Khóa luận: Xây dựng mô hình mô phỏng mạng IPv6 VPN trên phần mềm GNS3

Tài liệu khóa luận tốt nghiệp CNTT, trình bày chi tiết các bước xây dựng và cấu hình mô hình mạng riêng ảo IPv6 VPN trên phần mềm GNS3.

• Tác giả: Nguyễn Đức Hoàng
• Người hướng dẫn: Ths. Đào Ngọc Tú
• Trường học: Trường Đại Học Hải Phòng
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Xây Dựng Mô Hình Mô Phỏng Mạng IPv6 VPN Trên Phần Mềm GNS3
• Loại tài liệu: Báo Cáo Đồ Án Tốt Nghiệp
• Năm xuất bản: 2024
• Địa điểm: Hải Phòng

Tóm tắt

I. Giới thiệu về Mô phỏng Mạng IPv6 VPN trên GNS3

Mô phỏng mạng IPv6 VPN trên GNS3 là một giải pháp hiệu quả để học tập và nghiên cứu công nghệ mạng hiện đại. GNS3 (Graphical Network Simulator 3) là phần mềm mô phỏng mạng miễn phí cho phép các kỹ sư và sinh viên xây dựng các mô hình mạng phức tạp mà không cần đầu tư vào phần cứng thực tế. IPv6 là phiên bản mới của giao thức Internet, cung cấp không gian địa chỉ lớn hơn và các tính năng bảo mật nâng cao hơn so với IPv4. Sự kết hợp giữa IPv6, VPN (Virtual Private Network) và GNS3 tạo nên một môi trường học tập toàn diện. Đây là nền tảng lý tưởng để hiểu rõ cơ chế hoạt động của mạng riêng ảo, công nghệ mã hóa, định tuyến, và quản lý mạng trong thời đại chuyển đổi số.

1.1. Khái niệm về Mạng Riêng Ảo IPv6 VPN

Mạng riêng ảo IPv6 VPN là hệ thống cho phép các máy tính ở các vị trí địa lý khác nhau kết nối an toàn thông qua mạng công cộng. Sử dụng IPv6 và VPN giúp cải thiện bảo mật, tăng tốc độ truyền tải, và tối ưu hóa sử dụng tài nguyên mạng. Công nghệ này áp dụng các giao thức mã hóa như IPSec, L2TP, và GRE để đảm bảo tính toàn vẹn dữ liệu.

1.2. Tầm quan trọng của GNS3 trong Học tập Mạng

GNS3 cung cấp giao diện đồ họa trực quan, cho phép người dùng xây dựng, cấu hình, và kiểm tra các mô hình mạng phức tạp. Phần mềm này hỗ trợ mô phỏng thiết bị mạng thực, bắt và phân tích gói tin, kết nối với mạng thật, và tối ưu hóa hiệu suất hệ thống. Điều này làm cho GNS3 trở thành công cụ không thể thiếu trong đào tạo kỹ sư mạng.

II. Các Giao Thức VPN và Công Nghệ Mã hóa IPv6

Công nghệ VPN dựa trên nhiều giao thức khác nhau để thiết lập đường hầm an toàn và truyền tải dữ liệu. Giao thức IPv6 VPN kết hợp các cơ chế bảo mật tiên tiến như IPSec (Internet Protocol Security), L2TP (Layer 2 Tunneling Protocol), và GRE (Generic Routing Encapsulation). Mỗi giao thức có ưu điểm riêng: IPSec cung cấp mã hóa mạnh mẽ ở tầng IP, L2TP hoạt động ở tầng 2 cho phép kết nối đa giao thức, còn GRE là giao thức đơn giản và linh hoạt. Xác thực người dùng thông qua các phương pháp như RADIUS, TACACS+, hoặc chứng chỉ số đảm bảo chỉ những người dùng được phép mới có thể truy cập. Sự phát triển của IPv6 mang đến khả năng hỗ trợ tốc độ cao hơn, độ trễ thấp hơn, và bảo mật toàn diện so với IPv4 VPN.

2.1. Giao Thức IPSec và Cơ Chế Mã Hóa

IPSec là tiêu chuẩn bảo mật lớp IP, sử dụng hai mode hoạt động: mode đường hầm (tunnel mode) và mode giao vận (transport mode). AH (Authentication Header) cung cấp xác thực, còn ESP (Encapsulating Security Payload) cung cấp cả xác thực và mã hóa. IPSec đảm bảo tính bảo mật, toàn vẹn, và xác thực của dữ liệu truyền qua mạng công cộng.

2.2. Ưu Điểm IPv6 so với IPv4 trong Môi trường VPN

IPv6 cung cấp không gian địa chỉ 128-bit (so với 32-bit của IPv4), cho phép cấp phát địa chỉ vô hạn. IPv6 hỗ trợ IPSec bắt buộc, cải thiện bảo mật mặc định. Ngoài ra, IPv6 có tính năng định tuyến tối ưu, giảm overhead header, và hỗ trợ multicast tốt hơn, làm cho nó lý tưởng cho mạng VPN hiện đại.

III. Cài Đặt và Cấu Hình GNS3 cho Mô Phỏng Mạng

GNS3 là phần mềm mô phỏng mạng miễn phí và mã nguồn mở, hỗ trợ mô phỏng các thiết bị Cisco và các hãng khác. Quá trình cài đặt GNS3 bao gồm tải xuống phiên bản phù hợp từ trang web chính thức, cài đặt các dependency, và tích hợp IOS images từ các thiết bị thực. GNS3 cung cấp giao diện trực quan và dễ sử dụng, cho phép drag-and-drop các thiết bị mạng vào canvas. Người dùng có thể cấu hình cổng kết nối, tính toán Idle-PC để tối ưu CPU, và bắt gói tin bằng Wireshark để phân tích lưu lượng mạng. GNS3 cũng hỗ trợ kết nối với mạng thật, cho phép kiểm tra thực tế các cấu hình VPN trong môi trường lai ghép. Khả năng sao lưu và khôi phục cấu hình giúp người dùng quản lý dự án hiệu quả.

3.1. Quy Trình Cài Đặt GNS3 và IOS Image

Cài đặt GNS3 bắt đầu bằng việc tải xuống file cài đặt phù hợp với hệ điều hành (Windows, Linux, macOS). Sau đó, chạy installer và cài đặt các phần mềm hỗ trợ như Dynamips, VirtualBox, hoặc QEMU. Tiếp theo, nạp IOS images (hệ điều hành router Cisco) vào GNS3 thông qua Preferences → IOS images. Cuối cùng, tính toán Idle-PC để giảm sử dụng CPU.

3.2. Các Tính Năng Nổi Bật của GNS3

GNS3 cung cấp giao diện đồ họa trực quan cho phép xây dựng mô hình mạng dễ dàng. Khả năng mô phỏng phần cứng cho phép giả lập hành vi của các router, switch thực tế. Bắt và phân tích gói tin với Wireshark giúp học tập chi tiết giao thức. Kết nối với mạng thật cho phép kiểm tra trong môi trường thực, và tối ưu hóa tài nguyên thông qua Idle-PC.

IV. Xây Dựng Mô Hình Mô Phỏng Mạng IPv6 VPN Hoàn Chỉnh

Xây dựng mô hình mô phỏng mạng IPv6 VPN trên GNS3 yêu cầu thiết kế kiến trúc mạng, cấp phát địa chỉ IPv6, và cấu hình các thiết bị mạng theo từng bước. Mô hình tiêu biểu bao gồm các router gateway (PE - Provider Edge), đường hầm VPN được thiết lập bằng IPSec hoặc L2TP, và các client mạng riêng (CE - Customer Edge). Quá trình cấu hình bao gồm: (1) thiết lập địa chỉ IPv6 trên các giao diện router, (2) cấu hình định tuyến để kết nối giữa các site, **(3) tạo đường hầm VPN với mã hóa IPSec, (4) cấu hình chính sách bảo mật và ACL, và (5) kiểm tra kết nối bằng ping và traceroute. Kết quả cuối cùng cho thấy sự thông suốt giữa các site được bảo vệ bằng mã hóa, chứng minh hiệu quả của mô hình IPv6 VPN. Phương pháp này cung cấp kinh nghiệm thực tế cho các kỹ sư mạng.

4.1. Thiết Kế Kiến Trúc và Cấp Phát Địa Chỉ IPv6

Thiết kế mô hình mạng bao gồm xác định các site cần kết nối, loại công nghệ VPN, và không gian địa chỉ IPv6 cần sử dụng. Cấp phát địa chỉ IPv6 dựa trên CIDR notation (ví dụ: 2001:db8::/32), với subnet mask từ 48 đến 64 bit. Mỗi site được gán prefix riêng để đảm bảo không xung đột địa chỉ và hỗ trợ định tuyến hiệu quả.

4.2. Cấu Hình VPN và Kiểm Tra Kết Nối

Cấu hình VPN bao gồm thiết lập IPSec policies, định nghĩa encryption algorithms (AES, 3DES), xác thực phương pháp (MD5, SHA), và cấu hình IKEv2 cho thương lượng khóa. Kiểm tra kết nối sử dụng ping IPv6, traceroute, và show crypto session để xác nhận đường hầm VPN hoạt động chính xác. Bắt gói tin với Wireshark xác minh dữ liệu được mã hóa trên đường truyền.

Trích đoạn nội dung tài liệu

LỜI MỞ ĐẦU Hiện nay vấn đề không gian địa chỉ mạng IPv6 đã đƣợc triển khai rộng khắp tại các nền tảng mạng. Các thiết bị hiện nay cũng đã cho phép sử dụng địa chỉ IPv6 để kết nối vào mạng Internet. Tại Việt Nam, bộ Thông Tin & Truyền Thông đã đƣa ra nhiều thông tƣ về IPv6 cũng nhƣ VNNIC và một số nhà mạng lớn đã tiến hành tập huấn và thử nghiệm mạng IPv6 cho thấy sự quan tâm của Việt Nam trong sự kiện toàn cầu này. Nhƣợc điểm của IPv4 : - Sự giới hạn về kích thƣớc địa chỉ Do IPv4 chỉ dùng 32 bit để đánh địa chỉ nên không gian địa chỉ IPv4 chỉ có 2^32 địa chỉ.

Với sự phát triển mạnh mẽ của Internet hiện nay, tài nguyên địa chỉ IPv4 đã gần cạn kiệt. Nhƣ vậy IPv4 ngày nay hầu nhƣ không còn đáp ứng đƣợc nhu cầu sử dụng của mạng Internet. Hai vấn đề lớn mà IPv4 đang phải đối mặt là việc thiếu hụt các địa chỉ, đặc biệt là các không gian địa chỉ tầm trung (lớp B) và việc phát triển về kích thƣớc rất nguy hiểm của các bảng định tuyến trong Internet. - Cấu trúc định tuyến không hiệu quả Địa chỉ IPv4 có cấu trúc định tuyến vừa phân cấp, vừa không phân cấp.

Mỗi router phải duy trì bảng thông tin định tuyến lớn, đòi hỏi router phải có dung lƣợng bộ nhớ lớn. IPv4 cũng yêu cầu router phải can thiệp xử lý nhiều đối với gói tin IPv4. - Hạn chế về tính bảo mật và kết nối đầu cuối – đầu cuối Trong cấu trúc thiết kế của địa chỉ IPv4 không có cách thức bảo mật nào đi kèm. IPv4 không cung cấp phƣơng tiện hỗ trợ mã hóa dữ liệu.

Kết quả là hiện nay, bảo mật ở mức ứng dụng đƣợc sử dụng phổ biến, không bảo mật lƣu lƣợng truyền tải giữa các host. Nếu áp dụng IPSec là một phƣơng thức bảo mật phổ biến tại tầng IP, mô hình bảo mật chủ yếu là bảo mật lƣu lƣợng giữa các mạng, việc bảo mật lƣu lƣợng đầu cuối – đầu cuối đƣợc sử dụng rất hạn chế. Dựa trên những nhƣợc điểm của IPv4 kể trên, đặc biệt là sự thiếu hụt địa chỉ trong tƣơng lai gần nên em đã chọn IPv6 VPN, công nghệ mạng riêng ảo VPN và ứng dụng của mạng riêng ảo trong mạng IPv6, em đã lựa chọn đề tài “Xây dựng mô hình 2 mô phỏng mạng IPv6 VPN trên phần mềm GNS3” làm đề tài đồ án tốt nghiệp của mình. Bố cục của báo cáo gồm 4 chƣơng: Chƣơng 1: Công nghệ mạng riêng ảo VPN Chƣơng 2: Giao thức IPv6 & Giao thức IPv4 Chƣơng 3: Phần mềm mô phỏng mạng GNS3 Chƣơng 4: Xây dựng mô hình mô phỏng mạng riêng ảo IPv6 VPN trên phần mềm GNS3 Bài Toán : Ta có bài toán nhƣ sau: công ty C là một công ty nhỏ, có một trụ sở chính tại tòa nhà A và có văn phòng chi nhánh ở tòa nhà B.

Công ty có nhu cầu kết nối bảo mật giữa trụ sở chính tại tòa A và văn phòng chi nhánh để cập nhật dữ liệu hàng ngày từ chi nhánh về trụ sở chính. Ngoài ra, các máy tính trong mạng nội bộ của công ty vẫn có thể truy cập internet đƣợc. Trong khi đó công ty đã và đang sử dụng router để kết nối mạng nội bộ với internet. Mặc dù bản thân đã có nhiều cố gắng, nỗ lực tốt nhất để hoàn thiện đề tài, nhƣng đồ án tốt nghiệp khó tránh khỏi những thiếu sót.

Do đó em rất mong nhận đƣợc những ý kiến đóng góp của quý thầy cô giáo và các bạn. Em xin chân thành cảm ơn! 3 CHƢƠNG 1: CÔNG NGHỆ MẠNG RIÊNG ẢO VPN 1. Giới thiệu về mạng riêng ảo (Virtual Private Network – VPN ). Đáp ứng nhu cầu truy cập từ xa vào mạng nội bộ văn phòng chính để trao đổi dữ liệu hay sử dụng ứng dụng ngày càng phổ biến đã thúc đẩy sự phát triển của VPNs.

Tuy nhiên vì lý do mạng Internet là một mạng công cộng chia sẻ có thể đƣợc truy cập bởi bất cứ ai, bất kì ở đâu và bất kì thời gian nào nên xuất hiện nhiều nguy cơ thông tin trao đổi có thể bị truy cập trái phép. Mục đích đầu tiên của VPNs là đáp ứng các yêu cầu bảo mật, khả năng truyền tải thông tin và độ tin cậy của mạng với chi phí bổ sung hợp lý. Theo tiêu chuẩn đƣợc định nghĩa bởi Internet Engineering Task Force (IETF), VPN là sự kết nối các mạng WAN riêng (Wide Area Network) sử dụng IP chia sẻ và công cộng nhƣ mạng Internet hay IP backbones riêng. Mạng riêng ảo (Virtual Private Network) đƣợc định nghĩa là mạng mà khách hàng có thể kết nối nhiều vị trí đƣợc triển khai trên trên một nền tảng cơ sở hạ tầng chia sẻ với cùng một mức độ truy cập (same access) hoặc chính sách bảo mật (security policies).

Mạng riêng ảo hoạt động trên nên giao thức IP đang ngày càng trở nên phổ biến. Công nghệ này cho phép tạo ra một mạng riêng thông qua cơ sở hạ tầng chung của nhà cung cấp dịch vụ Internet (ISP). Các kỹ thuật đảm bảo an ninh khác nhau đã đƣợc áp dụng để bảo vệ thông tin của ngƣời sử dụng khi trao đổi trong một môi trƣờng chia sẻ nhƣ Internet. “Mạng riêng ảo VPN là một môi trƣờng thông tin ở đó việc truy cập đƣợc kiểm soát và chỉ cho phép thực hiện kết nối thuộc phạm vi đã đƣợc xác định trƣớc.

VPN đƣợc xây dựng thông qua việc chia sẻ các phƣơng tiện, môi trƣờng truyền thông chung. Việc cung cấp các dịch vụ cho mạng riêng đƣợc thực hiện thông qua các phƣơng tiện, môi trƣờng này” 1. Sự phát triển của VPN. Ban đầu các mạng máy tính đƣợc triển khai với hai công nghệ chính: leased- lines cho các kết nối lâu dài và dial-up lines cho các kết nối không liên tục, chỉ khi có yêu cầu.1: Mạng máy tính điển hình cách đây 15 năm Ban đầu mạng máy tính đƣợc triển khai cho khách hàng với tính bảo mật khá tốt, nhƣng giá cả lại khá cao bởi hai lý do sau:  Lƣu lƣợng trao đổi giữa hai vùng trong mạng thay đổi theo từng thời điểm trong ngày, từng ngày trong tháng, thậm chí là theo mùa (ví dụ, lƣu lƣợng trong đợt có sự kiện quan trọng tăng lên đáng kể)  Ngƣời sử dụng đầu cuối luôn luôn yêu cầu đƣợc đáp ứng nhanh, kết quả là yêu cầu băng thông cao giữa các site, nhƣng băng thông thuê đó chỉ đƣợc sử dụng trong một khoảng thời gian khi các users ở trạng thái active.

Hai lý do trên đã thúc đẩy các nhà cung cấp dịch vụ phát triển và triển khai một công nghệ cung cấp cho khách hàng với chất lƣợng dịch vụ tƣơng đƣơng với đƣờng lised lines. Công nghệ mạng riêng ảo đầu tiên dựa trên các công nghệ nhƣ X. 25 và Frame-relay, sau này có SMDS và ATM.2: Mạng Frame-relay đặc trưng Giải pháp VPN bao gồm các yếu tố sau:  Nhà cung cấp dịch vụ là một tổ chức sở hữu cơ sở hạ tầng (Các thiết bị và môi trƣờng truyền) cung cấp đƣờng leased line cho khách hàng. Theo kiểu này nhà cung cấp dịch vụ giới thiệu tới khách hang một Dịch vụ mạng riêng ảo (Virtual Private Network Service)  Khách hàng kết nối tới nhà cung cấp dịch vụ qua thiết bị CPE (Customer Premises Equipment).

CPE thƣờng là một thiết bị cung cấp kết nối đầu cuối, có thể là một bridge hoặc một router. Thiết bị CPE đôi lúc đƣợc gọi là thiết bị Khách hàng biên (Customer Edge)  Thiết bị CPE đƣợc kết nối qua môi trƣờng truyền (thƣờng là leased line, nhƣng không thể là kết nối dial-up) tới thiết bị của nhà cung cấp dịch vụ, có thể là X. 25, Frame-relay hoặc chuyển mạch ATM, hoặc thậm chí là router. Thiết bị của nhà cung cấp dịch vụ biên này đôi khi đƣợc gọi là thiết bị Cung cấp dịch vụ biên (Provider Edge)  Nhà cung cấp dịch vụ thƣờng có thêm các thiết bị trong mạng lõi (cũng đƣợc gọi là P-network).

Các thiết bị này đƣợc gọi là thiết bị P (P-devices) ví dụ nhƣ: P- switches hoặc P-router.  Một mạng liên tục nào đấy của khách hàng đƣợc gọi là site. Một site có thể kết nối tới P-network thông qua một hoặc nhiều đƣợc truyền, sử dụng một hoặc nhiều thiết bị CPE hoặc PE 6  Nhà cung cấp dịch vụ có thể tính tiền thông qua hoặc là tỉ lệ cố định cho dịch vụ VPN, thƣờng dựa trên băng thông cung cấp cho khách hàng, hoặc là tỉ lệ sử dụng, thƣờng dựa vào dung lƣợng của dữ liệu đƣợc trao đổi hoặc thời gian trao đổi dữ liệu 1. Phân loại VPN.

Có 3 loại mạng riêng ảo, đó là: * Intranet VPN: VPN kết nối hai mạng với nhau (site-to-site). Đƣợc sử dụng để kết nối các văn phòng, chi nhánh trong một công ty. Với mô hình này ngƣời dùng nội bộ đƣợc tin cậy hơn nên sẽ có mức độ bảo mật thấp hơn, nghĩa là sẽ đƣợc truy cập vào nhiều nguồn tài nguyên mạng hơn. Hệ thống mô tả ở trên có chi phí cao bởi vì có ít nhất là 2 router cần thiết để kết nối.

Thêm vào đó, sự vận hành, bảo trì và quản lý intranet backbone có thể yêu cầu chi phí rất cao phụ thuộc vào lƣu lƣợng truyền tải tin của mạng và diện tích địa lý của mạng intranet. Với sự bổ sung giải pháp VPN, chi phí đắt đỏ của WAN backbone đƣợc thay thế bằng chi phí thấp của kết nối Internet, qua đó tổng chi phí cho mạng intranet sẽ giảm xuống. Giải pháp VPNs đƣợc mô tả nhƣ hình 2.3: Thiết lập mạng nội bộ dựa trên vpn * Extranet VPN: Đƣợc sử dụng khi có nhu cầu trao đổi thông tin giữa mạng của công ty với mạng của các đối tác bên ngoài. Với mô hình này đòi hỏi các chính sách bảo mật phải tốt hơn so với intranet để hạn chế việc truy cập vào các nguồn tài nguyên của công ty.4: Mô hình mạng Extranet * Remote acces VPN (VPN truy cập từ xa): Đƣợc dùng cho những ngƣời làm việc di động, cần phải truy cập an toàn với mạng tới mạng riêng của công ty từ bất kỳ vị trí địa lý nào thông qua một môi trƣờng chia sẻ (nhƣ mạng điện thoại công cộng).

Một số văn phòng nhỏ cũng có thể sử dụng kiểu truy cập này để nối với mạng riêng của công ty mình. Thực tế, ngƣời dùng từ xa sẽ kết nối tới nhà cung cấp dịch vụ Internet (ISP) và ISP sẽ thiết lập kết nối tới mạng riêng của công ty.