Access VPN通信实验 － 采用USB Key的数字证书方式.docVIP

实验二 Access VPN通信实验 － 采用USB Key的数字证书方式 【实验名称】 Access VPN通信实验－采用USB Key的数字证书方式 【实验目的】 学习配置Remote to Site的IPSec VPN隧道，熟悉移动办公方式下的VPN隧道建立。同时体会移动用户身份认证的方式－采用USB Key设备存储数字证书。 【背景描述】 你供职的公司的技术总监王总正在外地出差，但需要访问公司内部的服务器资源，而这些服务器资源因安全性考虑并不直接在公网上开放，因此王总必须通过先和公司建立VPN隧道，再获得访问内部资源的权利，作为网管的你，支持他一下吧。 移动用户在建立VPN隧道前必须获得公司出口VPN设备的身份许可。为了安全，用户的身份信息不采用传统的口令方式，而是采用USB Key设备的方式（USB Key内存储标示用户身份的数字证书）。 【需求分析】 需求： 解决出差员工和公司之间通过Internet进行信息安全传输的问题。 分析： IPSec VPN技术通过隧道技术、加解密技术、密钥管理技术、和认证技术有效的保证了数据在Internet网络传输的安全性，是目前最安全、使用最广泛的VPN技术。因此我们可以通过建立IPSec VPN的加密隧道，实现出差员工和公司之间的信息安全传输。 采用USB Key设备存储用户的数字证书，可以防止数字证书被盗用，这也是目前最为安全的一种身份认证方式。 【实验拓扑】 【实验设备】 设 备 型 号 数 量 备 注 锐捷VPN设备 RG-WALL V50 1台 锐捷VPN远程接入系统 RG-SRA 1套 软件程序 锐捷密钥存储器 RG-Key 1个 锐捷证书管理系统 RG-CMS 1套 软件程序 锐捷路由器设备 1台 Windows系统的PC机 推荐Win XP系统 1台 Windows系统的服务器 1台 建议开设FTP服务或者Web服务 直连线 2根 交叉线 1根 【预备知识】 网络基础知识、网络安全基础知识、VPN基础知识； IPSec协议的基本内容、其工作模式； IKE协议的基本工作原理； 数字证书、CA的基本概念和工作原理。 【实验原理】 PC机模拟出差员工的PC，与VPN设备A（模拟公司出口VPN设备）通过IKE自动协商建立起IPSec 的VPN加密隧道。使得PC机能安全访问到VPN设备A所保护的内部服务器。 实验时，可以在服务器上开设FTP服务或者Web服务，在VPN隧道建立成功后，PC机将能够访问到这些服务。 移动用户（即PC机）在和VPN设备建立VPN隧道前，需要先获得VPN设备的身份验证许可。该实验所采用的用户身份验证为数字证书方式，数字证书由CA中心（即RG-CMS系统）颁发，并存储在USB Key设备（RG-Key）中。 移动用户（即PC机）在通过VPN设备A的身份验证后，VPN设备A会自动将VPN隧道建立（即IKE协商）所需要的配置下发给PC机，然后PC机与VPN设备A之间自动开始IKE协商，协商成功后VPN隧道即建立成功。整个过程系统自动完成，无需人为干预，是免配置的典型方式。 【实验步骤】 第一步：准备好PC机和服务器。 1、 实验中即可以通过PC机来管理VPN设备A，也可以通过服务器来管理VPN设备A，请用户自行选择。 假设决定用服务器来管理VPN设备A，则请在服务器上安装VPN管理软件（见随机附带的光盘） 2、 在服务器上安装RG-CMS系统，具体安装步骤请看随产品附带的光盘, 这里不详述。 3、 在PC机上安装RG-SRA软件程序，安装步骤请看随机附带的光盘，这里不详述。 注意：RG-SRA是VPN客户端软件程序，如果PC机上已预装其它厂家的VPN客户端程序，请先卸载其它厂家的VPN客户端程序，否则可能RG-SRA无法正常工作。 RG-SRA作为安全产品，安装后会对系统的网卡、端口、协议等方面有改动，因此会和部分防火墙或者防病毒程序不兼容。目前经过测试，已知和市场主流的杀毒软件、防火墙是兼容的有：瑞星、天网、Symentec、微软等产品都兼容。已知的不兼容的软件有：卡巴司基、Sygate。因此建议用于测试的PC机卸载这两个程序。推荐用户使用没有安装任何第三方防火墙、防病毒程序的机器来作实验。 另外，在安装RG-CMS和RG-SRA过程中，安装程序会提示要安装USB Key（即RG-Key）的驱动，请一定选择安装。 第二步：搭建图示实验拓扑，然后配置PC机、服务器、VPN设备A、route的IP及必要路由。示例如下： VPN设备A的eht1口地址： VPN设备A的eth0口地址： PC机的IP地址： PC 机的网关地址： 服务器的IP地址： 服务器的网关地址： Route的F0