CISCO常见问题及解答——VPN相关

123 问题：在使用Cisco2621路由器实施VPN的方案中，如何提供用户验证功能？

答案：需要IOS软件版本支持Xauth-扩展IKE验证功能，该功能在IKE的验证功能基础上增加了额外的用户验证功能。该特性在IOS12.1(1)T软件版本中正式发布。

124 问题：在VPN中实施QOS的意义是什么？

答案：QOS可以使你管理由本地网到公网(如Internet)的反应时间。QOS可以确保重要的数据流量能够优先得到保障，这样可以确保从A点到B点的重要数据流量得到有效的传输。

125 问题：IPSec是什么？它是否是一种新的加密形式？

答案：IPSec是一套用来通过公共IP网络进行安全通讯的协议格式，它包括数据格式协议、密钥交换和加密算法等。IPSec在遵从IPSec标准的设备之间提供安全的通讯，即使这些设备可能是由不同厂商所提供的。

　　126 问题：L2TP和IPSec在VPN的接入实施中起到什么作用？

　　答案：L2TP提供隧道建立或封装，以及第二层验证。IPSec提供L2TP隧道的加密，从而可以提供对会话的安全保证。用户可以在隧道模式中自己使用IPSec功能，但L2TP可以提供更好的用户验证功能。

　　127 问题：GRE的主要作用是什么？

　　答案：GRE是一种基于IP的隧道技术，它可被用来在基于IP的骨干网上传输多种协议的数据流量，如IPX、AppleTalk等。同时，GRE还可被用来在Internet网络上通过隧道传输广播和组播信息，如路由更新信息等。需要注意的是，在使用GRE之前需要先在作为VPN终点设备的物理接口上进行相关配置，随后可以使用诸如IPSec等安全措施保护隧道。

　　128 问题：Cisco1750/2600/3600系列路由器产品中，当需要支持VPN功能时，如何选择IOS软件？

　　答案：当需要支持VPN功能时，路由器需要使用带有IPSec特性集的IOS软件包。

　　129 问题：CiscoPIX防火墙产品是否需要使用额外的软件才能支持VPN功能？

　　答案：CiscoPIX防火墙产品可以支持IPSec所使用的IKE和PKI安全验证协议，因此不需要使用其它软件就可以支持VPN功能。

　　130 问题：Cisco1700系列路由器上是否支持硬件VPN功能，该硬件产品号是什么 ？

　　答案：支持，该硬件VPN功能模块为：MOD1700-VPN。

　　131 问题：IPSec是什么？

　　答案：IPSec是一种工业上的标准，它的作用是保证通过广域网进行传输的信息的私有性、完整性和真实性不被破坏。

　　132 问题：与带VPN模块的Cisco1700系列路由器相比，带VPN AIM模块的Cisco2600系 列路由器具有哪些特点？

　　答案：?可以达到双倍的加密性能 ?可同时支持120个IPSec隧道 ?将IP压缩和IPSec加速功能相结合 ?未来支持 FIPS 140-1 Level 3安全标准注：Cisco2600系列路由器的VPN AIM模块将在2000年夏季出版。

　　133 问题：带VPN模块的Cisco1700系列路由器与靠IPSec软件实现VPN功能的1700路由器以及Cisco800、1600系列VPN路由器相比各有什么特点？

　　答案：带IPSec软件而不带VPN模块的Cisco1700系列路由器可以对具有256个字节数据包达到300kbps的3DES加密，具有VPN模块的1700路由器对相同大小的数据包达到3400kbps的加密速率。Cisco800和1600系列VPN路由器只能支持56KDES加密，不支持3DES。所能达到的速率适合进行ISDN128K的连接。

　　134 问题：带VPN模块的Cisco1700系列路由器能否与其它厂商提供的VPN产品进行互操作？

　　答案：尽管在许多不同的厂商之间已经就VPN形成了IPSec标准，如PKI和数字验证等，但仍有许多厂商在设计和实施VPN的时候都或多或少地超出了这一标准。因此，在这之间进行互操作时有可能会遇到问题。

　　135 问题：什么是IKE，它的作用是什么？

　　答案：Internet Key Exchange，因特网密钥交换。它的作用是协助进行安全管理。IK E在进行IPSec处理过程中对身份进行鉴别，同时进行安全策略的协商和处理会话密钥的交换工作。

　　136 问题：是否所有Cisco1700系列路由器全都支持VPN模块？

　　答案：是的，Cisco1720、1750、1750-2V和1750-4V都支持VPN模块。

　　137 问题：Cisco1700系列路由器的VPN模块是否能在其它路由器平台上，如Cisco2600/3600系列路由器上使用？

　　答案：不能，Cisco1700系列路由器的VPN模块是专门设计的，只能工作在Cisco1700路由器的平台上，不适用于Cisco2600/3600系列的路由器平台。同样，Cisco2600/3600系列路由器使用的VPN AIM模块也无法在1700系列上使用。

　　138 问题：IPX的数据流量如何通过VPN隧道？

　　答案：IPX数据流量首先需要使用IP进行包装，这通常可以在路由器和路由器之间使用GRE来实现，或者在VPN客户端软件和路由器的连接之间使用PPTP来实现。

　　139 问题：在VPN上是否能够支持组播流量？

　　答案：可以，通过在设备之间配置GRE通道并在所建立的隧道中对所有的流量进行加密可以确保广播流和组播流在VPN上的传输。

　　140 问题：语音和数据集成的数据流是否能够通过VPN进行很好的传输，Cisco的哪些设备支持该项功能？

　　答案：一般来讲，如果没有硬件加速、压缩以及优秀的QOS机制，使用加密机制如IPSec传输语音几乎是无法想象的。目前，我们已经距离通过VPN传输加密的语音和数据的组合数据流的目标越来越近，在7100系列路由器中使用硬件加密技术已经成为现实，在不远的将来，这一功能将会在Cisco7200、3600、2600以及1700系列的路由器中实现。另外，通过使用对IPSec数据包的LZS压缩技术和QOS机制如NBAR，都将加速语音的VPN传输。

　　141 问题：我的ISP提供商没有提供VPN服务，我是否可以使用VPN技术？

　　答案：可以。用户可以使用客户端软件由客户端的PC机建立起VPN连接(通过L2TP、PPTP以及IPSec等)，在这里ISP所扮演的角色仅仅是在两个VPN终点间路由IP数据流量的网关。

　　142 问题：使用基于VPN的防火墙解决方案与使用基于IPSec的路由器解决方案相比较，有哪些优势和不足？

　　答案：优势： ?集成的解决方案，不需安装额外的设备。 ?降低了设备投资成本，减少了设备支持和维护工作。不足： ?防火墙可能不支持路由功能和其它一些特性，如QOS。 ?在同一台设备上同时执行防火墙和加密功能，将会影响设备的性能。 ?在特定的VPN设备上同时支持的VPN隧道数量过于巨大。

　　143 问题：Catalyst5500系列交换机的RSM模块是否支持VPN功能？

　　答案：目前还不能，但在最近的新版本软件中，将会加入该项功能。

　　144 问题：哪些版本软件的PIX防火墙支持VPN功能？

　　答案：在PIX5.0和5.1版本以后的PIX IOS IPSec软件都支持VPN功能，PIX5.1同时也支 持PPTP VPN隧道协议。

　　145 问题：3DES加密是否比PIX防火墙和客户端的DES加密具有更强的处理器功能？

　　答案：是的。3DES一般要求具有2倍于DES的加密处理功能。

　　146 问题：Cisco1750系列路由器能否支持3DES？

　　答案：可以支持。

　　147 问题：从哪些版本的IOS软件开始支持VPN功能？

　　答案：基于VPN的加密功能(Encrytion)是从Cisco IOS11.2CET开始的，在Cisco IOS 11.3.3T版本的软件以后可以支持IPSec功能。

　　148 问题：是否CiscoVPN客户端的软件可以与任何Cisco的产品配合使用，还是只能与Cisco7000系列路由器配合使用？

　　答案：CiscoVPN客户端软件可以适用于任何运行有IPSecIOS软件的VPN路由器，产品从Cisco800系列到7500系列运行IPSec软件的路由器，其中一部分是靠软件实现的，一部分是靠硬件实现的。

　　149 问题：能否使用其它厂商的IPSec设备对CiscoVPN设备进行访问？

　　答案：只要两种设备都支持RFC's2401-2412标准，那么成功的可能性将会很大。

　　150 问题：Cisco1720路由器能够支持多少个动态用户的VPN接入？

　　答案：大约是20-30个用户之间。

　　151 问题：Cisco的VPN软件能否在同一个连接中支持多种协议(如IP、IPX等)？

　　答案：如果VPN支持多协议隧道功能，如GRE、L2TP或PPTP(均在CiscoIOS软件中被支持)，那么就可以支持多协议。

　　152 问题：Cisco系列VPN路由器一般可以支持多少个远端移动用户？

　　答案：Cisco1700系列VPN路由器可以支持20-30个用户，如果采用硬件加速技术， 则可以支持100个左右的用户。Cisco2600/3600系列VPN路由器可以支持100-500个左右的用户。对于超过500个以上的用户数的VPN应用，建议采用Cisco7XXX系列的VPN路由器。

　　256 问题：当用户需要实现VPN时，路由软件如何配置？对于移动拨号用户来说如何配置软件？

　　答案：当用户需要实现VPN功能时，路由器可以选用IPSEC的IOS软件。对于移动拨号用户来说，当需要和具有支持VPN功能的路由器建立安全隧道时，可以购买CISCO公司VPN客户端软件，该软件可以在WIN95/98/NT平台上运行，WIN2000本身自带VPN客户端软件。