vpn技術(shù)專(zhuān)題講座

1、引言虛擬專(zhuān)用網(wǎng)絡(luò)可以實(shí)現(xiàn)不同網(wǎng)絡(luò)的組件和資源之間的相互連接。虛擬專(zhuān)用網(wǎng)絡(luò)能夠利用Inter或其它公共互聯(lián)網(wǎng)絡(luò)的基礎(chǔ)設(shè)施為用戶(hù)創(chuàng)建隧道，并提供與專(zhuān)用網(wǎng)絡(luò)一樣的安全和功能保障。虛擬專(zhuān)用網(wǎng)絡(luò)允許遠(yuǎn)程通訊方，銷(xiāo)售人員或企業(yè)分支機(jī)構(gòu)使用Inter等公共互聯(lián)網(wǎng)絡(luò)的路由基礎(chǔ)設(shè)施以安全的方式與位于企業(yè)局域網(wǎng)端的企業(yè)服務(wù)器建立連接。虛擬專(zhuān)用網(wǎng)絡(luò)對(duì)用戶(hù)端透明，用戶(hù)好象使用一條專(zhuān)用線(xiàn)路在客戶(hù)計(jì)算機(jī)和企業(yè)服務(wù)器之間建立點(diǎn)對(duì)點(diǎn)連接，進(jìn)行數(shù)據(jù)的傳輸。虛擬專(zhuān)用網(wǎng)絡(luò)技

2、術(shù)同樣支持企業(yè)通過(guò)Inter等公共互聯(lián)網(wǎng)絡(luò)與分支機(jī)構(gòu)或其它公司建立連接，進(jìn)行安全的通訊。這種跨越Inter建立的VPN連接邏輯上等同于兩地之間使用廣域網(wǎng)建立的連接。雖然VPN通訊建立在公共互聯(lián)網(wǎng)絡(luò)的基礎(chǔ)上，但是用戶(hù)在使用VPN時(shí)感覺(jué)如同在使用專(zhuān)用網(wǎng)絡(luò)進(jìn)行通訊，所以得名虛擬專(zhuān)用網(wǎng)絡(luò)。使用VPN技術(shù)可以解決在當(dāng)今遠(yuǎn)程通訊量曰益增大，企業(yè)全球運(yùn)作廣泛分布的情況下，員工需要訪(fǎng)問(wèn)中央資源，企業(yè)相互之間必須進(jìn)行及時(shí)和有效的通訊的問(wèn)題。如果希望企業(yè)員

3、工無(wú)論身處何地都能夠與企業(yè)計(jì)算資源建立連接，企業(yè)必須采用一個(gè)可靠性高、擴(kuò)展性強(qiáng)的遠(yuǎn)程訪(fǎng)問(wèn)解決方案。一般的，企業(yè)有如下選擇：1.管理信息系統(tǒng)（MIS）部門(mén)驅(qū)動(dòng)方案。建立一個(gè)內(nèi)部的MIS部門(mén)專(zhuān)門(mén)負(fù)責(zé)購(gòu)買(mǎi)，安裝和維護(hù)企業(yè)modem池和專(zhuān)用網(wǎng)絡(luò)基礎(chǔ)設(shè)施。2.增值網(wǎng)絡(luò)（VAN）方案。企業(yè)雇傭一個(gè)外部公司負(fù)責(zé)購(gòu)買(mǎi)，安裝和維護(hù)modem池和遠(yuǎn)程通訊網(wǎng)絡(luò)基礎(chǔ)設(shè)施。從費(fèi)用，可靠性，管理和便于連接等幾方面來(lái)看，這兩種方案都不能最大程度的滿(mǎn)足企業(yè)對(duì)網(wǎng)絡(luò)安全性

4、或擴(kuò)展性的要求。因此，選擇一種基于Inter技術(shù)的廉價(jià)方案取代企業(yè)花費(fèi)在modem池和專(zhuān)用網(wǎng)絡(luò)基礎(chǔ)設(shè)施上的投資就顯得極為重要。虛擬專(zhuān)用網(wǎng)絡(luò)的基本用途虛擬專(zhuān)用網(wǎng)絡(luò)的基本用途(1)通過(guò)Inter實(shí)現(xiàn)遠(yuǎn)程用戶(hù)訪(fǎng)問(wèn)虛擬專(zhuān)用網(wǎng)絡(luò)支持以安全的方式通過(guò)公共互聯(lián)網(wǎng)絡(luò)遠(yuǎn)程訪(fǎng)問(wèn)企業(yè)資源。與使用專(zhuān)線(xiàn)撥打長(zhǎng)途或（1800）電話(huà)連接企業(yè)的網(wǎng)絡(luò)接入服務(wù)器（NAS）不同，虛擬專(zhuān)用網(wǎng)絡(luò)用戶(hù)首先撥通本地ISP的NAS，然后VPN軟件利用與本地ISP建立的連接在撥號(hào)用戶(hù)和

5、企業(yè)VPN服務(wù)器之間創(chuàng)建一個(gè)跨越Inter或其它公共互聯(lián)網(wǎng)絡(luò)的虛擬專(zhuān)用網(wǎng)絡(luò)。(2)通過(guò)Inter實(shí)現(xiàn)網(wǎng)絡(luò)互連可以采用以下兩種方式使用VPN連接遠(yuǎn)程局域網(wǎng)絡(luò)。1.使用專(zhuān)線(xiàn)連接分支機(jī)構(gòu)和企業(yè)局域網(wǎng)。不需要使用價(jià)格昂貴的長(zhǎng)距離專(zhuān)用電路，分支機(jī)構(gòu)和企業(yè)端路由器可以使用各自本地的專(zhuān)用線(xiàn)路通過(guò)本地的ISP連通Inter。VPN軟件使用與當(dāng)本地ISP建立的連接和Inter網(wǎng)絡(luò)在分支機(jī)構(gòu)和企業(yè)端路由器之間創(chuàng)建一個(gè)虛擬專(zhuān)用網(wǎng)絡(luò)。2.使用撥號(hào)線(xiàn)路連接分支機(jī)

6、構(gòu)和企業(yè)局域網(wǎng)不同于傳統(tǒng)的使用連接分支機(jī)構(gòu)路由器的專(zhuān)線(xiàn)撥打長(zhǎng)途或（1800）電話(huà)連接企業(yè)NAS的方式，分支機(jī)構(gòu)端的路由器可以通過(guò)撥號(hào)方式連接本地ISP。VPN軟件使用與本地ISP建立起的連接在分支機(jī)構(gòu)和企業(yè)端路由器之間創(chuàng)建一個(gè)跨越Inter的虛擬專(zhuān)用網(wǎng)絡(luò)。應(yīng)當(dāng)注意在以上兩種方式中，是通過(guò)使用本地設(shè)備在分支機(jī)構(gòu)和企業(yè)部門(mén)與Inter之間建立連接。無(wú)論是在客戶(hù)端還是服務(wù)器端都是通過(guò)撥打本地接入電話(huà)建立連接，因此VPN可以大大節(jié)省連接的費(fèi)用。

7、建議作為VPN服務(wù)器的企業(yè)端路由器使用專(zhuān)線(xiàn)連接本地ISP。VPN服務(wù)器必須一天24小時(shí)對(duì)VPN數(shù)據(jù)流進(jìn)行監(jiān)聽(tīng)。(3)連接企業(yè)內(nèi)部網(wǎng)絡(luò)計(jì)算機(jī)互聯(lián)網(wǎng)絡(luò)上傳遞時(shí)所經(jīng)過(guò)的邏輯路徑稱(chēng)為隧道。一旦到達(dá)網(wǎng)絡(luò)終點(diǎn)，數(shù)據(jù)將被解包并轉(zhuǎn)發(fā)到最終目的地。注意隧道技術(shù)是指包括數(shù)據(jù)封裝，傳輸和解包在內(nèi)的全過(guò)程。隧道所使用的傳輸網(wǎng)絡(luò)可以是任何類(lèi)型的公共互聯(lián)網(wǎng)絡(luò)，本文主要以目前普遍使用Inter為例進(jìn)行說(shuō)明。此外，在企業(yè)網(wǎng)絡(luò)同樣可以創(chuàng)建隧道。隧道技術(shù)在經(jīng)過(guò)一段時(shí)間的發(fā)

8、展和完善之后，目前較為成熟的技術(shù)包括：1.IP網(wǎng)絡(luò)上的SNA隧道技術(shù)當(dāng)系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)（SystemwkArchitecture）的數(shù)據(jù)流通過(guò)企業(yè)IP網(wǎng)絡(luò)傳送時(shí)，SNA數(shù)據(jù)楨將被封裝在UDP和IP協(xié)議包頭中。2.IP網(wǎng)絡(luò)上的NovellWareIPX隧道技術(shù)當(dāng)一個(gè)IPX數(shù)據(jù)包被發(fā)送到Ware服務(wù)器或IPX路由器時(shí)，服務(wù)器或路由器用UDP和IP包頭封裝IPX數(shù)據(jù)包后通過(guò)IP網(wǎng)絡(luò)發(fā)送。另一端的IPTOIPX路由器在去除UDP和IP包頭之后，把數(shù)

9、據(jù)包轉(zhuǎn)發(fā)到IPX目的地。近幾年不斷出現(xiàn)了一些新的隧道技術(shù)，本文將主要介紹這些新技術(shù)。具體包括：1.點(diǎn)對(duì)點(diǎn)隧道協(xié)議（PPTP）PPTP協(xié)議允許對(duì)IP，IPX或BEUI數(shù)據(jù)流進(jìn)行加密，然后封裝在IP包頭中通過(guò)企業(yè)IP網(wǎng)絡(luò)或公共互聯(lián)網(wǎng)絡(luò)發(fā)送。2.第2層隧道協(xié)議（L2TP）L2TP協(xié)議允許對(duì)IP，IPX或BEUI數(shù)據(jù)流進(jìn)行加密，然后通過(guò)支持點(diǎn)對(duì)點(diǎn)數(shù)據(jù)報(bào)傳遞的任意網(wǎng)絡(luò)發(fā)送，如IP，X.25，楨中繼或ATM。3.安全I(xiàn)P（IPSec)隧道模式IPS

10、ec隧道模式允許對(duì)IP負(fù)載數(shù)據(jù)進(jìn)行加密，然后封裝在IP包頭中通過(guò)企業(yè)IP網(wǎng)絡(luò)或公共IP互聯(lián)網(wǎng)絡(luò)如Inter發(fā)送。隧道協(xié)議為創(chuàng)建隧道，隧道的客戶(hù)機(jī)和服務(wù)器雙方必須使用相同的隧道協(xié)議。隧道技術(shù)可以分別以第2層或第3層隧道協(xié)議為基礎(chǔ)。上述分層按照開(kāi)放系統(tǒng)互聯(lián)（OSI）的參考模型劃分。第2層隧道協(xié)議對(duì)應(yīng)OSI模型中的數(shù)據(jù)鏈路層，使用楨作為數(shù)據(jù)交換單位。PPTP，L2TP和L2F（第2層轉(zhuǎn)發(fā)）都屬于第2層隧道協(xié)議，都是將數(shù)據(jù)封裝在點(diǎn)對(duì)點(diǎn)協(xié)議（PP

11、P）楨中通過(guò)互聯(lián)網(wǎng)絡(luò)發(fā)送。第3層隧道協(xié)議對(duì)應(yīng)OSI模型中的網(wǎng)絡(luò)層，使用包作為數(shù)據(jù)交換單位。IPoverIP以及IPSec隧道模式都屬于第3層隧道協(xié)議，都是將IP包封裝在附加的IP包頭中通過(guò)IP網(wǎng)絡(luò)傳送。隧道技術(shù)如何實(shí)現(xiàn)對(duì)于象PPTP和L2TP這樣的第2層隧道協(xié)議，創(chuàng)建隧道的過(guò)程類(lèi)似于在雙方之間建立會(huì)話(huà)；隧道的兩個(gè)端點(diǎn)必須同意創(chuàng)建隧道并協(xié)商隧道各種配置變量，如地址分配，加密或壓縮等參數(shù)。絕大多數(shù)情況下，通過(guò)隧道傳輸?shù)臄?shù)據(jù)都使用基于數(shù)據(jù)報(bào)的