- 相關推薦
VPN技術綜述及應用
摘要：在介紹VPN技術的概念、工作原理、體系結構的基礎上，對這項技術的發(fā)展、組網方式、市場前景、所應用的領域及典型應用做了詳細分析和闡述。關鍵詞：VPN 虛擬 封裝 加密 隧道技術
1 VPN的概念
VPN的英文Virtual Private Network的縮寫，可文譯為虛擬專用網。VPN是利用公共網絡基礎設施，通過“隧道”技術等手段達到類似私有專網的數(shù)據安全傳輸。VPN具有虛擬特點：VPN并不是某個公司專有的封閉線路或者是租用某個網絡服務商提供的封閉線路，但同時VPN又具有專線的數(shù)據傳輸功能，因為VPN能夠像專線一樣在公共網絡上處理自己公司的信息。VPN可以說是一種網絡外包，企業(yè)不再追求擁有自己的專有網絡，而是將對另外一個公司的訪問任務部分或全部外包給一個專業(yè)公司去做。這類專業(yè)公司的典型代表是電信企業(yè)。VPN具有以下優(yōu)點：
（1）降低成本：企業(yè)不必租用長途專線建設專網，不必大量的網絡維護人員和設備投資。利用現(xiàn)有的公用網組建的Intranet，要比租用專線或鋪設專線要節(jié)省開支，而且當距離越遠時節(jié)省的越多。如：某企業(yè)的北京與紐約分部之間的連接，不太可能自鋪專線：當一個遠程用戶在紐約想要連到北京的Intranet，用拔號訪問時，花的是國際長途話費；而用VPN技術時，只需在紐約和北京分別連接到當?shù)氐腎nternet就實現(xiàn)了互聯(lián)，雙方花的都是市話費。
(范文先生網www.qkfawen.com收集整理)
（2）容易擴展：網絡路由設備配置簡單，無需增加太多的設備，省時省錢。對于發(fā)展很快的企業(yè)來說，VPN就更是不可不用了。如果企業(yè)組建自己的專用網，在擴展網絡分支時，考慮到網絡的容量，架設新鏈路，增加互聯(lián)設備，升級設備等；而實現(xiàn)了VPN就方便多了，只需連接到公用網上，對新加入的網絡終端在邏輯上進行設置，也不需要考慮公用網的容量問題、設備問題等。
（3）完全控制主動權：VPN上的設施和服務完全掌握在企業(yè)手可。例如，企業(yè)可以把撥號訪問交給NSP去做，由自己負責用戶的查驗、訪問權、網絡地址、安全性和網絡變化管理等重要工作。
VPN通過采用“隧道”技術，并在Internet或國際互聯(lián)網工程工作組（IETF）制定的Ipsec標準統(tǒng)一下，在公眾網可形成企業(yè)的安全、機密、順暢的專用鏈路。
2 VPN的工作原理
圖1比較了常規(guī)的直接撥號連接與虛擬專網連接的異同點。在前一種情形可，PPP（點對點協(xié)議）數(shù)據包流是通過專用線路傳輸?shù)�。在VPN可，PPP數(shù)據包流是由一個LAN上的路由器發(fā)出，通過共享IP網絡上的隧道進行傳輸，再到達另一個LAN上的路由器。這兩者的關鍵不同點是隧道代替了實在的專用線路。隧道好比是在WAN中拉出一根串行通信電纜。
基于IP的VPN基本上歸結為兩類：撥號VPN（一般稱為VDPN，即虛擬撥號專網）和專線VPN（Dedicated VPN,即專線的VPN），完整的VPN解決方案通常把撥號VPN和專線VPN組合在一起來滿足所有用戶的使用需求。
撥號VPN（即VDPN）為移動用戶和遠程辦公用戶提供了對公司企業(yè)網的遠程訪問。這是當今最常見的一種VPN部署形式，主要是基于L2F協(xié)議。VDPN允許多個不同領域的用戶都能通過公共網絡或者Internet或其他公用網絡獲得安全的通路到他們的企業(yè)內部網絡。
提供私有撥號網絡服務的服務提供商可以用單個電話號碼提供給所有的用戶組織。訪問者可以用撥號網絡進入訪問服務器，訪問服務器通過PPP用戶名來區(qū)別訪問者。PPP用戶名用于建立一個到企業(yè)網關的連接，當企業(yè)網關鑒別了用戶之后，訪問集成器建立一個通過網絡提供商的骨干網、到企業(yè)風部網關的安全隧道。
PPP協(xié)議同時也被傳輸?shù)絻炔烤W關，在內部網關的本地完全策略和本地認證授權決定了用戶通過內部網關之后對內部網絡的訪問級別。
撥號VPN的原理如下圖2所示。服務提供商管理MODEM池和確保可靠的連通性，而商業(yè)公司管理某企業(yè)內部網的用戶認證。
專線VPN以多個用戶和比撥號VPN高速的連接為特片。有許多類型的專線VPN業(yè)務，但最常見的是在IP網上建立的IP VPN業(yè)務，如圖3所示。專線VPN提供了公司總部與公司分部、遠程分支辦事處以及Extranet用戶的虛擬點對點連接。
虛擬專用網的體系結構有多種形式，分類示意圖如圖4。
模擬目前國內公眾多媒體通信網的狀況；在國內采用VPN組網一般分為三類：
（1）ATM PVC組建方式，即利用電信部分提供的ATM PVC來組建用戶的專用網。這種專用網的通信速率快，安全性高，支持多媒體通信。
（2）IP Tunneling組建方式。即在多媒體通信網的IP層組建專用網。其傳輸速率不能完全保證，不支持多媒體通信；使用國際通行的加密算法，安全性好；這種組網方式的業(yè)務在公眾通信網遍及的地方均可提供。
（3）Dial-up Access組網方式（VDPN）。這是一種撥號方式的專用網組建方式，可以利用已遍布全國的撥號公網來組建專用網，其接入地點在國內不限，上網可節(jié)省長途撥號的費用。對于流動性強、分支機構多、通信量小的用戶而言，這是一種非常理想的組網方式。它可以將用戶內部網的界限，從單位的地理所在延伸到全國范圍。
2.1 撥號VPN（VDPN）
撥號VPN又可分為客戶發(fā)起的（Client-Initiated）VPN和NAS發(fā)起的VPN。
2.1.1 客戶發(fā)起的VPN
在客戶發(fā)起的VNP中，用戶撥號到本地的POP遠程，由客戶來發(fā)出請求并建立到某企業(yè)內部網的加密隧道。為了建立一個安全的連接，客戶端運行Ipsec軟件，客戶軟件與公司內部網絡防火墻上的Ipsec進程通信，或者直接與支持Ipsec的路由器通信，確保連接的安全性。這種形式的VPN優(yōu)點是：
（1）遠程用戶能夠同時與多個Home Gateway建立IP Tunnel。
（2）遠程用戶不必重新?lián)芴�，就可以進入另一網絡。
（3）VPN的建立和管理與ISP無關。
缺點是：因為這種加密的VPN隧道對于服務提供商而言是透明的，在客戶端需要專用的撥號軟件，而且管理移動PC上的Ipsec客戶端軟件也是麻煩的事件。因此，大部分的服務提供曾幾何時會選擇VPN隧道作為其網絡一部分的形式，如下面所討論的那樣。
2.1.2 NAS發(fā)起的VPN
在NAS發(fā)起的VPN中，由服務提供商的POP中的NAS請求并創(chuàng)建到客戶公司路由器（或者Home Gateway）的VPN隧道。NAS使用L2F（Layer 2 Forwarding Protocol）或者L2TP（Layer 2 Tunneling Protocol）協(xié)議來建立到客戶Home Gateway的安全隧道。L2TP是不久前建立的標準，這個標準結合了Cisco公司的L2F和微軟公司的PPTP協(xié)議。對于Home Gateway來說，L2F或L2TP隧道表現(xiàn)得似乎用戶是直接撥號到公司內部網上。
表現(xiàn)得似乎用戶是直接撥號到公司內部網上。
在這種撥號VPN形式中，用戶認證公兩級處理。當用戶撥入時，首先由服務提供商NAS執(zhí)行基本的認證，這個認證僅僅識別出用戶的公司身份。然后，NAS打開到用戶公司Home Gateway的隧道，由Home Gateway來執(zhí)行用戶級的認證功能。
這種VPN形式有若干優(yōu)點：對撥號用戶透明，用戶PC上無需特殊的客戶軟件，因而管理簡單化；由于是由服務提供商初始化隧道，他們可以提供優(yōu)質的撥號VPN服務，如通過預留Modem端口，優(yōu)先的數(shù)據傳送等手段保證撥號VPN用戶得到所需的服務；NAS可以時支持Internet或其他公用網絡和VPN服務；由于到某一目的的通信量全部通過單一隧道傳送，大規(guī)模部署將更具有可擴充性和管理性。
這種VPN形式存在的缺點有：
（1）當遠程用戶進入其它網絡時，需要重新?lián)芴�，并且只能以另一用戶名登錄�?/p>
（2）遠程用戶不能同時進入多個網絡。
2.2 專線VPN
2.2.1 基于IP Tunnel的專線VPN
VPN與常規(guī)的直接撥號網絡不同，在VPN中，PPP數(shù)據包流不是通過專用線路，而是通過共享IP網絡上的隧道進行傳輸。這兩者的關鍵不同點是隧道代替了實際的專用線路。如何形成VPN隧道呢？
隧道是由隧道協(xié)議形成的，這與流行的各種網絡是依靠相應的網絡協(xié)議完成通信沒有區(qū)別。為了傳輸來自不同網絡的數(shù)據包，最普遍使用的方法是先把各種網絡協(xié)議（IP、IPX和AppleTalk等）封裝到PPP里，再把這整個PPP數(shù)據包裝入隧道協(xié)議里。隧道協(xié)議一般封裝在IP協(xié)議中，但也可以是ATM或Frame Relay。由于隧道搭載的是PPP數(shù)據包（第二層），所以這種封裝方法稱為“第2層隧道”。用得很少的另一種方法是把各種網絡協(xié)議直接裝入隧道協(xié)議中（3Com公司的VTP就是這種隧道協(xié)議），由于隧道直接搭載第三層協(xié)議的數(shù)據包，所以稱為“第3層隧道”。
2.2.2 基于Vitual Ci
rcuit（虛擬電路）的VPN
服務提供商可以提供虛擬電路來建立IP VPN服務。用PVC在幀中繼（Frame Relay）和ATM網絡中建立點對點連接，并通過路由器來管理第三層的信息。電信運營商或者郵電局可以采用這種辦法，充分利用其現(xiàn)有的幀交換（如幀中繼）或信元交換（如ATM）基礎設施提供IP VPN服務。
在前面敘述的專線VPN和撥號VPN本質上都是通過在公共IP網絡中建立隧道（tunnel）來提供服務的。與之不同，基于虛擬電路的VPN通過在公共的幀或信元交換網絡上的路由來傳送IP服務，是使用PVC而不是tunnel來建立隱私性。因此，加密是不需要的。
這種形式的VPN具有如下優(yōu)點：受控的路由器服務為具有幀或信元基礎設施的服務提供商提供一種便宜、快速的建立VPN服務的辦法；可充分利用FR CIR（Committed Information Rate）和ATM QoS來確保QoS能力；虛擬電路拓撲的彈性；連接無須加密。
它的缺點是：不能靈活選擇路由；比IP Tunnel的相對費用高；缺少IP的多業(yè)務能力（如Voice Over IP Video Over IP等）。
3 VPN技術的應用領域及典型應用
3.1 VPN應用的四個領域
企業(yè)內部網Itranet、遠程訪問、企業(yè)外部網Extranet、企業(yè)內VPN。另外，在很多涉及公司重要信息的傳輸及對數(shù)據完整性安全性要求比較高的場合，也大多選擇VPN技術。
3.2 VPN廣域網建設新的解決方案（即典型應用）
目前各行業(yè)網、專用網的應用主要有兩個方面：一是作為Internet或其他公用網絡的一部分，組織本行業(yè)是信息資源上網；二是作為一個內部網，為本行業(yè)、本系統(tǒng)的內部辦公自動化和業(yè)務處理系統(tǒng)服務。兩者都是采用Internet或其他公用網絡技術的IP數(shù)據通信。
對于各專用網絡兩種應用的第一種應用，其解決方案可以根據網絡的性質和信息資源的服務對象，各地就近接入當?shù)氐闹袊糜嬎銠C互聯(lián)網（簡稱163網）或中國公眾多媒體通信網（簡稱169網），完全省去了用于連接跨省的DDN專線，只需在域名規(guī)劃和信息主頁設計中統(tǒng)一規(guī)劃，統(tǒng)一形象，把有限的人力和物力用于專業(yè)的信息資源開發(fā)和深加工。
對地第三種應用或兩者都有的應用，則各地就近接入當?shù)氐?69網或163網，采用VPN技術，實現(xiàn)跨地區(qū)的數(shù)據通信，充分利用169網高速（155MATM）的跨省通信主干道，建設自己的內部網。其網絡結構如圖5所示。
圖中的VPN表示內部專用網段。由于內部網的敏感數(shù)據在公網傳輸進是加密傳，因此可以實現(xiàn)安全廉價的跨地域數(shù)據通信。
同樣，本解決方案也適用于企業(yè)的跨地域數(shù)據通信，實現(xiàn)集數(shù)據、語音和圖像于一體的廣域網解決方案。實際上在國外率先采用VPN技術的就是跨國、跨地區(qū)的大公司和一些行業(yè)的網絡。
4 VPN技術的市場前景分析
Internet的飛速發(fā)展、用戶數(shù)的迅猛增長以及Web通信量和個人域名注冊都加速了其發(fā)展勢頭。美國商業(yè)部預測到2010年加入互聯(lián)網的企業(yè)將會超過500尤。這清楚地描述了下世紀Intenet產生以及將會產生的影響。一些研究表明在下世紀將會有70%～80%的商務使用VPN設備。它們還指出，僅擁有200個遠程用戶美國某跨國公司棄專線而選用VPN后，僅僅4～5的時間就節(jié)省了150多萬美金。
公司希望花費不高的代價來傳輸商務信息。VPN在這方面起了很重要的作用，它提供了減少開支、提高服務、維護客戶基礎的方法。許多公司選用VPN傳輸商務信息的原因是：
（1）VPN以Internet做支撐；
（2）無論對商業(yè)客戶來說還是對私人客戶來說，使用Internet都是一種經濟可行的方式。
（3）Internet覆蓋全球；
（4）現(xiàn)在Internet傳輸效率極高，大多ISP能承受進行連接所帶來的負荷；
（5）VPN是靈活的、動態(tài)的、可升級的；
（6）VPN在可以利用公司硬件方面的現(xiàn)有投資。
雖然VPN在理解和應用方面都是高度復雜的技術，甚至確定其是否適用于本公司也一件復雜的事件，但在大多數(shù)情況下VPN的各種實現(xiàn)方法都可以應用于每個公司。即使不需要使用加密數(shù)據，也可節(jié)省開支。此外，在未來幾年里，客戶和廠商很可能會使用VPN，從而使電子商務重又獲得生機，畢竟全球化、信息化、電子化是大勢所趨。
【VPN技術綜述及應用】相關文章：
VPN產品在石化行業(yè)應用案例08-05
文綜政治主干知識及其應用08-13
藍牙技術及應用08-06
VPN幫你輕松實現(xiàn)虛擬專用網08-06
技術應用合同03-13
Jini與藍牙技術的結合應用08-06
軟交換技術及其應用08-06
OpenGL擴展的應用技術08-06