呼叫例程。
• 虚拟专用拨号网络(VPDN)-一种使用PPP来提供服务的接入VPN。

如果您想要有关L2TP的详细信息，请点击以下链接：

• 在RV34x路由器上配置L2TP WAN设置

• 广域网配置指南：第2层服务，Cisco IOS XE版本3S

证书

您是否曾访问过某个网站，并收到过有关其不安全的警告？它不会让您确信您的私人信息是安全的，而且不是！如果站点是安全的，您会在站点名称前看到一个关闭的锁图标。这是站点已验证安全的标志。您想确保锁定图标已关闭。您的VPN也是如此。

设置VPN时，应从证书颁发机构(CA)获取证书。 证书从第三方站点购买并用于身份验证。这是证明您的站点是安全的官方方式。本质上，CA是可信赖的来源，用于验证您是合法企业且可信。对于VPN，您只需以最低成本获得较低级别的证书。CA会签出您，一旦他们验证您的信息，他们会向您颁发证书。此证书可以作为文件下载到您的计算机上。然后，您可以进入路由器（或VPN服务器）并上传它。

CA在颁发数字证书时使用公钥基础设施(PKI)，数字证书使用公钥或私钥加密来确保安全。CA负责管理证书请求和颁发数字证书。少数第三方CA包括IdenTrust、Comodo、GoDaddy、GlobalSign、GeoTrust和Verisign。

VPN中的所有网关必须使用相同的算法，否则它们将无法通信。为了保持简单，建议从同一受信任第三方购买所有证书。这样，多个证书便于管理，因为它们必须手动续订。

注意：客户端通常不需要证书即可使用VPN;它仅用于通过路由器进行验证。OpenVPN是例外，它需要客户端证书。

为简单起见，一些小型企业选择使用密码或预共享密钥代替证书。这不太安全，但可以免费设置。

有关证书的详细信息，请参阅以下链接：

• RV160和RV260系列路由器上的证书（导入/导出/生成CSR）
• 在RV34x系列路由器上将默认自签名证书替换为第三方SSL证书

路由器上的站点到站点VPN

对于本地和远程路由器，必须确保用于VPN连接的预共享密钥(PSK)/密码/证书和安全设置都匹配。如果一台或多台路由器使用大多数思科业务路由器使用的网络地址转换(NAT)，则您需要对本地和远程路由器上的VPN连接执行防火墙豁免。

有关详细信息，请查看以下站点到站点文章：

• 在RV34x上配置站点到站点VPN
• 在RV340或RV345路由器上配置站点到站点VPN
• 思科技术谈话：在RV340系列路由器上配置站点到站点VPN（视频）
• 在RV160和RV260路由器上配置站点到站点VPN（基本设置）
• RV160和RV260路由器上的站点到站点VPN（高级设置和故障转移）

路由器上的客户端到站点VPN

在客户端上设置VPN之前，管理员需要在路由器上配置它。

单击查看以下路由器配置文章：

• 在RV160和RV260路由器上配置VPN设置向导
• 使用RV160和RV260配置Shrew Soft VPN客户端
• 思科技术谈话：在RV160和RV260上配置Shrew Soft VPN（视频）
• 设置并使用GreenBow IPsec VPN客户端与RV160和RV260路由器连接

创建客户端到站点配置文件

在客户端到站点VPN连接中，来自Internet的客户端可以连接到服务器以访问位于服务器后面的企业网络或LAN，但仍然可以维护网络及其资源的安全。此功能非常有用，因为它创建了新的VPN隧道，使远程工作人员和商务旅客能够使用VPN客户端软件访问您的网络，而不会影响隐私和安全性。以下文章特定于RV34x系列路由器：

• 在RV34x系列路由器上配置客户端到站点虚拟专用网络(VPN)连接
• 在RV34x系列路由器上配置AnyConnect虚拟专用网络(VPN)连接

用户组

在路由器上为共享同一组服务的一组用户创建用户组。这些用户组包括组的选项，例如关于如何访问VPN的权限列表。根据设备，可以允许PPTP、站点到站点IPSec VPN和客户端到站点IPSec VPN。例如，RV260具有包括OpenVPN但不支持L2TP的选项。RV340系列配备用于SSL VPN的AnyConnect，以及强制网络门户或EZ VPN。

这些设置使管理员能够控制和过滤，以便只有授权用户才能访问网络。Shrew Soft和TheGreenBow是两种最常见的VPN客户端可供下载。它们需要根据路由器的VPN设置进行配置，才能成功建立VPN隧道。以下文章专门介绍用户组的创建：

• 在RV34x路由器上为VPN设置创建用户组

用户帐户

在路由器上创建用户帐户，以便允许使用本地数据库对本地用户进行身份验证，以用于各种服务，如PPTP、VPN客户端、Web图形用户界面(GUI)登录和安全套接字层虚拟专用网络(SSLVPN)。 这使管理员能够控制和过滤仅访问网络的授权用户。以下文章专门介绍用户帐户的创建：

• 在RV34x路由器上为VPN客户端设置创建用户帐户

客户端位置的客户端到站点

在客户端到站点VPN连接中，来自Internet的客户端可以连接到服务器以访问服务器后面的企业网络或LAN，但仍然保持网络及其资源的安全。此功能非常有用，因为它创建了新的VPN隧道，使远程工作人员和商务旅客能够使用VPN客户端软件访问您的网络，而不会影响隐私和安全性。VPN设置为在发送和接收数据时对其进行加密和解密。

AnyConnect应用与SSL VPN配合使用，并专门用于RV34x路由器。其他RV系列路由器不提供此功能。从版本1.0.3.15开始，不再需要路由器许可证，但需要为VPN的客户端购买许可证。有关Cisco AnyConnect安全移动客户端的详细信息，请单击此处。有关安装说明，请从以下文章中选择：

• 在Mac计算机上安装Cisco AnyConnect安全移动客户端
• 在Windows计算机上安装Cisco AnyConnect安全移动客户端

有些第三方应用可用于所有RV系列路由器的客户端到站点VPN。如前所述，思科不支持这些应用；此信息提供用于指导目的。

GreenBow VPN客户端是第三方VPN客户端应用，使主机设备能够为客户端到站点IPsec隧道或SSL配置安全连接。这是一个包含支持的付费应用。

• 设置并使用GreenBow IPsec VPN客户端与RV160和RV260路由器连接

OpenVPN是可设置和用于SSL VPN的免费开源应用。它使用客户端 — 服务器连接在服务器和远程客户端位置之间通过互联网提供安全通信。

• RV160和RV260路由器上的OpenVPN

Shrew Soft是一个免费的开源应用，可以设置并用于IPsec VPN。它使用客户端 — 服务器连接在服务器和远程客户端位置之间通过互联网提供安全通信。

• 使用RV160和RV260配置Shrew Soft VPN客户端

RV32x路由器通常使用Easy VPN。以下是供参考的一些信息：

• 在RV320和RV325 VPN路由器系列上配置Easy Client to Gateway Virtual Private Network(VPN)
• Cisco Easy VPN 问答
• 基于Cisco IOS软件的路由器上的Easy VPN

设置向导

最新的思科企业路由器附带VPN设置向导，可指导您完成设置步骤。通过VPN设置向导，可以配置基本的LAN到LAN和远程访问VPN连接，并分配预共享密钥或数字证书进行身份验证。有关详细信息，请查阅以下文章：

• 在RV160和RV260上配置VPN设置向导
• 在RV34x系列路由器上使用设置向导配置虚拟专用网络(VPN)连接

结论

本文引导您更好地了解VPN，并提供帮助您前进的提示。现在，您应准备好配置自己的！请花些时间查看链路，并确定在思科企业路由器上设置VPN的最佳方式。