虛擬專用網在企業的利用思索

導語：虛擬專用網在企業的利用思索一文來源于網友上傳，不代表本站觀點，若需要原創文章可咨詢客服老師，歡迎參考。

1概述

虛擬專用網(簡稱VPN)是一種利用公共網絡來構建私有數據傳輸通道，將遠程的用戶端連接起來，提供端到端的服務質量（QoS）保證以及安全服務的私有專用網絡。目前，能夠用于構建VPN的公共網絡包括Internet和服務提供商(ISP)所提供的DDN專線、幀中繼(FR)、ATM等，構建在這些公共網絡上的VPN將給企業提供集安全性、可靠性、可管理性、互操作性于一身的私有專用網絡。

2VPN的要求

2.1安全性

VPN提供用戶一種私人專用的感覺，因此建立在不安全、不可信任的公共數據網的首要任務是解決安全性問題。VPN的安全性可通過隧道技術、加密和認證技術得到解決。在IntranetVPN中，要有高強度的加密技術來保護敏感信息；在遠程訪問VPN中要有對遠程用戶可靠的認證機制。

2.2性能

VPN要發展，其性能至少不應該低于傳統方法。盡管網絡速度不斷提高，但在Internet時代，隨著電子商務活動的激增，網絡擁塞經常發生，這給VPN性能的穩定帶來極大的影響。因此，VPN解決方案應能夠讓管理員進行通信控制來確保其性能。通過VPN平臺，管理員定義管理策略來激活基于重要性的出入口帶寬分配。這樣既能確保對數據丟失有嚴格要求和高優先級應用的性能，又不會“餓死”低優先級的應用。

2.3管理問題

由于網絡設施、應用不斷增加，網絡用戶所需的IP地址數量持續增長，對越來越復雜的網絡進行管理，網絡安全處理能力的大小是VPN解決方案好壞至關緊要的區分。因此，VPN要有一個固定的管理方案以減輕管理、報告等方面負擔。管理平臺要有一個定義安全策略的簡單方法，將安全策略進行分布，并管理大量設備。

2.4互操作

在ExtranetVPN中，企業要與不同的客戶及合作伙伴建立聯系，VPN解決方案也會不同。因此，企業的VPN產品應該能夠同其他廠家的產品進行互操作。這就要求所選擇的VPN方案應該是基于工業標準和協議的。這些協議有IPSec（Internet安全協議）、PPTP（點到點隧道協議）、L2TP（第二層隧道協議）等。

3VPN的實現技術

3.1隧道技術

VPN區別于一般網絡互聯的關鍵是隧道的建立，然后數據包經過加密，按隧道協議進行封裝、傳送以保證安全性。

現有兩種類型的隧道協議，一種是二層隧道協議，用于傳輸第二層網絡協議，它主要應用于構建遠程訪問VPN；另一種是三層隧道協議，用于傳輸第三層網絡協議，它主要應用于構建IntranetVPN和ExtranetVPN。

3.2加密技術

數據加密的基本思想是通過變換信息的表示形式來偽裝需要保護的敏感信息，使非授權者不能了解被保護信息的內容。加密算法有用于Windows95的RC4、用于IPSec的DES和三次DES。RC4雖然強度比較弱，但是保護免于非專業人士的攻擊已經足夠了；DES和三次DES強度比較高，可用于保護敏感的商業信息。

加密技術可以在協議棧的任意層進行，可以對數據或報文頭進行加密。在網絡層中的加密標準是IPSec。網絡層加密實現的最安全方法是在主機的端到端進行。另一個選擇是“隧道模式”：加密只在路由器中進行，而終端與第一跳路由之間不加密。這種方法不太安全，因為數據從終端系統到第一條路由時可能被截取而危及數據安全。終端到終端的加密方案中，VPN安全粒度達到個人終端系統的標準；而“隧道模式”方案，VPN安全粒度只達到子網標準。在鏈路層中，目前還沒有統一的加密標準，因此，所有鏈路層加密方案基本上是生產廠家自己設計的，需要特別的加密硬件。

3.3QoS技術

通過隧道技術和加密技術，已經能夠建立起一個具有安全性、互操作性的VPN。但是該VPN性能上不穩定，管理上不能滿足企業的要求，這就要加入QoS技術。實行QoS應該在主機網絡中，即VPN所建立的隧道這一段，這樣才能建立一條性能符合用戶要求的隧道。

QoS機制具有通信處理機制以及供應和配置機制。網絡資源是有限的，有時用戶要求的網絡資源得不到滿足，管理員基于一定的策略進行QoS機制配置，通過QoS機制對用戶的網絡資源分配進行控制以滿足應用的需求，這些QoS機制相互作用使網絡資源得到最大化利用，同時又向用戶提供了一個性能良好的網絡服務。

除了這3種主要技術以外，還有如備份技術，流量控制技術，包過濾技術，網絡地址轉換技術，抗擊打能力和網絡監控和管理技術等。

4VPN的應用模式

4.1遠程訪問

為克服傳統遠程訪問的問題，推出了基于VPN的遠程訪問解決方案。如圖1所示，這種方案充分利用了公共基礎設施和ISP，遠程用戶通過ISP接入Internet，再穿過Internet連接與Internet相連的企業VPN服務器，來訪問位于VPN服務器后面的內部網絡。一旦接入VPN服務器，就在遠程用戶與VPN服務器之間建立一條穿越Internet的專用隧道連接。這樣，遠程客戶到當地ISP的連接和VPN服務器到當地ISP的連接都是本地網內通信，雖然Internet不夠安全，但是由于采用加密技術，遠程客戶到VPN服務器之間的連接是安全的。

4.2遠程網絡互聯

基于VPN的網絡互聯已成為一種熱門的新型WAN技術，它利用專用隧道取代長途線路來降低成本，提高效率。兩端的內部網絡通過VPN服務器接入本地網內的ISP，通過Internet建立虛擬的專用連接，如圖2所示。特別是寬帶網業務的發展，為基于VPN的遠程網絡提供了廉價、高速的解決方案。這種互聯網絡擁有與本地互聯局域網相同的管理性和可靠性。

4.3網絡內部安全

與Internet上的應用類似，內部網VPN也有兩種應用模式，一種是基于VPN的“遠程訪問”，另一種是基于VPN的“網絡互聯”，如圖3所示。此外，VPN也被用于兩個主機之間的安全連接，如服務器之間的連接。