经济性校园网VPN系统建设
[摘要]通过双网卡搭建基于linux的VPN系统,在实现VPN系统的同时可以为学校节约大量的开支。辅以免费的radius认证系统对访问进行有效的安全控制,从而实现安全的网络通信。
[关键词]校园网 虚拟专用网 linux redhat 双网卡 RADIUS
Abstract:Used dual-card built the VPN system based on the LINUX could achieve VPN system, and also could save a lot of expenses for schools. The VPN system based on the LINUX was constructed and applied IPTABLES firewall to the access on VPN system for effective security control could achieve security network communications.
Keywords: campus network virtual private networks linux dual-card RADIUS
VPN(虚拟专用网络)是一个基于不安全的公共网络基础之上的为用户提供安全特网络环境的技术,它是通过特有的再次封装协议和加密技术来实现网络安全性的。基于VPN技术,用户可以低成本地投入,自由的从服务提供商提供的网络连接建立跨地域的私有网络,因此具有相当的使用市场。VPN采用GRE协议,由隧道技术,协议封装技术,配置管理技术几部分组成。VPN技术的核心内容主要包括:配置管理技术、隧道技术、协议封装技术。以上这些技术构成了一个安全可靠的专用网络。目前大部分校园网的内部办公网络系统或内部PC及服务器,外网用户无法直接访问。VPN系统可以提供一个安全可靠的接入方式,通过VPN系统为客户的分配一个内网IP,这样用户便可以再外网方便地访问内部网络资源。也就解决了上述我们在外网遇到的不能访问内网资源的问题。因此实施VPN技术在校园网建设中是十分必要的。
1 搭建基于LINUX的VPN系统
1.1硬件环境的搭建。在一台普通的服务器上安装一个Red Hat企业版Linux。可以选择一台普通的pc,也可以使一台性能比较好的服务器作为操作系统载体。选择操作系统硬件载体取决于VPN系统支持计入用户的数量。如果想支持越多的用户同时接入,那么在排除网络接入带宽的因素外我们则要重点考虑VPN服务器的性能。这点处理不当,可能造成是VPN网络服务的一个瓶颈。为了降低实现VPN系统那个的复杂程度并实现路由功能,我们可以选择安装双网卡的技术措施。即一张网卡面向外网接入,另一张网卡实现内网连接。双网卡安装及配置的关键点是把Linux缺省网关知道外网所在的网卡上,这点这是关系到系统能否运行成功的关键所在。
网卡IP及网关的设定配置步骤:
首先安装第一张网卡,默认为eth0,插上内外那个线。
然后插入第二张网卡,开机检测,使用如下操作对第二张网卡进行配置。
Netconf
在“host name and IP network devices”设置好两块网卡的IP和netmask等信息,然后accept。 在“Routing and gateway”中设置“default”选项的缺省网关为eth1的网关,这里为222.179.134.45
系统默认路由要设置为外网接口地址。(route add default gw 222.179.134.
1)
并将“Enable routing”选中。 1.2.1 VPN服务器的具体安装
准备好了上面表格中软件后,可以使用如下命令安装和升级:
rpm –ivh dkms-2.0.5.noarch.rpm
rpm –ivh kernel_ppp_mppe-0.0.5-2dkms.noarch.rpm
rpm –ivh Ppp-2.4.3-5.rhe14.i386.rpm
rpm –ivh Pptpd-1.3.0-0.i386.rpm 对VPN服务器配置主要是在两个配置文件中完成:
(1)VPN配置主文件pptpd.conf
pptpd.conf主文件位于/etc/下面,在这里要做以下两项配置:
首先通过修改Localip选项设置VPN服务器本机地址
第二通过修改RemotEip选项设置VPN客户机使用的地址段
(2)配置VPN账号文件chap-secrets
账号文件chap-secrets位于/etc/ppp/目录下面,在这里要做的配置如下表
(1)启用VPN服务命令:service pptpd start
(2)停用VPN服务
命令:service pptpd stop
(3)重启vpn服务
命令:service pptpd restart
(4)自行启用VPN服务
如果需要让VPN服务随系统启动而自动加载,可执行命令:chkconfig pptp on
1.3配置linux内核路由。在日常的使用中,校园网内都有多个不同的网段。为了能让来自不同网段的
VPN客户机互联,就需要使用linux内核的路由功能。这里以配置静态路由的方式实现:
修改内部路由参数:
(1)启用linux内核路由功能:echo 1>proc/sys/net/ipv4/ip_forward
如果要永久修改内核路由参数则可以:vi /etc/sysct1.conf后加入net.ipv4.ip_formward=1
(2)添加静态路由。添加静态路由的依据是内网存在的网段,通常内网有多少网段就添加多少条静态路由。
具体添加方法:
通过vi、etc、rc.d、rc.local在rc.local文件最后一行添加一条静态路由,命令格式如:
Route add –net“具体某内网段网络地址” netmask 255.255.255.0“内网网卡名”
2 VPN系统的账户管理和安全认证扩展
2.1安全认证
由于VPN系统是基于linux的,因此从系统安全性考虑我们可以开启linux服务器的iptables防火墙功能。但是,要想能让客户机通过防火墙访问vpn服务,必须在iptables防火墙上开启VPN服务相应端口。
2.2账户管理
前面的账号配置文件是linux系统自带的账号管理方式,简单方便但不够灵活,为了能实现多种计费方式以及流量控制,上网行为管理等需要,建议是使用第三方专业的RADIUS认证计费软件。我这里选用的是bmw(Bandwidth?Manager),这个是一款国外的软件,效果很好。具体的使用请参见其官方网站http://www.softperfect.com/products/bandwidth/
3 结束语
本文所述vpn系统最大的优势在于完全免费,其关键技术是采用双网卡实现内外网数据交换,通过 linux本身的路由功能实现多网段互联。作为轻量级的服务器系统,特别适合资金短缺用户来实现vpn服务的高校。
参考文献: [2]陈震. VPN技术及其应用的研究[J].电脑知识与技术, 2009,(0
4) .
[3]武涵,席军平,谢文. VPN技术在共享集团的实施[J].宁夏机械, 2008,(0
4) .
