Đồ án tốt nghiệp Đại học
CHƯƠNG 1
TỔNG QUAN VỀ MẠNG RIÊNG ẢO VPN
Cụm từ Virtual Private Network (mạng riêng ảo) thường được gọi tắt là
VPN là một kỹ thuật đã xuất hiện từ lâu, tuy nhiên nó thực sự bùng nổ và trở
nên cạnh tranh khi xuất hiện công nghệ mạng thông minh với đà phát triển mạnh
mẽ của Internet. Trong thực tế, người ta thường nói tới hai khái niệm VPN đó là:
mạng riêng ảo kiểu tin tưởng (Trusted VPN) và mạng riêng ảo an toàn (Secure
VPN).
Mạng riêng ảo kiểu tin tưởng được xem như một số mạch thuê của một nhà
cung cấp dịch vụ viễn thông. Mỗi mạch thuê riêng hoạt động như một đường
dây trong một mạng cục bộ. Tính riêng tư của trusted VPN thể hiện ở chỗ nhà
cung cấp dịch vụ sẽ đảm bảo không có một ai sử dụng cùng mạch thuê riêng đó.
Khách hàng của mạng riêng ảo loại này tin tưởng vào nhà cung cấp dịch vụ để
duy trì tính toàn vẹn và bảo mật của dữ liệu truyền trên mạng. Các mạng riêng
xây dựng trên các đường dây thuê thuộc dạng “trusted VPN”.
Mạng riêng ảo an toàn là các mạng riêng ảo có sử dụng mật mã để bảo mật
dữ liệu. Dữ liệu ở đầu ra của một mạng được mật mã rồi chuyển vào mạng công
cộng (ví dụ: mạng Internet) như các dữ liệu khác để truyền tới đích và sau đó
được giải mã dữ liệu tại phía thu. Dữ liệu đã mật mã có thể coi như được truyền
trong một đường hầm (tunnel) bảo mật từ nguồn tới đích. Cho dù một kẻ tấn
công có thể nhìn thấy dữ liệu đó trên đường truyền thì cũng không có khả năng
đọc được vì dữ liệu đã được mật mã.
Mạng riêng ảo xây dựng dựa trên Internet là mạng riêng ảo kiểu an toàn, sử
dụng cơ sở hạ tầng mở và phân tán của Internet cho việc truyền dữ liệu giữa các
site của các công ty. Trọng tâm chính của đồ án tốt nghiệp này bàn về VPN dựa
trên Internet. Khi nói đến mạng riêng ảo VPN phải hiểu là mạng riêng ảo dựa
trên Internet.
1.1 Định nghĩa
Mạng riêng ảo VPN được định nghĩa là một kết nối mạng triển khai trên cơ
sở hạ tầng mạng công cộng (như mạng Internet) với các chính sách quản lý và

Đồ án tốt nghiệp Đại học
1.2 Lịch sử phát triển của VPN
Sự xuất hiện mạng chuyên dùng ảo, còn gọi là mạng riêng ảo (VPN), bắt
nguồn từ yêu cầu của khách hàng (client), mong muốn có thể kết nối một cách
có hiệu quả với các tổng đài thuê bao (PBX) lại với nhau thông qua mạng diện
rộng (WAN). Trước kia, hệ thống điện thoại nhóm hoặc là mạng cục bộ (LAN)
trước kia sử dụng các đường thuê riêng cho việc tổ chức mạng chuyên dùng để
thực hiện việc thông tin với nhau.
Các mốc đánh dấu sự phát triển của VPN:
- Năm 1975, Franch Telecom đưa ra dịch vụ Colisee, cung cấp dịch
vụ dây chuyên dùng cho các khách hang lớn. Colisee có thể cung
cấp phương thức gọi số chuyên dùng cho khách hàng. Dịch vụ này
căn cứ vào lượng dịch vụ mà đưa ra cước phí và nhiều tính năng
quản lý khác.
- Năm 1985, Sprint đưa ra VPN, AT&T đưa ra dịch vụ VPN có tên
riêng là mạng được định nghĩa bằng phần mềm SDN.
- Năm 1986, Sprint đưa ra Vnet, Telefonica Tây Ban Nha đưa ra
Ibercom.
- Năm 1988, nổ ra đại chiến cước phí dịch vụ VPN ở Mỹ, làm cho
một số xí nghiệp vừa và nhỏ chịu nổi cước phí sử dụng VPN và có
thể tiết kiệm gần 30% chi phí, đã kích thích sự phát triển nhanh
chóng dịch vụ này tại Mỹ.
- Năm 1989, AT&T đưa ra dịch vụ quốc tế IVPN là GSDN.
- Năm 1990, MCI và Sprint đưa ra dịch vụ VPN quốc tế VPN;
Telstra của Ô-xtrây-li-a đưa ra dich vụ VPN rong nước đầu tiên ở
khu vục châu Á – Thái Bình Dương.
- Năm 1992, Viễn thông Hà Lan và Telia Thuỵ Điển thành lập công
ty hợp tác đầu tư Unisource, cung cấp dịch vụ VPN.
- Năm 1993, AT&T, KDD và viễn thông Singapo tuyên bố thành lập
Liên minh toàn cầu Worldparners, cung cấp hàng loạt dịch vụ quốc

c) Tính bảo mật : Người gửi có thể mã hoá các gói dữ liệu trước khi truyền
qua mạng công cộng và dữ liệu sẽ được giải mã ở phía thu. Bằng cách làm
như vậy, không một ai có thể truy nhập thông tin mà không được phép.
Thậm chí nếu có lấy được thì cũng không đọc được.
1.3.2 Ưu điểm
VPN mang lại lợi ích thực sự và tức thời cho các công ty. Có thể dùng
VPN không chỉ để đơn giản hoá việc thông tin giữa các nhân viên làm việc ở xa,
người dùng lưu động, mở rộng Intranet đến từng văn phòng, chi nhánh, thậm chí
Đoàn Thanh Bình, D01VT
4
Đồ án tốt nghiệp Đại học
triển khai Extranet đến tận khách hàng và các đối tác chủ chốt mà còn làm giảm
chi phí cho công việc trên thấp hơn nhiều so với việc mua thiết bị và đường dây
cho mạng WAN riêng. Những lợi ích này dù trực tiếp hay gián tiếp đều bao
gồm: Tiết kiệm chi phí (cost saving), tính mềm dẻo (flexibility), khả năng mở
rộng (scalability) và một số ưu điểm khác.
a) Tiết kiệm chi phí
Việc sử dụng một VPN sẽ giúp các công ty giảm được chi phí đầu tư và chi
phí thường xuyên. Tổng giá thành của việc sở hữu một mạng VPN sẽ được thu
nhỏ, do chỉ phải trả ít hơn cho việc thuê băng thông đường truyền, các thiết bị
mạng đường trục và duy trì hoạt động của hệ thống. Giá thành cho việc kết nối
LAN-to-LAN giảm từ 20 tới 30% so với việc sử dụng đường thuê riêng truyền
thống. Còn đối với việc truy cập từ xa giảm từ 60 tới 80%.
Ta có thể thấy rõ ưu điểm của VPN qua việc so sánh chi phí khi sử dụng
đường thuê riêng T1 (1.5 Mbit/s) với chi phí khi sử dụng Internet VPN.
Bảng 1: Chi phí hàng tháng cho các mạng dùng đường thuê riêng đơn so với
Internet VPN. (2002)
Thành phố Khoảng cách
(dặm)
Chi phí cho T1 Cho phí cho

Đồ án tốt nghiệp Đại học
b) Tính linh hoạt
Tính linh hoạt ở đây không chỉ là linh hoạt trong quá trình vận hành và
khai thác mà nó còn thực sự mềm dẻo đối với yêu cầu sử dụng. Khách hàng có
thể sử dụng kết nối T1, T3 giữa các văn phòng và nhiều kiểu kết nối khác cũng
có thể được sử dụng để kết nối các văn phòng nhỏ, các đối tượng di động. Nhà
cung cấp dịch vụ VPN có thể cung cấp nhiều lựa chọn cho khách hàng, có thể là
kết nối modem 56 kbit/s, ISDN 128 kbit/s, xDSL, T1, T3 …
c) Khả năng mở rộng
Do VPN được xây dựng dựa trên cơ sở hạ tầng mạng công cộng (Internet),
bất cứ ở nơi nào có mạng công cộng là đều có thể triển khai VPN. Mà mạng
công cộng có mặt ở khắp mọi nơi nên khả năng mở rộng của VPN là rất linh
động. Một cơ quan ở xa có thể kết nối một cách dễ dàng đến mạng của công ty
bằng cách sử dụng đường dây điện thoại hay DSL…Và mạng VPN dễ dàng gỡ
bỏ khi có nhu cầu.
Khả năng mở rộng băng thông là khi một văn phòng, chi nhánh yêu cầu
băng thông lớn hơn thì nó có thể được nâng cấp dễ dàng.
d) Giảm thiểu các hỗ trợ kỹ thuật
Việc chuẩn hoá trên một kiểu kết nối từ đối tượng di động đến một POP
của ISP và việc chuẩn hoá các yêu cầu về bảo mật đã làm giảm thiểu nhu cầu về
nguồn hỗ trợ kỹ thuật cho mạng VPN. Và ngày nay, khi mà các nhà cung cấp
dịch vụ đảm nhiệm các nhiệm vụ hỗ trợ mạng nhiều hơn thì những yêu cầu hỗ
trợ kỹ thuật đối với người sử dụng ngày càng giảm.
e) Giảm thiểu các yêu cầu về thiết bị
Bằng việc cung cấp một giải pháp đơn cho các xí nghiệp truy cập bằng
quay số truy cập Internet, VPN yêu cầu về thiết bị ít hơn, đơn giản hơn nhiều so
với việc bảo trì các modem riêng biệt, các card tương thích (adapter) cho các
thiết bị đầu cuối và các máy chủ truy cập từ xa. Một doanh nghiệp có thể thiết
lập các thiết bị khách hàng cho một môi trường đơn, như môi trường T1, với
phần còn lại của kết nối được thực hiện bởi ISP. Bộ phận T1 có thể làm việc

điểm, các nhân viên, chi nhánh văn phòng di động có khả năng trao đổi, truy
nhập vào mạng của công ty. Kiểu VPN truy nhập từ xa là kiểu VPN điển hình
nhất. Bởi vì, những VPN này có thể thiết lập bất kể thời điểm nào, từ bất cứ nơi
nào có mạng Internet.
VPN truy nhập từ xa mở rộng mạng công ty tới những người sử dụng
thông qua cơ sở hạ tầng chia sẻ chung, trong khi những chính sách mạng công ty
vẫn duy trì. Chúng có thể dùng để cung cấp truy nhập an toàn từ những thiết bị
di động, những người sử dụng di động, những chi nhánh và những bạn hàng của
công ty. Những kiểu VPN này được thực hiện thông qua cơ sở hạ tầng công
cộng bằng cách sử dụng công nghệ ISDN, quay số, IP di động, DSL và công
Đoàn Thanh Bình, D01VT
7
Đồ án tốt nghiệp Đại học
nghệ cáp và thường yêu cầu một vài kiểu phần mềm client chạy trên máy tính
của người sử dụng.

Hình 1.2 : Mô hình mạng VPN truy nhập từ xa
Các ưu điểm của mạng VPN truy nhập từ xa so với các phương pháp truy
nhập từ xa truyền thống như:
- Mạng VPN truy nhập từ xa không cần sự hỗ trợ của nhân viên mạng bởi
vì quá trình kết nối từ xa được các ISP thực hiện.
- Giảm được các chi phí cho kết nối từ khoảng cách xa bởi vì các kết nối
khoảng cách xa được thay thế bởi các kết nối cục bộ thông qua mạng
Internet.
- Cung cấp dịch vụ kết nối giá rẻ cho những người sử dụng ở xa.
- Bởi vì các kết nối truy nhập là nội bộ nên các Modem kết nối hoạt động
ở tốc độ cao hơn so với các truy nhập khoảng cách xa.
- VPN cung cấp khả năng truy nhập tốt hơn đến các site của công ty bởi
vì chúng hỗ trợ mức thấp nhất của dịch vụ kết nối.
Mặc dù có nhiều ưu điểm nhưng mạng VPN truy nhập từ xa vẫn còn những

Tuy nhiên mạng cục bộ dựa trên giải pháp VPN cũng có những nhược điểm đi
cùng như:
Đoàn Thanh Bình, D01VT
9
Đồ án tốt nghiệp Đại học
- Bởi vì dữ liệu được truyền “ngầm” qua mạng công cộng – mạng Internet
– cho nên vẫn còn những mối “đe dọa” về mức độ bảo mật dữ liệu và
mức độ chất lượng dịch vụ (QoS).
- Khả năng các gói dữ liệu bị mất trong khi truyền dẫn vẫn còn khá cao.
- Trường hợp truyền dẫn khối lượng lớn dữ liệu, như là đa phương tiện, với
yêu cầu truyền dẫn tốc độ cao và đảm bảo thời gian thực là thách thức
lớn trong môi trường Internet.
1.4.3 Mạng VPN mở rộng
Không giống như mạng VPN cục bộ và mạng VPN truy nhập từ xa, mạng
VPN mở rộng không bị cô lập với “thế giới bên ngoài”. Thực tế mạng VPN mở
rộng cung cấp khả năng điều khiển truy nhập tới những nguồn tài nguyên mạng
cần thiết để mở rộng những đối tượng kinh doanh như là các đối tác, khách
hàng, và các nhà cung cấp… .
Hình 1.4: Mô hình mạng VPN mở rộng
Các VPN mở rộng cung cấp một đường hầm bảo mật giữa các khách hàng,
các nhà cung cấp và các đối tác qua một cơ sở hạ tầng công cộng. Kiểu VPN
này sử dụng các kết nối luôn luôn được bảo mật và được cấu hình như một VPN
Site–to–Site. Sự khác nhau giữa một VPN cục bộ và một VPN mở rộng đó là sự
truy cập mạng được công nhận ở một trong hai đầu cuối của VPN.
Những ưu điểm chính của mạng VPN mở rộng:
- Chi phí cho mạng VPN mở rộng thấp hơn rất nhiều so với mạng truyền
thống.
Đoàn Thanh Bình, D01VT
10
Đồ án tốt nghiệp Đại học

- Giao thức bảo mật IP - IPSec (Internet Protocol Security)
2.1 Giao thức định hướng lớp 2 - L2F
Giao thức định hướng lớp 2 L2F do Cisco phát triển độc lập và được phát
triển dựa trên giao thức PPP (Point-to-Point Protocol). L2F cung cấp giải pháp
cho dịch vụ quay số ảo bằng cách thiết lập một đường hầm bảo mật thông qua
cơ sở hạ tầng công cộng như Internet. L2F là giao thức được phát triển sớm
nhất, là phương pháp truyền thống để cho những người sử dụng ở xa truy cập
vào một mạng công ty thông qua thiết bị truy cập từ xa.
L2F cho phép đóng gói các gói PPP trong L2F, định đường hầm ở lớp liên
kết dữ liệu.
2.1.1 Cấu trúc gói của L2F
1bit 1bit 1bit 1bit 8bit 1bit 3bit 8bit 8bit
F K P S Reserved C Version Protocol Sequence
Multiplex ID Client ID
Length Offset
Key
Data
Ckecksums
Hình 2.1: Khuôn dạng gói của L2F
Trong đó:
Đoàn Thanh Bình, D01VT
12
Đồ án tốt nghiệp Đại học
F: Trường “Offset” có mặt nếu bit này được thiết lập.
K: Trường “Key” có mặt nếu bít này được thiết lập.
P_ priority: Gói này là một gói ưu tiên nếu bít này được thiết lập.
S: Trường “Sequence” có mặt nếu bít này được thiết lập.
Reserved: luôn được đặt là: 00000000.
Version : Phiên bản chính của L2F dùng để tạo gói. 3 bit này luôn là 111.
Protocol : Xác định giao thức đóng gói L2F.

Điểm đích (Destination): Là điểm kết thúc ở đầu xa của đường hầm. Trong
trường hợp này thì Home gateway là điểm đích.
Hình 2.2: Mô hình đặc trưng L2F
2.1.4 Hoạt động của L2F
Hoạt động L2F bao gồm các hoạt động: thiết lập kết nối, đường hầm và
phiên làm việc. Ta xem xét ví dụ minh hoạ hoạt động của L2F:
1) Một người sử dụng ở xa quay số tới hệ thống NAS và khởi đầu một kết
nối PPP tới ISP.
2) Hệ thống NAS và máy khách trao đổi các gói giao thức điều khiển liên
kết LCP (Link Control Protocol).
3) NAS sử dụng cơ sở dữ liệu cục bộ liên quan tới tên vùng (domain name)
hay nhận thực RADIUS để quyết định có hay không người sử dụng yêu
cầu dịch vụ L2F.
4) Nếu người sử dụng yêu cầu L2F thì quá trình tiếp tục: NAS thu nhận địa
chỉ của gateway đích (home gateway).
5) Một đường hầm được thiết lập từ NAS tới gateway đích nếu giữa chúng
chưa có đường hầm nào. Sự thành lập đường hầm bao gồm giai đoạn nhận
thực từ ISP tới gateway đích để chống lại tấn công bởi những kẻ thứ ba.
6) Một kết nối PPP mới được tạo ra trong đường hầm, điều này tác động kéo
dài phiên PPP từ người sử dụng ở xa tới home gateway. Kết nối này được
thiết lập như sau: Home gateway tiếp nhận các lựa chọn và tất cả thông
tin nhận thực PAP/CHAP, như đã thoả thuận bởi đầu cuối người sử dụng
và NAS. Home gateway chấp nhận kết nối hay nó thoả thuận lại LCP và
nhận thực lại người sử dụng.
Đoàn Thanh Bình, D01VT
14
Đồ án tốt nghiệp Đại học
7) Khi NAS tiếp nhận lưu lượng dữ liệu từ người sử dụng, nó lấy gói và
đóng gói lưu lượng vào trong một khung L2F và hướng nó vào trong
đường hầm.

15
Đồ án tốt nghiệp Đại học
Giao thức PPTP được xây dựng dựa trên chức năng của PPP, cung cấp khả
năng quay số truy cập tạo ra một đường hầm bảo mật thông qua Internet đến site
đích. PPTP sử dụng giao thức bọc gói định tuyến chung GRE (Generic Routing
Encapsulation) được mô tả lại để đóng gói và tách gói PPP, giao thức này cho
phép PPTP mềm dẻo xử lý các giao thức khác không phải IP như: IPX,
NETBEUI.
Do PPTP dựa trên PPP nên nó cũng sử dụng PAP, CHAP để xác thực.
PPTP có thể sử dụng PPP để mã hoá dữ liệu nhưng Microsoft đã đưa ra phương
thức mã hoá khác mạnh hơn đó là mã hoá điểm - điểm MPPE (Microsoft Point-
to- Point Encryption) để sử dụng cho PPTP.
Một ưu điểm của PPTP là được thiết kế để hoạt động ở lớp 2 (lớp liên kết
dữ liệu) trong khi IPSec chạy ở lớp 3 của mô hình OSI. Bằng cách hỗ trợ việc
truyền dữ liệu ở lớp thứ 2, PPTP có thể truyền trong đường hầm bằng các giao
thức khác IP trong khi IPSec chỉ có thể truyền các gói IP trong đường hầm.
2.2.1 Kiến trúc của PPTP

Hình 2.3: Kiến trúc của PPTP
a) PPP và PPTP
PPP đã trở thành giao thức quay số truy cập vào Internet và các mạng
TCP/IP rất phổ biến hiện nay. Làm việc ở lớp liên kết dữ liệu trong mô hình
OSI, PPP bao gồm các phương thức đóng, tách gói cho các loại gói dữ liệu khác
nhau để truyền nối tiếp. Đặc biệt, PPP định nghĩa hai bộ giao thức: giao thức
điều khiển liên kết LCP (Link Control Protocol) cho việc thiết lập, cấu hình và
kiểm tra kết nối; Giao thức điều khiển mạng NCP (Network Control Protocol)
cho việc thiết lập và cấu hình các giao thức lớp mạng khác nhau.
Đoàn Thanh Bình, D01VT
16
Đồ án tốt nghiệp Đại học

Kênh điều khiển được yêu cầu cho việc thiết lập một đường hầm giữa
client PPTP và máy chủ PPTP. Phần mềm client có thể nằm ở máy người dùng
từ xa hay nằm ở tại máy chủ của ISP.
Đoàn Thanh Bình, D01VT
17
Đồ án tốt nghiệp Đại học

Hình 2.4:Các giao thức dùng trong một kết nối PPTP
Sau khi đường hầm được thiết lập thì dữ liệu người dùng được truyền giữa
client và máy chủ PPTP. Các gói PPTP chứa các gói dữ liệu IP. Các gói dữ liệu
được đóng gói bởi tiêu đề GRE, sử dụng số ID của Host cho điều khiển truy cập,
ACK cho giám sát tốc độ dữ liệu truyền trong đường hầm.
PPTP hoạt động ở lớp liên kết dữ liệu, nên cần phải có tiêu đề môi trường
truyền trong gói để biết gói dữ liệu truyền trong đường hầm theo phương thức
nào? Ethernet, Frame Relay hay kết nối PPP?Hình 2.5 : bọc gói PPTP/ GRE
PPTP cũng có cơ chế điều khiển tốc độ nhằm giới hạn số lượng dữ liệu
truyền đi. Cơ chế này làm giảm tối thiểu dữ liệu phải truyền lại do mất gói.
b) Cấu trúc gói của PPTP
*Đóng gói dữ liệu đường hầm PPTP
Dữ liệu đường hầm PPTP được đóng gói thông qua nhiều mức: đóng gói
khung PPP, đóng gói các gói GRE, đóng gói lớp liên kết dữ liệu.
Cấu trúc gói dữ liệu đã được đóng gói
Đoàn Thanh Bình, D01VT
18
Đồ án tốt nghiệp Đại học

Hình 2.6: Cấu trúc gói dữ liệu trong đường hầm PPTP

19
Đồ án tốt nghiệp Đại học
- Xử lý và loại bỏ GRE Header và PPP Header.
- Giải mã hoặc/và giải nén phần PPP payload nếu cần thiết.
- Xử lý phần payload để nhận hoặc chuyển tiếp.
* Sơ đồ đóng gói PPTP
Hình 2.7: Sơ đồ đóng gói PPTP
Quá trình:
- Các IP datagram, IPX datagram, hoặc NetBEUI frame được đưa tới giao
diện ảo bằng giao thức tương ứng (giao diện ảo đại diện cho kết nối VPN)
sử dụng NDIS (Network Driver Interface specification).
- NDIS đưa gói dữ liệu tới NDISWAN, nơi thực hiện mật mã, nén dữ liệu và
cung cấp PPP header. Phần mào đầu PPP này chỉ bao gồm trường mã số
giao thức PPP (PPP protocol ID field), không có các trường flag và FCS
(frame check sequence). Giả định trưòng địa chỉ và điều khiển đã được thoả
thuận ở giao thức điều khiển đường truyền LCP (Link Control Protocol)
trong quá trình kết nối PPP.
- NDISWAN gửi dữ liệu tới giao thức PPTP, nơi đóng gói khung PPP với
phần mào đầu GRE. Trong GRE header, trường Call ID đựoc đặt giá trị
thích hợp để xác định đường hầm.
- Giao thức PPTP sau đó sẽ gửi gói vừa hình thành tới giao thức TCP/IP.
Đoàn Thanh Bình, D01VT
20
Đồ án tốt nghiệp Đại học
- TCP/IP đóng gói dữ liệu đường hầm PPTP với phần mào đầu IP, sau đó gửi
gói kết quả tới giao diện đại diện cho kết nối quay số tới ISP địa phương sử
dụng NDIS.
- NDIS gửi gói NDISWAN, nó cung cấp các phần PPP header và trailer.
- NDISWAN gửi khung PPP kết quả tới cổng WAN tương ứng đại diện cho
phần cứng quay số.

Hình 2.8 : đường hầm bắt buộc và đường hầm tự nguyện
Sử dụng RADIUS để cung cấp đường hầm bắt buộc có một vài ưu điểm đó
là: Các đường hầm có thể được định nghĩa và kiểm tra dựa trên xác thực người
dùng và tính cước dựa vào số điện thoại, các phương thức xác thực khác như thẻ
bài (token) hay thẻ thông minh (smart card).
d) Xác thực người dùng quay số từ xa (RADIUS)
RADIUS (Remote Authentication Dial-In User Service) sử dụng kiểu
client/ server để chứng nhận một cách bảo mật và quản trị các kết nối mạng từ
xa của các người dùng trong các phiên làm việc. RADIUS client/server sử dụng
máy chủ truy cập mạng NAS để quản lý kết nối người dùng. Ngoài chức năng
của máy chủ truy cập mạng nó còn có một số chức năng cho RADIUS client.
NAS sẽ nhận dạng người dùng, thông in về mật khẩu rồi chuyển đến máy chủ
RADIUS. Máy chủ RADIUS sẽ trả lại trạng thái xác thực là chấp nhận hay từ
chối dữ liệu cấu hình cho NAS để cung cấp dịch vụ cho người dùng. RADIUS
tạo một cơ sở dữ liệu tập trung về người dùng, các loại dịch vụ sẵn có, một dải
modem đa chủng loại. Trong RADIUS thông tin người dùng được lưu trong
máy chủ RADIUS.
Đoàn Thanh Bình, D01VT
22
Đồ án tốt nghiệp Đại học
RADIUS hỗ trợ cho máy chủ Proxy, là nơi lưu giữ thông tin người dùng
cho mục đích xác thực, cấp quyền và tính cước, nhưng nó không cho phép thay
đổi dữ liệu người dùng. Máy chủ Proxy sẽ định kỳ cập nhật cơ sở dữ liệu người
dùng từ máy chủ RADIUS. Để RADIUS có thể điều khiển việc thiết lập một
đường hầm, nó cần phải lưu các thuộc tính của đường hầm. Các thuộc tính này
bao gồm: giao thức đường hầm được sử dụng (PPTP hay L2TP), địa chỉ của
máy chủ và môi trường truyền dẫn trong đường hầm được sử dụng.
Khi kết hợp đường hầm với RADIUS, có ít nhất 3 tuỳ chọn cho xác thực và
cấp quyền:
- Xác thực và nhận cấp quyền một lần tại RAS đặt tại cuối đường hầm.

thoả thuận lại sau mỗi gói hay sau một số gói.
f) Đường hầm kết nối LAN-LAN
Giao thức PPTP nguyên thuỷ chỉ tập trung hỗ trợ cho việc quay số kết nối
vào một mạng riêng thông qua mạng Internet, những đường hầm kết nối LAN-
LAN không được hỗ trợ. Mãi đến khi Microsoft giới thiệu máy chủ định hướng
và truy cập từ xa (Routing and Remote Access Server) cho NT server 4.0 thì
mới hỗ trợ đường hầm kết nối LAN-LAN. Kể từ đó các nhà cung cấp khác cũng
đã cung cấp các máy chủ tương thích với PPTP có hỗ trợ đường hầm kết nối
LAN-LAN.
Đường hầm kết nối LAN-LAN diễn ra giữa hai máy chủ PPTP, giống như
IPSec dùng 2 cổng nối bảo mật để kết nối 2 mạng LAN. Tuy nhiên, do kiến trúc
PPTP không có hệ thống quản lý khoá nên việc cấp quyền và xác thực được điều
khiển bởi CHAP hoặc thông qua MS-CHAP. Để tạo đường hầm giữa hai site,
máy chủ PPTP tại mỗi site sẽ được xác thực bởi PPTP ở site kia. Khi đó máy
chủ PPTP trở thành client PPTP của máy chủ PPTP ở đầu bên kia và ngược lại,
do đó một đường hầm tự nguyện được tạo ra giữa hai site.
Đoàn Thanh Bình, D01VT
24
Đồ án tốt nghiệp Đại học
Hình 2.10 : Đường hầm kết nối LAN-LAN
Do đường hầm PPTP có thể được đón gói bởi bất kỳ giao thức mạng nào
được hỗ trợ (IP, IPX, NETBEUI), người dùng tại một site có thể truy cập vào tài
nguyên tại site kia dựa trên quyền truy cập của họ. Điều này có nghĩa là cần phải
có site quản lý để đảm bảo người dùng tại một site có quyền truy cập vào site
kia. Trong Windows NT mỗi site sẽ có miền bảo mật riêng và các site phải thiết
lập một mối quan hệ tin cậy giữa các miền để cho phép người dùng truy cập vào
tài nguyên của các site.
2.2.2 Sử dụng PPTP
Tổng quát một PPTP VPN yêu cầu phải có: một máy chủ truy cập mạng
dùng cho phương thức quay số truy cập bảo mật vào VPN, một máy chủ PPTP,