华为VPN学习指南

本书是国内图书市场第 1本，也是目前唯1一本专门介绍华为AR系列路由器（华为S系列交换机也支持部分VPN方案，技术原理及大多数配置方法适用于华为NE系列路由器和USG系列防火墙）IP网络中各项VPN技术及应用配置的权v工具图书，同时也是华为技术有限公司指定的ICT认证系列培训教材。全书共9章，第 1章比较全面、深入地介绍了各种IP VPN技术基础知识和技术原理，第 2～4章分别介绍了IPSec VPN的各种技术原理，以及不同部署方式下的配置与管理方法；第5~7章分别介绍了L2TP VPN、GRE VPN和DSVPN的各种技术原理及配置与管理方法；第8章介绍了PKI体系架构的各种技术原理，以及不同方式下的本地数字证书的申请方法，为第9章采用数字证书进行身份认证的SSL VPN方案部署打基础；第9章系统地介绍了SSL VPN部署中有关的SSL策略、HTTPS服务器，以及SSL VPN网关等方面的配置与管理方法。 
本书结合了笔者20多年的工作经验，其内容非常全面、系统。为了帮助大家真正理解各项技术原理及各种VPN方案的配置思路，除第 1章外，其他各章均有大量的配置示例，并对一些典型故障排除方法进行了详细的介绍。另外，本书经过了华为技术有限公司多位专家指导和审核，因此本书无论在专业性方面，还是在经验性和实用性方面均有很好的保障，是相关人员自学或者教学华为设备VPN配置与管理的必选教材。

王达，全国网管技能水平考试专家委员，四届51CTO“受读者喜爱的IT图书作者”（并有5届、7部作品荣获51CTO主办的“爱读者喜爱的IT技术图书”称号），国内深网络工程技术专家和知名的IT图书作者。曾在天极网、IT168、e800等网络媒体上发表千篇以上IT方面的专业文章，出版过超过50部计算机网络方面的著作，其中的代表作有Cisco H3C交换机配置与管理完全手册》（第 二版）、《Cisco H3C交换机高-级配置与管理技术手册》等，并有多部版权输出到了台湾。

目 录
第 1章 VPN基础0
1.1 VPN的起源、定义与优势2
1.1.1 VPN的起源2
1.1.2 VPN的通俗理解3
1.1.3 VPN的主要优势5
1.2 VPN方案的分类6
1.2.1 按VPN的应用平台分类6
1.2.2 按组网模型分7
1.2.3 按业务用途分9
1.2.4 按实现层次分11
1.2.5 按运营模式分12
1.3 VPN隧道技术13
1.3.1 VPN隧道技术综述13
1.3.2 PPTP协议14
1.3.3 L2TP协议17
1.3.4 MPLS协议19
1.3.5 IPSec协议族21
1.3.6 GRE协议23
1.4 VPN身份认证技术24
1.4.1 PAP协议报文格式及身份认证原理24
1.4.2 CHAP协议报文格式及身份认证原理26
1.4.3 身份认证算法28
1.5 加密、数字信封、数字签名和数字证书原理28
1.5.1 加密工作原理28
1.5.2 数字信封工作原理30
1.5.3 数字签名工作原理31
1.5.4 数字证书33
1.6 MD5认证算法原理33
1.6.1 MD5算法基本认证原理33
1.6.2 MD5算法消息填充原理34
1.6.3 MD5算法的主要应用35
1.7 SHA认证算法原理35
1.7.1 SHA算法基本认证原理36
1.7.2 SHA算法消息填充原理36
1.8 SM3认证算法原理37
1.8.1 SM3算法消息填充原理37
1.8.2 SM3算法消息迭代压缩原理38
1.9 AES加密算法原理39
1.9.1 AES的数据块填充39
1.9.2 AES四种工作模式加 解密原理41
1.10 DES加密算法原理44
1.10.1 DES的数据块填充45
1.10.2 DES加 解密原理45
1.10.3 子密钥生成原理47
1.10.4 3DES算法简介48
第 2章 IPSec基础及手工方式IPSec VPN配置与管理50
2.1 IPSec VPN基本工作原理52
2.1.1 IPSec的安全机制53
2.1.2 IPSec的两种封装模式54
2.1.3 AH报头和ESP报头格式57
2.1.4 IPSec隧道建立原理59
2.2 IKE密钥交换原理60
2.2.1 IKE动态协商综述61
2.2.2 IKE的安全机制62
2.2.3 IKEv1密钥交换和协商：第 一阶段65
2.2.4 IKEv1密钥交换和协商：第 二阶段68
2.2.5 IKEv2密钥协商和交换68
2.3 IPSec保护数据流和虚拟隧道接口70
2.3.1 保护数据流的定义方式70
2.3.2 IPSec虚拟隧道接口71
2.4 配置基于ACL方式手工建立IPSec隧道73
2.4.1 手工方式配置任务及基本工作原理73
2.4.2 基于ACL定义需要保护的数据流75
2.4.3 配置IPSec安全提议77
2.4.4 配置安全策略81
2.4.5 配置可选扩展功能85
2.4.6 配置在接口上应用安全策略组87
2.4.7 IPSec隧道维护和管理命令89
2.4.8 基于ACL方式手工建立IPSec隧道配置示例90
2.5 基于ACL方式手工建立IPSec隧道的典型故障排除96
2.5.1 IPSec隧道建立不成功的故障排除96
2.5.2 IPSec隧道建立成功，但两端仍不能通信的故障排除98
第3章 IKE动态协商方式建立IPSec VPN的配置与管理100
3.1 配置基于ACL方式通过IKE协商建立IPSec隧道102
3.1.1 IKE动态协商方式配置任务及基本工作原理103
3.1.2 定义IKE安全提议104
3.1.3 配置IKE对等体109
3.1.4 配置安全策略123
3.1.5 配置可选扩展功能128
3.2 典型配置示例141
3.2.1 采用缺省IKE安全提议建立IPSec隧道配置示例141
3.2.2 总部采用策略模板方式与分支建立多条IPSec隧道配置示例146
3.2.3 总部采用安全策略组方式与分支建立多条IPSec隧道配置示例153
3.2.4 分支采用多链路共享功能与总部建立IPSec隧道配置示例161
3.2.5 建立NAT穿越功能的IPSec隧道配置示例166
3.2.6 配置PPPoE拨号分支与总部建立IPSec隧道示例171
3.3 IKE动态协商方式IPSec隧道建立不成功的故障排除177
3.3.1 第 一阶段IKE SA建立不成功的故障排除177
3.3.2 第 二阶段IPSec SA建立不成功的故障排除180
第4章 基于Tunnel接口和Efficient VPN策略的IPSec VPN配置与管理182
4.1 配置采用虚拟Tunnel接口方式建立IPSec隧道184
4.1.1 配置任务185
4.1.2 配置安全框架186
4.1.3 配置可选扩展功能188
4.1.4 配置IPSec虚拟隧道 隧道模板接口191
4.1.5 配置基于虚拟Tunnel接口定义需要保护的数据流194
4.1.6 配置子网路由信息的请求 推送 接收功能195
4.1.7 基于虚拟Tunnel接口建立IPSec隧道配置示例199
4.1.8 基于虚拟隧道模板接口建立IPSec隧道配置示例204
4.2 配置采用Efficient VPN策略建立IPSec隧道208
4.2.1 Efficient VPN简介209
4.2.2 Efficient VPN的运行模式209
4.2.3 配置任务211
4.2.4 配置Remote端212
4.2.5 配置Server端218
4.2.6 Efficient VPN Client模式建立IPSec隧道配置示例221
4.2.7 Efficient VPN Network模式建立IPSec隧道配置示例225
4.2.8 Efficient VPN Network-plus方式建立IPSec隧道配置示例229
第5章 L2TP VPN配置与管理234
5.1 L2TP VPN体系架构236
5.1.1 L2TP VPN的基本组成236
5.1.2 LAC位置的几种情形237
5.1.3 L2TP消息、隧道和会话238
5.2 L2TP报文格式、封装及传输240
5.2.1 L2TP协议报文格式240
5.2.2 L2TP协议报文封装240
5.2.3 L2TP数据包传输242
5.3 L2TP隧道模式及隧道建立流程242
5.3.1 NAS-Initiated模式隧道建立流程242
5.3.2 LAC-Auto-Initiated模式隧道建立流程244
5.3.3 Client-Initiated模式隧道建立流程246
5.4 L2TP的主要应用247
5.5 华为设备对L2TP VPN的支持249
5.6 LAC接入呼叫发起L2TP隧道连接的配置与管理252
5.6.1 配置任务252
5.6.2 配置AAA认证254
5.6.3 配置LAC260
5.6.4 配置LNS264
5.6.5 L2TP维护与管理267
5.6.6 移动办公用户发起L2TP隧道连接配置示例268
5.6.7 LAC接入传统拨号用户发起L2TP隧道连接配置示例276
5.6.8 LAC接入PPPoE用户发起L2TP隧道连接配置示例278
5.7 LAC自拨号发起L2TP隧道连接的配置与管理283
5.7.1 配置任务283
5.7.2 配置LAC284
5.7.3 LAC自拨号发起L2TP隧道连接的配置示例287
5.7.4 多个LAC自拨号发起L2TP隧道连接配置示例290
5.8 配置L2TP其他可选功能294
5.9 L2TP over IPSec的配置与管理296
5.9.1 L2TP over IPSec封装原理297
5.9.2 分支与总部通过L2TP Over IPSec方式实现安全互通配置示例299
5.10 L2TP VPN故障排除304
5.10.1 Client-Initiated模式L2TP VPN典型故障排除304
5.10.2 NAS-Initiated和LAC-Auto-Initiated模式L2TP VPN典型故障排除308
第6章 GRE VPN配置与管理310
6.1 GRE VPN工作原理312
6.1.1 GRE报文格式313
6.1.2 GRE的报文封装和解封装原理315
6.1.3 GRE的安全机制316
6.1.4 GRE的Keepalive检测机制316
6.2 GRE的主要应用场景317
6.2.1 多协议本地网可以通过GRE隧道隔离传输317
6.2.2 扩大跳数受限的网络工作范围318
6.2.3 与IPSec结合，保护组播 广播数据318
6.2.4 CE采用GRE隧道接入MPLS VPN321
6.3 GRE VPN配置与管理323
6.3.1 配置任务323
6.3.2 配置Tunnel接口324
6.3.3 配置Tunnel接口的路由327
6.3.4 配置可选配置任务328
6.3.5 GRE VPN隧道维护与管理331
6.4 典型配置示例332
6.4.1 GRE通过静态路由实现两个远程IPv4子网互联配置示例332
6.4.2 GRE通过OSPF路由实现两个远程IPv4子网互联配置示例335
6.4.3 GRE扩大跳数受限的网络工作范围配置示例339
6.4.4 GRE实现FR协议互通配置示例343
6.4.5 GRE over IPSec配置示例344
6.4.6 IPSec over GRE配置示例348
6.5 GRE典型故障排除353
6.5.1 隧道两端Ping不通的故障排除353
6.5.2 隧道是通的，但两端私网不能互访的故障排除354
第7章 DSVPN配置与管理356
7.1 DSVPN综述358
7.1.1 DSVPN简介358
7.1.2 DSVPN中的重要概念360
7.1.3 DSVPN的典型应用场景362
7.2 DSVPN工作原理364
7.2.1 DSVPN中的GRE封装和解封装原理364
7.2.2 NHRP协议工作原理365
7.2.3 非shortcut场景DSVPN工作原理369
7.2.4 shortcut场景DSVPN工作原理372
7.2.5 DSVPN NAT穿越原理375
7.2.6 DSVPN双Hub备份原理377
7.2.7 DSVPN IPSec保护原理378
7.3 DSVPN配置与管理379
7.3.1 配置任务379
7.3.2 配置mGRE380
7.3.3 配置路由381
7.3.4 配置NHRP384
7.3.5 配置并应用IPSec安全框架387
7.3.6 DSVPN维护与管理命令388
7.4 典型配置示例389
7.4.1 非shortcut场景DSVPN（静态路由）配置示例389
7.4.2 非shortcut场景DSVPN（RIP协议）配置示例396
7.4.3 非shortcut场景DSVPN（OSPF协议）配置示例401
7.4.4 非shortcut场景DSVPN（BGP协议）配置示例406
7.4.5 shortcut场景DSVPN（RIP协议）配置示例412
7.4.6 shortcut场景DSVPN（OSPF协议）配置示例418
7.4.7 shortcut场景DSVPN（BGP协议）配置示例423
7.4.8 DSVPN NAT穿越配置示例429
7.4.9 双Hub DSVPN配置示例437
7.4.10 DSVPN over IPSec配置示例449
7.5 典型故障排除458
7.5.1 Spoke NHRP注册失败的故障排除458
7.5.2 非shortcut场景Spoke间子网无法进行直接通信的故障排除459
7.5.3 shortcut场景Spoke间子网无法进行直接通信的故障排除460
第8章 PKI配置与管理462
8.1 PKI基础及工作原理464
8.1.1 PKI简介464
8.1.2 PKI体系架构465
8.1.3 数字证书结构及分类467
8.1.4 PKI中的几个概念468
8.1.5 PKI工作机制470
8.1.6 PKI的主要应用场景472
8.2 申请本地证书的预配置474
8.2.1 配置PKI实体信息474
8.2.2 配置PKI域477
8.2.3 配置RSA密钥对480
8.2.4 配置为PKI实体下载CA证书481
8.2.5 配置为PKI实体安装CA证书482
8.2.6 申请本地证书预配置的管理命令484
8.3 申请和更新本地证书484
8.3.1 配置通过SCEP协议为PKI实体申请和更新本地证书484
8.3.2 配置通过CMPv2协议为PKI实体申请和更新本地证书487
8.3.3 配置为PKI实体离线申请本地证书492
8.3.4 本地证书申请和更新管理命令493
8.4 本地证书的下载和安装494
8.4.1 下载本地证书494
8.4.2 本地证书安装495
8.4.3 本地证书下载与安装管理命令496
8.5 验证CA证书和本地证书的有效性496
8.5.1 配置检查对端本地证书的状态497
8.5.2 配置检查CA证书和本地证书的有效性502
8.5.3 验证CA证书和本地证书有效性管理命令503
8.6 配置证书扩展功能503
8.7 PKI典型配置示例505
8.7.1 通过SCEP协议自动申请本地证书配置示例505
8.7.2 通过CMPv2协议申请本地证书配置示例510
8.7.3 离线申请本地证书配置示例514
8.8 典型故障排除517
8.8.1 CA证书获取失败的故障排除517
8.8.2 本地证书获取失败的故障排除519
第9章 SSL VPN配置与管理520
9.1 SSL VPN基础522
9.1.1 SSL概述522
9.1.2 SSL VPN的引入背景523
9.1.3 SSL VPN系统组成524
9.1.4 SSL VPN业务分类525
9.1.5 SSL VPN的典型应用528
9.2 SSL服务器策略配置与管理529
9.2.1 配置SSL服务器策略530
9.2.2 SSL维护和管理命令532
9.3 HTTPS服务器配置与管理532
9.3.1 配置HTTPS服务器532
9.3.2 HTTPS服务器配置示例533
9.4 SSL VPN配置与管理539
9.4.1 配置SSL VPN的侦听端口号539
9.4.2 创建SSL VPN远程用户540
9.4.3 配置SSL VPN虚拟网关基本功能541
9.4.4 配置SSL VPN业务542
9.4.5 管理SSL VPN远程用户547
9.4.6 配置个性化定制Web页面元素548
9.4.7 远程用户接入SSL VPN网关550
9.4.8 SSL VPN维护与管理553
9.5 SSL VPN典型配置示例553
9.5.1 Web代理业务配置示例554
9.5.2 端口转发业务配置示例556
9.5.3 网络扩展业务配置示例559
9.5.4 多虚拟网关配置示例562

1.本书针对目前市场上没有专门图书的华为AR G3系列路由器传统VPN（包括L2TP VPN、IPSec VPN、GRE VPN、SSL VPN和DSVPN）技术原理、配置方法进行介绍。
2.本书内容系统、丰富，更实战化，不仅包括许多深入的技术原理介绍，还有大量的分类应用配置步骤展示和具体的应用方案配置案例。
3.本书注重细节，系统深入，思路清晰，符合读者阅读习惯。