vpn技術(shù)專題講座

1、引言虛擬專用網(wǎng)絡(luò)可以實現(xiàn)不同網(wǎng)絡(luò)的組件和資源之間的相互連接。虛擬專用網(wǎng)絡(luò)能夠利用Inter或其它公共互聯(lián)網(wǎng)絡(luò)的基礎(chǔ)設(shè)施為用戶創(chuàng)建隧道，并提供與專用網(wǎng)絡(luò)一樣的安全和功能保障。虛擬專用網(wǎng)絡(luò)允許遠(yuǎn)程通訊方，銷售人員或企業(yè)分支機構(gòu)使用Inter等公共互聯(lián)網(wǎng)絡(luò)的路由基礎(chǔ)設(shè)施以安全的方式與位于企業(yè)局域網(wǎng)端的企業(yè)服務(wù)器建立連接。虛擬專用網(wǎng)絡(luò)對用戶端透明，用戶好象使用一條專用線路在客戶計算機和企業(yè)服務(wù)器之間建立點對點連接，進行數(shù)據(jù)的傳輸。虛擬專用網(wǎng)絡(luò)技

2、術(shù)同樣支持企業(yè)通過Inter等公共互聯(lián)網(wǎng)絡(luò)與分支機構(gòu)或其它公司建立連接，進行安全的通訊。這種跨越Inter建立的VPN連接邏輯上等同于兩地之間使用廣域網(wǎng)建立的連接。雖然VPN通訊建立在公共互聯(lián)網(wǎng)絡(luò)的基礎(chǔ)上，但是用戶在使用VPN時感覺如同在使用專用網(wǎng)絡(luò)進行通訊，所以得名虛擬專用網(wǎng)絡(luò)。使用VPN技術(shù)可以解決在當(dāng)今遠(yuǎn)程通訊量曰益增大，企業(yè)全球運作廣泛分布的情況下，員工需要訪問中央資源，企業(yè)相互之間必須進行及時和有效的通訊的問題。如果希望企業(yè)員

3、工無論身處何地都能夠與企業(yè)計算資源建立連接，企業(yè)必須采用一個可靠性高、擴展性強的遠(yuǎn)程訪問解決方案。一般的，企業(yè)有如下選擇：1.管理信息系統(tǒng)（MIS）部門驅(qū)動方案。建立一個內(nèi)部的MIS部門專門負(fù)責(zé)購買，安裝和維護企業(yè)modem池和專用網(wǎng)絡(luò)基礎(chǔ)設(shè)施。2.增值網(wǎng)絡(luò)（VAN）方案。企業(yè)雇傭一個外部公司負(fù)責(zé)購買，安裝和維護modem池和遠(yuǎn)程通訊網(wǎng)絡(luò)基礎(chǔ)設(shè)施。從費用，可靠性，管理和便于連接等幾方面來看，這兩種方案都不能最大程度的滿足企業(yè)對網(wǎng)絡(luò)安全性

4、或擴展性的要求。因此，選擇一種基于Inter技術(shù)的廉價方案取代企業(yè)花費在modem池和專用網(wǎng)絡(luò)基礎(chǔ)設(shè)施上的投資就顯得極為重要。虛擬專用網(wǎng)絡(luò)的基本用途虛擬專用網(wǎng)絡(luò)的基本用途(1)通過Inter實現(xiàn)遠(yuǎn)程用戶訪問虛擬專用網(wǎng)絡(luò)支持以安全的方式通過公共互聯(lián)網(wǎng)絡(luò)遠(yuǎn)程訪問企業(yè)資源。與使用專線撥打長途或（1800）電話連接企業(yè)的網(wǎng)絡(luò)接入服務(wù)器（NAS）不同，虛擬專用網(wǎng)絡(luò)用戶首先撥通本地ISP的NAS，然后VPN軟件利用與本地ISP建立的連接在撥號用戶和

5、企業(yè)VPN服務(wù)器之間創(chuàng)建一個跨越Inter或其它公共互聯(lián)網(wǎng)絡(luò)的虛擬專用網(wǎng)絡(luò)。(2)通過Inter實現(xiàn)網(wǎng)絡(luò)互連可以采用以下兩種方式使用VPN連接遠(yuǎn)程局域網(wǎng)絡(luò)。1.使用專線連接分支機構(gòu)和企業(yè)局域網(wǎng)。不需要使用價格昂貴的長距離專用電路，分支機構(gòu)和企業(yè)端路由器可以使用各自本地的專用線路通過本地的ISP連通Inter。VPN軟件使用與當(dāng)本地ISP建立的連接和Inter網(wǎng)絡(luò)在分支機構(gòu)和企業(yè)端路由器之間創(chuàng)建一個虛擬專用網(wǎng)絡(luò)。2.使用撥號線路連接分支機

6、構(gòu)和企業(yè)局域網(wǎng)不同于傳統(tǒng)的使用連接分支機構(gòu)路由器的專線撥打長途或（1800）電話連接企業(yè)NAS的方式，分支機構(gòu)端的路由器可以通過撥號方式連接本地ISP。VPN軟件使用與本地ISP建立起的連接在分支機構(gòu)和企業(yè)端路由器之間創(chuàng)建一個跨越Inter的虛擬專用網(wǎng)絡(luò)。應(yīng)當(dāng)注意在以上兩種方式中，是通過使用本地設(shè)備在分支機構(gòu)和企業(yè)部門與Inter之間建立連接。無論是在客戶端還是服務(wù)器端都是通過撥打本地接入電話建立連接，因此VPN可以大大節(jié)省連接的費用。

7、建議作為VPN服務(wù)器的企業(yè)端路由器使用專線連接本地ISP。VPN服務(wù)器必須一天24小時對VPN數(shù)據(jù)流進行監(jiān)聽。(3)連接企業(yè)內(nèi)部網(wǎng)絡(luò)計算機互聯(lián)網(wǎng)絡(luò)上傳遞時所經(jīng)過的邏輯路徑稱為隧道。一旦到達網(wǎng)絡(luò)終點，數(shù)據(jù)將被解包并轉(zhuǎn)發(fā)到最終目的地。注意隧道技術(shù)是指包括數(shù)據(jù)封裝，傳輸和解包在內(nèi)的全過程。隧道所使用的傳輸網(wǎng)絡(luò)可以是任何類型的公共互聯(lián)網(wǎng)絡(luò)，本文主要以目前普遍使用Inter為例進行說明。此外，在企業(yè)網(wǎng)絡(luò)同樣可以創(chuàng)建隧道。隧道技術(shù)在經(jīng)過一段時間的發(fā)

8、展和完善之后，目前較為成熟的技術(shù)包括：1.IP網(wǎng)絡(luò)上的SNA隧道技術(shù)當(dāng)系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)（SystemwkArchitecture）的數(shù)據(jù)流通過企業(yè)IP網(wǎng)絡(luò)傳送時，SNA數(shù)據(jù)楨將被封裝在UDP和IP協(xié)議包頭中。2.IP網(wǎng)絡(luò)上的NovellWareIPX隧道技術(shù)當(dāng)一個IPX數(shù)據(jù)包被發(fā)送到Ware服務(wù)器或IPX路由器時，服務(wù)器或路由器用UDP和IP包頭封裝IPX數(shù)據(jù)包后通過IP網(wǎng)絡(luò)發(fā)送。另一端的IPTOIPX路由器在去除UDP和IP包頭之后，把數(shù)

9、據(jù)包轉(zhuǎn)發(fā)到IPX目的地。近幾年不斷出現(xiàn)了一些新的隧道技術(shù)，本文將主要介紹這些新技術(shù)。具體包括：1.點對點隧道協(xié)議（PPTP）PPTP協(xié)議允許對IP，IPX或BEUI數(shù)據(jù)流進行加密，然后封裝在IP包頭中通過企業(yè)IP網(wǎng)絡(luò)或公共互聯(lián)網(wǎng)絡(luò)發(fā)送。2.第2層隧道協(xié)議（L2TP）L2TP協(xié)議允許對IP，IPX或BEUI數(shù)據(jù)流進行加密，然后通過支持點對點數(shù)據(jù)報傳遞的任意網(wǎng)絡(luò)發(fā)送，如IP，X.25，楨中繼或ATM。3.安全IP（IPSec)隧道模式IPS

10、ec隧道模式允許對IP負(fù)載數(shù)據(jù)進行加密，然后封裝在IP包頭中通過企業(yè)IP網(wǎng)絡(luò)或公共IP互聯(lián)網(wǎng)絡(luò)如Inter發(fā)送。隧道協(xié)議為創(chuàng)建隧道，隧道的客戶機和服務(wù)器雙方必須使用相同的隧道協(xié)議。隧道技術(shù)可以分別以第2層或第3層隧道協(xié)議為基礎(chǔ)。上述分層按照開放系統(tǒng)互聯(lián)（OSI）的參考模型劃分。第2層隧道協(xié)議對應(yīng)OSI模型中的數(shù)據(jù)鏈路層，使用楨作為數(shù)據(jù)交換單位。PPTP，L2TP和L2F（第2層轉(zhuǎn)發(fā)）都屬于第2層隧道協(xié)議，都是將數(shù)據(jù)封裝在點對點協(xié)議（PP

11、P）楨中通過互聯(lián)網(wǎng)絡(luò)發(fā)送。第3層隧道協(xié)議對應(yīng)OSI模型中的網(wǎng)絡(luò)層，使用包作為數(shù)據(jù)交換單位。IPoverIP以及IPSec隧道模式都屬于第3層隧道協(xié)議，都是將IP包封裝在附加的IP包頭中通過IP網(wǎng)絡(luò)傳送。隧道技術(shù)如何實現(xiàn)對于象PPTP和L2TP這樣的第2層隧道協(xié)議，創(chuàng)建隧道的過程類似于在雙方之間建立會話；隧道的兩個端點必須同意創(chuàng)建隧道并協(xié)商隧道各種配置變量，如地址分配，加密或壓縮等參數(shù)。絕大多數(shù)情況下，通過隧道傳輸?shù)臄?shù)據(jù)都使用基于數(shù)據(jù)報的