Crypto access list trong VPN

[Lan Huong]

Chào mọi người.
Các bạn giải thích hộ mình khái niệm crypto và crypto access list với. Nó khác với access list thông thường như thế nào nhỉ. :roll:

[matuan]

Re: Crypto access list trong VPN

Hi Lan Hương.
Bạn đọc đoạn này nhé:

Crypto access lists are used to define which IP traffic will be protected by crypto and which traffic will not be protected by crypto. For example, access lists can be created to protect all IP traffic between Subnet A and Subnet Y or between Host A and Host B.

[hoachuoi]

Chào Lan Hương,

Crypto có thể hiểu đại khái là mã hoá, cho vào kênh truyền an toàn VPN. Trên các firewall khác có thể dùng từ encrypt để nói khái niệm tương tự. Crypto định nghĩa việc mã hoá dữ liệu để gửi sang phía bên kia của VPN và cả giải mã cho dữ liệu từ phía bên kia gửi về.

Crypto access-list là khái niệm như bạn matuan đã chỉ, dùng để định nghĩa những thông tin sẽ được mã hoá (đồng nghĩa với việc sẽ được đi trên VPN). Access-list này định nghĩa lưu thông theo một chiều, chiều ngược lại phải được định nghĩa ở firewall/VPN gateway phía bên kia.

Không biết có rối thêm không nhỉ? :P

[Lan Huong]

Vâng cảm ơn các bạn........... mình hiểu rồi :roll: :mrgreen: :mad:

[cvo15303]

:lol:Chào các huynh và các tỉ
Crypto ACL phải được xây dựng 1 cách đối xứng ở 2 đầu VPN gateway.
Crypto ACL sẽ quyết địnhcác subnet nào sẽ là thành phần của VPN Tunnel.
Tức là traffic theo đúng source và dest đó mới được encrypt
Đây là phần không thể thiếu để up 1 Tunnel thể hiện qua command:
match address .....(CryptoACL number).
Chút kiến thức mọn mong được trao đổi.
Mong các sư huynh thông cảm vì lâu lâu chui lộn room!
Mến

[phungngochung]

((Link này từ năm 2003 trời ạ!))
về Crypto ACL có những tính chất quan trọng cần phải nhớ là :
1)))_khi tạo ra tên và số của ACl đó thì cryto ACL đã thiết lập trên 1 peer sẽ được ánh xạ trên peer đầu bên kia,điều này nhằm chắc chắn rằng các traffic cần được bảo vệ cục bộ trên router sẽ được xử lí chính xác trên peer kia,có thể tên và số number ACL đó ko cần giống nhau ở 2 phía,quan trọng là các dãi địa chỉ IP cần được bảo vệ,nhưng nếu bạn có nhiều peer khác nhau cần thiết lập cryto ACL thì sử dụng cùng tên ACL thì dễ quản lí hơn.
2)))_Khi một router xử lý cryto ACL,đối với những traffic rời khỏi router,nó sẽ kiểm tra giá trị match trông câu lệnh permit đầu tiên,nếu những gói packet được match(thoả mãn)thì packet sẽ được bảo vệ khi nó rời khỏi router,nếu ko thoả mãn gía trị match nào,packet vẫn đc gửi đi bình thường.
Còn đối với những packet đi vào từ mạng external bên ngoài,nếu thoả mãn match trong câu lệnh permit của cryto ACL thì các data đó có thể thiếp lập 1 kết nối theo hương duy nhất từ peer đầu xa đến router này
nếu ko match thì router vẫn xử lí gói tin này bình thường,vẫn forwald gói tin đó đến các địa chỉ đích chỉ định
nếu match với câu lệnh permit trong cryto ACL nhưng các packet lại ko được bảo vệ thì router sẽ huỷ các packet đó một cách tự động