Thiết kế và triển khai VPN Client to Site cho mạng LAN
LỜI CẢM ƠN
Sau gần 3 tháng nỗ lực thực hiện luận văn. Ngoài sự cố gắng hết mình của
bản thân, em đã nhận được sự khích lệ, động viên rất nhiều từ phía nhà trường, thầy
cô và bạn bè.
Trước hết con xin cám ơn ba mẹ đã luôn động viên và tạo mọi điều kiện tốt
để con học tập và hoàn thành luận văn tốt nghiệp này.
Em xin cám ơn thầy cô Trường Đại Học Duy Tân đã truyền đạt những kiến
thức quý báu cho em trong suốt quá trình học tập. Đặc biệt, em xin bày tỏ lòng biết
ơn chân thành sâu sắc nhất đến Thầy Trần Bàn Thạch, người đã tận tình hướng dẫn
và giúp đỡ em trong suốt thời gian thực hiện luận văn này.
Xin cám ơn tất cả bạn bè đã và đang động viên, giúp đỡ em trong quá trình
học tập và hoàn thành tốt luận văn tốt nghiệp này.
ĐÀ NẴNG, 05/2008
Sinh viên thực hiện
Đinh Duy Tú
Đinh Duy Tú
1
Thiết kế và triển khai VPN Client to Site cho mạng LAN
MỤC LỤC
MỤC LỤC 2
TỔNG QUAN MẠNG MÁY TÍNH 10
1.1 KHÁI NIỆM CƠ BẢN 10
1.1.1 Định nghĩa 10
1.1.2 Kiến trúc mạng 10
1.1.3 Mô hình mạng 12
1.1.4 Phương tiện truyền dẫn 13
1.1.4.1 Cáp 13
1.1.4.2 Thiết bị không dây 14
1.1.5 Hệ điều hành mạng 14
1.2 MẠNG LAN VÀ WAN 15

1.5.1 Firewall 26
Đinh Duy Tú
2
Thiết kế và triển khai VPN Client to Site cho mạng LAN
1.5.1.1 Khái niệm cơ bản 26
1.5.1.2 Các kiểu firewall 27
1.5.2 Mạng VPN 28
1.5.2.1 Định nghĩa 28
CHƯƠNG 2 29
TỔNG QUAN VỀ CÔNG NGHỆ VPN 29
2.1 KHÁI QUÁT CHUNG 29
2.1.1 Lịch sử hình thành và phát triển 29
2.1.2 Khái niệm VPN 30
2.2 PHÂN LOẠI VPN 31
2.2.1 VPN truy cập từ xa (Remote Access) 32
2.2.2 VPN điểm nối điểm (Site to Site) 32
2.3 SẢN PHẨM CÔNG NGHỆ DÀNH CHO VPN 33
2.3.1 Bộ xử lý trung tâm VPN 33
2.3.2 Router dùng cho VPN 34
2.3.3 Tường lửa PIX của Cisco 34
2.4 CÁC YÊU CẦU CƠ BẢN ĐỐI VỚI MỘT GIẢI PHÁP VPN 35
2.4.1 Tính tương thích 35
2.4.2 Tính bảo mật 35
2.4.3 Tính khả dụng 35
2.4.4 Khả năng hoạt động tương tác 36
2.5 THIẾT LẬP KẾT NỐI TUNNEL 36
2.5.1 Các loại giao thức 36
2.5.2 Kỹ thuật Tunneling trong mạng VPN 37
2.5.2.1 Kỹ thuật Tunneling trong mạng VPN truy cập từ xa 37
2.5.2.2 Kỹ thuật Tunneling trong mạng VPN điểm nối điểm 37

4.1.2.2 Cấu hình 52
1.4.3 Cài đặt và cấu hình VPN Server dùng Radius Server chứng thực bằng
username, password 59
4.1.4 Cài đặt và kết nối máy Client 65
4.1.4.1 Cài đặt 65
4.1.4.2 Kết nối 68
TÀI LIỆU THAM KHẢO 71
Đinh Duy Tú
4
Thiết kế và triển khai VPN Client to Site cho mạng LAN
DANH MỤC CÁC TỪ VIẾT TẮT
SỐ TT CỤM TỪ VIẾT TẮT
01 Local Area Network LAN
02 Metropolitan Area Network MAN
03 Wide Area Network WAN
04 Global Area Network GAN
05 Advanced Research Projects Agency ARPA
06 Transmission Control Protocol/Internet Protocol TCP/IP
07 File Transfer Protocol FTP
08 Wide Area Information Server/ Service WAIS
09 World Wide Web WWW
10 HyperText Markup Language HTML
11 HyperText Transfer Protocol HTTP
12 Uniform Resource Locator URL
13 Mail User Agent MUA
14 Message Transfer Agent MTA
15 Software Defined Network SDN
16 Virtual Private Network VPN
17 Point of Presence POP
18 Quality of Service QoS

13 Hình 13 Mô hình OSI
14 Hình 14 Giao thức TCP/IP
15 Hình 15 Giao thức IPX/SPX
16 Hình 16 Giao thức ATP
17 Hình 17 Repeater
18 Hình 18 Hub
19 Hình 19 Bridge
20 Hình 20 Switch
21 Hình 21 Modems
22 Hình 22 Gateway
23 Hình 23 Router
24 Hình 24 Firewall
25 Hình 25 Application level gateway
26 Hình 26 Circuit level gateway
27 Hình 27 Proxy Server Firewall
28 Hình 28 Mô hình mạng VPN cơ bản
29 Hình 29 Mô hình VPN truy cập từ xa
30 Hình 30 Mô hình VPN điểm nối điểm
31 Hình 31 Bộ xử lý trung tâm
32 Hình 32 Router Cisco
33 Hình 33 Tường lửa PIX của Cisco
34 Hình 34 Mô hình Tunneling truy cập từ xa
35 Hình 35 Mô hình Tunneling điểm nối điểm
36 Hình 36 Giao thức PPTP
Đinh Duy Tú
6
Thiết kế và triển khai VPN Client to Site cho mạng LAN
37 Hình 37 Giao thức L2TP
38 Hình 38 Giao thức IPSec
39 Hình 39 Mô hình Client to Site

riêng.
Nội dung của đề tài chia làm bốn chương:
Đinh Duy Tú
8
Thiết kế và triển khai VPN Client to Site cho mạng LAN
Chương 1. Tổng quan về mạng máy tính
Giới thiệu kiến thức cơ bản về mạng, mô hình mạng, giao thức mạng, hệ
điều hành mạng, mô hình OSI, các thiết bị cơ bản trong mạng LAN và WAN, các
dịch vụ trên mạng, các hiểm họa và phương pháp tấn công trên mạng. Bên cạnh đó
tìm hiểu về Firewall và mạng VPN.
Chương 2. Tổng quan về công nghệ VPN
Giới thiệu khái quát chung, phân loại, các sản phẩm công nghệ, các giao
thức, các kỹ thuật Tunneling, lợi ích, ưu và nhược điểm của công nghệ VPN.
Chương 3. Thiết kế mô hình VPN Client to Site
Đưa ra tình huống, phân tích, thiết kế và mô hình triển khai thực tế.
Chương 4. Triển khai cài đặt mô hình VPN Client to Site
Các bước cài đặt chủ yếu và những chú ý cần thiết khi triển khai mô hình.
Đinh Duy Tú
9
Thiết kế và triển khai VPN Client to Site cho mạng LAN
CHƯƠNG 1
TỔNG QUAN MẠNG MÁY TÍNH
1.1 KHÁI NIỆM CƠ BẢN
1.1.1 Định nghĩa
Mạng máy tính là hai hay nhiều máy tính được kết nối với nhau theo một
cách nào đó sao cho chúng có thể trao đổi thông tin qua lại với nhau.
Hình 1 Mô hình mạng cơ bản
1.1.2 Kiến trúc mạng
• Mạng dạng sao (Star topology): ở dạng sao, tất cả các trạm được nối vào một
thiết bị trung tâm có nhiệm vụ nhận tín hiệu từ các trạm và chuyển tín hiệu

• MAN (Metropolitan Area Network) - Kết nối các máy tính trong phạm vi
một thành phố. Kết nối này được thực hiện thông qua các môi trường truyền
thông tốc độ cao (50-100 Mbit/s).
Hình 7 Mô hình mạng MAN
• WAN (Wide Area Network) - Mạng diện rộng, kết nối máy tính trong nội bộ
các quốc gia hay giữa các quốc gia trong cùng một châu lục. thông thường
kết nối này được thực hiện thông qua mạng viễn thông. Các WAN có thể
được kết nối với nhau thành GAN hay tự nó đã là GAN.
Đinh Duy Tú
12
Thiết kế và triển khai VPN Client to Site cho mạng LAN
Hình 8 Mô hình mạng WAN
• GAN (Global Area Network) - Kết nối các máy tính từ các châu lục khác
nhau. Thông thường kết nối này được thực hiện thông qua mạng viễn thông
và vệ tinh.
1.1.4 Phương tiện truyền dẫn
1.1.4.1 Cáp
• Cáp xoắn đôi (Twisted pair cable)
- Dùng phổ biến cho mạng LAN.
- Có hai loại:
+ STP (Shield Twised Pair): cáp xoắn đôi bọc kim.
Hình 9 Cáp xoắn đôi STP
+ UTP (Unshield Twised Pair): cáp xoắn đôi không bọc kim.
Đinh Duy Tú
13
Thiết kế và triển khai VPN Client to Site cho mạng LAN
Hình 10 Cáp xoắn đôi UTP
• Cáp đồng trục (Coaxial cable): dùng chủ yếu cho mạng LAN, có hai loại là
cáp dày (Thick cable) và cáp mỏng (Thin cable).
Hình 11 Cáp đồng trục

xuống từ web hay bạn có thể mua một quyển sách có chứa một CD-ROM
với toàn bộ hệ điều hành như: “Linux: The Complete Reference” của
Richard Peterson (Berkeley, CA: Osborne/McGraw-Hill, 1996).
1.2 MẠNG LAN VÀ WAN
1.2.1 Giao thức và mô hình truyền thông
1.2.1.1 Khái niệm giao thức
Là một chuẩn của tổ chức mạng đưa ra cho phép các máy tính trên
mạng giao tiếp vơi nhau một cách thống nhất.
1.2.1.2 Mô hình OSI
Năm 1984, tổ chức Tiêu chuẩn hóa Quốc tế - ISO (International
Standard Organization) chính thức đưa ra mô hình OSI (Open Systems
Interconnection), là tập hợp các đặc điểm kỹ thuật mô tả kiến trúc mạng dành cho
việc kết nối các thiết bị không cùng chủng loại.
Mô hình OSI được chia thành 7 tầng, mỗi tầng bao gồm những hoạt động, thiết bị
và giao thức mạng khác nhau.
Đinh Duy Tú
15
Thiết kế và triển khai VPN Client to Site cho mạng LAN
Hình 13 Mô hình OSI
• Tầng vật lý (Physical): là tầng thấp nhất, có chức năng là truyền dòng
bit không có cấu trúc qua đường truyền vật lý.
• Tầng liên kết dữ liệu (Data Link): cung cấp phương tiện để truyền
thông tin qua liên kết vật lý đảm bảo tin cậy.
• Tầng mạng (Network): thực hiện việc chọn đường và chuyển tiếp
thông tin với công nghệ chuyển mạch thích hợp.
• Tầng giao vận/vận tải (Transport): thực hiện truyền dữ liệu giữa hai
đầu mút, kiểm soát lỗi.
• Tầng phiên (Session): cung cấp phương tiện quản lý truyền thông giữa
các ứng dụng.
• Tầng trình diễn (Presentation): chuyển đổi cú pháp dữ liệu để đáp ứng

• Quy tắc và chuẩn (giao thức).
• Phần mềm và quản lý ứng dụng.
1.2.2.2 Các thiết bị mạng
1.2.2.2.1 Bộ lặp (Repeater): làm việc trên tầng Physical.
Hình 17 Repeater
1.2.2.2.2 Bộ tập trung (Hub): hoạt động ở tầng Data Link.
Hình 18 Hub
1.2.2.2.3 Cầu nối (Bridge): làm việc trên tầng Data Link.
Hình 19 Bridge
Đinh Duy Tú
18
Thiết kế và triển khai VPN Client to Site cho mạng LAN
1.2.2.2.4 Bộ chuyển mạch (Switch): có hai loại là
Switch lớp 2 làm việc trên tầng Data Link và Switch lớp 3 làm việc trên
tầng Network của mô hình OSI.
Hình 20 Switch
1.2.2.3 Các chuẩn LAN
Chuẩn Viện công nghệ điện và điện tử (IEEE): Tiêu chuẩn IEEE LAN
được phát triển dựa vào Ủy ban IEEE 802.
• IEEE 802.1
• IEEE 802.2
• IEEE 802.3
• IEEE 802.4
•
• IEEE 802.11
Chuẩn uỷ ban tư vấn quốc tế về điện báo và điện thoại (CCITT):
Một số chuẩn: V22, V28, V35
X series bao gồm các tiêu chuẩn OSI.
Chuẩn cáp và chuẩn giao tiếp EIA.
Các tiêu chuẩn EIA dành cho giao diện nối tiếp giữa modem và máy tính.

Hình 22 Gateway
• Bộ định tuyến (Router)
Hình 23 Router
1.2.3.2 Các chuẩn WAN
• ISDN (Intergrated Services Digital Network): là một loại mạng
viễn thông số tích hợp đa dịch vụ cho phép sử dụng cùng một lúc
nhiều dịch vụ trên cùng một đường dây điện thoại thông thường.
Người dùng cùng một lúc có thể truy cập mạng WAN và gọi điện
thoại, fax mà chỉ cần một đường dây điện thoại duy nhất, thay vì 3
đường nếu dùng theo kiểu thông thường.
• ATM (Asynchronous Tranfer Mode) hay Cell relay: hiện nay kỹ
thuật Cell Relay dựa trên phương thức truyền thông không đồng
bộ (ATM) có thể cho phép thông lượng hàng trăm Mbps. Đơn vị
dữ liệu dùng trong ATM được gọi là tế bào (cell). Các tế bào trong
ATM có độ dài cố định là 53 bytes, trong đó 5 bytes dành cho
phần chứa thông tin điều khiển (cell header) và 48 bytes chứa dữ
liệu của tầng trên.
• X.25: được CCITT công bố lần đầu tiên vào năm 1970. X.25 cung
cấp quy trình kiểm soát luồng giữa các đầu cuối đem lại chất
Đinh Duy Tú
21
Thiết kế và triển khai VPN Client to Site cho mạng LAN
lượng đường truyền cao cho dù chất lượng mạng lưới đường dây
truyền thông không cao. X.25 được thiết kế cho cả truyền thông
chuyển mạch lẫn truyền thông kiểu điểm nối điểm, được quan tâm
và triển khai nhanh chóng trên toàn cầu.
• Frame Relay: công nghệ này ra đời có thể chuyển nhận các khung
truyền lớn tới 4096 byte và không cần thời gian cho việc hỏi đáp,
phát hiện lỗi và sửa lỗi ở lớp 3 (No protocol at Network layer) nên
Frame Relay có khả năng chuyển tải nhanh hơn hàng chục lần so

mềm khác.
1.3.4 Dịch vụ WAIS
WAIS (Wide Area Information Serves) là một dịch vụ tìm kiếm dữ liệu.
WAIS thường xuyên bắt đầu việc tìm kiếm dữ liệu tại thư mục của máy chủ, nơi
chứa toàn bộ danh mục của các máy phục vụ khác. Sau đó, WAIS thực hiện tìm
kiếm máy phục vụ thích hợp nhất. WAIS có thể thực hiện công việc của mình với
nhiều loại dữ liệu khác nhau như văn bản ASCII, GIF, điện thư…
1.3.5 Dịch vụ World Wide Web
World Wide Web (WWW hay Web) là một dịch vụ tích hợp, sử dụng đơn
giản và có hiệu qủa nhất trên Internet. Web tích hợp cả FTP, WAIS, Gopher. Trình
duyệt Web có thể cho phép truy nhập vào tất cả các dịch vụ trên.
Tài liệu WWW được viết bằng ngôn ngữ HTML (HyperText Markup
Language) hay còn gọi là ngôn ngữ đánh dấu siêu văn bản. Siêu văn bản là văn bản
bình thường cộng thêm một số lệnh định dạng. HTML có nhiều cách liên kết với
các tài nguyên FTP, Gopher server và Web server. Web server là máy phục vụ
Web, đáp ứng các yêu cầu về truy nhập tài liệu HTML. Web server trao đổi các tài
liệu HTML bằng giao thức HTTP (HyperText Transfer Protocol) hay còn gọi là
giao thức truyền siêu văn bản.
Trình duyệt Web (Web client) là chương trình để xem các tài liệu Web.
Trình duyệt Web gửi các URL đến máy phục vụ Web sau đó nhận trang Web từ
máy phục vụ Web dịch và hiển thị chúng. Khi giao tiếp với máy phục vụ Web thì
trình duyệt Web sử dụng giao thức HTTP. Khi giao tiếp với một Gopher server thì
trình duyệt Web hoạt động như một Gopher client và sử dụng giao thức gopher.
Trình duyệt Web có thể thực hiện các công việc khác nhau như ghi trang Web vào
đĩa, gửi Email, hiển thị tệp HTTP nguồn của trang Web,…Hiện nay có hai trình
duyệt Web được sử dụng nhiều nhất là Internet Explorer và Netscape, ngoài ra còn
một số trình duyệt khác như Opera, Mozila,…
1.3.6 Dịch vụ thư điện tử (E mail)
Dịch vụ thư điện tử (hay còn gọi là điện thư) là một dịch vụ thông dụng nhất
trong mọi hệ thống mạng dù lớn hay nhỏ. Thư điện tử được sử dụng rộng rãi như

hoặc không kiểm soát được cấu hình mạng.
1.4.2 Các phương pháp tấn công trên mạng
1.4.2.1 Virus
Virus tin học là một phần mềm máy tính mang tính lây lan (ký sinh)
và có thể phá hoại dữ liệu. Tính lây lan của Virus là khả năng tự sao chép của Virus
từ đối tượng bị nhiễm sang đối tượng khác và làm cho nó nhân bản nhanh chóng.
Đối tượng bị nhiễm là các tệp ( như chương trình, dữ liệu, thư điện tử, văn bản,
macro…) và môi trường lan truyền bao gồm mạng, đường truyền và các loại bộ nhớ
Đinh Duy Tú
24
Thiết kế và triển khai VPN Client to Site cho mạng LAN
(RAM, đĩa cứng, đĩa mềm, băng từ, đĩa CD, đĩa ZIP, đĩa ĐV, đĩa Flash…).Virus có
nhiều cách lây lan và tất nhiên cũng có nhiều cách phá hoại khác nhau. Virus máy
tính có nhiều chủng họ, chẳng hạn như Boot, File, Macro, Trojan, Worm,
Polymorphic, Hoaxes.
Tấn công mạng sử dụng Virus là một phương pháp tấn công khá phổ biến hiện
nay. Mọi loại hệ điều hành đều thường xuyên bị tấn công bởi virus và tác hại gây ra
bởi virus là rất lớn và thật khó lường.
1.4.2.2 Treo cứng hệ thống
Kỹ thuật này làm treo cứng hệ thống của nạn nhân bằng cách tấn công
qua những giao thức tiêu chuẩn, chẳng hạn "dội bom thư" (mail bombing) qua giao
thức SMTP, hoặc tấn công "ngập lụt" (flooding) qua giao thức TCP. Trong đó, tấn
công "ngập lụt" là kiểu tấn công phổ biến.
1.4.2.3 Từ chối dịch vụ
Kỹ thuật "từ chối phục vụ" (Denial of Service-DoS) làm cho hệ thống
máy chủ bị nhận quá nhiều yêu cầu giả và không thể đáp ứng được nữa. Kỹ thuật
này còn được cải tiến thành "từ chối phục vụ phân tán" ( Distributed DoS- DDoS)
khi các cuộc tấn công đồng loạt xuất phát từ nhiều nơi trên mạng và được hứa hẹn
trước vào cùng một thời điểm nên rất khó chống đỡ.
1.4.2.4 Lợi dụng chương trình