VPN是虛擬專用網(wǎng)絡，用于在公共網(wǎng)絡上構建私人專用虛擬網(wǎng)絡，并在這個虛擬網(wǎng)絡中傳輸私網(wǎng)流量。在不改變網(wǎng)絡現(xiàn)狀的情況下，VPN將現(xiàn)有的物理網(wǎng)絡分解為邏輯隔離網(wǎng)絡，實現(xiàn)安全可靠的連接。
VPN具有以下兩個基本特征：
專用網(wǎng)絡：對于VPN用戶來說，使用VPN與使用傳統(tǒng)專網(wǎng)沒有區(qū)別。VPN與底層承載網(wǎng)絡保持資源獨立，即VPN資源不被網(wǎng)絡中非VPN用戶使用，VPN可以提供足夠的安全保障，確保VPN內(nèi)部信息不受外部干擾。虛擬：用戶不再需要有實際的專用長途數(shù)據(jù)線，而是使用Internet的長途數(shù)據(jù)線建立自己的私有網(wǎng)絡。VPN用戶內(nèi)部的通信是通過公共網(wǎng)絡進行的，而這個公共網(wǎng)絡同時也可以被其他非VPN用戶使用，VPN用戶獲得的只是一個邏輯意義上的專網(wǎng)。
VPN常見技術
隧道技術：隧道兩端封裝、解封裝，用于建立數(shù)據(jù)通道，身份證：確保接入VPN的操作人員的合法性、有效性，數(shù)據(jù)認證：數(shù)據(jù)在網(wǎng)絡傳輸過程中不被非法篡改，加解密技術：確保數(shù)據(jù)在網(wǎng)絡中傳輸時不被非法獲取，密鑰管理技術：在不安全的網(wǎng)絡中安全地傳遞密鑰。
VPN的產(chǎn)生背景
在VPN（VirtualPrivateNetwork）在出現(xiàn)之前，跨越Internet的數(shù)據(jù)傳輸只能依靠現(xiàn)有的物理網(wǎng)絡，這是一個很大的不安全因素。企業(yè)的總部和分支機構位于不同的地區(qū)（如不同的國家或城市）。當分支機構的員工需要訪問總部服務器時，數(shù)據(jù)傳輸應通過互聯(lián)網(wǎng)進行。由于Internet中存在多種不安全因素，則當分支機構的員工向總部服務器發(fā)送訪問請求時，報文容易被網(wǎng)絡中的黑客竊取或篡改。最終導致數(shù)據(jù)泄露，重要數(shù)據(jù)被破壞等后果。VPN出現(xiàn)前的報文傳輸，為了防止信息泄露，可以在總部和分支機構之間搭建一條物理專網(wǎng)連接，但其費用會非常昂貴，此時可以考慮采用VPN的方案進行解決。
VPN封裝原理
VPN的基本原理是利用隧道（Tunnel）技術，封裝傳輸報文，利用VPN骨干網(wǎng)建立專用數(shù)據(jù)傳輸通道，實現(xiàn)報文的安全傳輸。隧道技術使用一種協(xié)議封裝另外一種協(xié)議報文（通常是IP報文），而封裝后的報文也可以再次被其他封裝協(xié)議所封裝。若有VPN隧道，則數(shù)據(jù)傳輸如下圖所示。當分支機構員工訪問總部服務器時，報文封裝過程如下：經(jīng)過VPN封裝后的報文傳輸，報文發(fā)送到網(wǎng)關1時，網(wǎng)關1識別出該用戶為VPN用戶后，發(fā)起與總部網(wǎng)關即網(wǎng)關2的隧道連接，從而網(wǎng)關1和網(wǎng)關2之間建立VPN隧道。將數(shù)據(jù)封裝在VPN隧道中，發(fā)送給網(wǎng)關2。網(wǎng)關2收到報文后進行解封裝，并將原始數(shù)據(jù)發(fā)送給最終接收者，即服務器。反向的處理也一樣。VPN網(wǎng)關在封裝時可以對報文進行加密，使Internet上的非法用戶無法讀取報文內(nèi)容，因此通信安全可靠。
VPN的優(yōu)勢
與傳統(tǒng)的數(shù)據(jù)專網(wǎng)相比，VPN具有以下優(yōu)點：安全：在遠端用戶、海外機構、合作伙伴、供應商和公司總部之間建立可靠的連接，以確保數(shù)據(jù)傳輸?shù)陌踩?。廉價：利用公共網(wǎng)絡進行信息交流，企業(yè)可以以較低的成本與遠程辦事機構、出差人員和業(yè)務伙伴聯(lián)系。支持移動業(yè)務：支持駐外VPN用戶在任何時間、任何地點的移動訪問，能夠滿足日益增長的移動業(yè)務需求?？蓴U展性：由于VPN為邏輯上的網(wǎng)絡，物理網(wǎng)絡中增加或修改節(jié)點，不影響VPN的部署。
VPN的應用場景及選擇
VPN適用于以下基本場景，以及從以下場景中衍生出來的復雜場景。通過對比各種VPN的特性，可以選擇合適的VPN類型。site-to-siteVPN，site-to-siteVPN即兩個局域網(wǎng)之間通過VPN隧道建立連接。企業(yè)的分支和總部分別通過網(wǎng)關1和網(wǎng)關2連接到Internet。由于業(yè)務需要，企業(yè)分公司和總部經(jīng)常相互發(fā)送內(nèi)部機密數(shù)據(jù)。為了保護這些數(shù)據(jù)在Interner中安全傳輸，在網(wǎng)關1和網(wǎng)關2之間建立VPN隧道。
site-to-siteVPN組網(wǎng)圖
這一場景的特點是：兩端網(wǎng)絡通過固定網(wǎng)關連接到Internet，組網(wǎng)相對固定。而且訪問是雙向的，也就是說，分支機構和總部都有可能向?qū)Χ税l(fā)起訪問。適用于比如連鎖超市、政府機關、銀行等的業(yè)務通信。此場景可以使用以下幾種VPN實現(xiàn)：IPSec、L2TP、L2TPoverIPSec、GREoverIPSec、IPSecoverGRE。兩端相互訪問較頻繁，傳輸?shù)臄?shù)據(jù)為機密數(shù)據(jù)，且任何用戶都能訪問對端內(nèi)網(wǎng)，無需認證時，可采用IPSec方式。只有一端訪問另一端，且訪問的用戶必須通過用戶認證時，可采用L2TP方式。如果只有一端訪問另一端，傳輸數(shù)據(jù)為機密數(shù)據(jù)，且訪問的用戶必須通過用戶認證，可采用L2TPoverIPSec方式，安全性更高。GREoverIPSec隧道和IPSecoverGRE隧道都可以用來安全的傳輸數(shù)據(jù)，兩者的區(qū)別在于對數(shù)據(jù)的封裝順序不同。GREoverIPSec在報文封裝時，是先GRE封裝然后再IPSec封裝；IPSecoverGRE在報文封裝時，是先IPSec封裝再GRE封裝。由于IPSec無法封裝組播報文，因此IPSecoverGRE隧道也無法傳輸組播數(shù)據(jù)。如果隧道兩端要傳輸組播數(shù)據(jù)時，就要采用GREoverIPSec方式，client-to-siteVPN，client-to-siteVPN即客戶端與企業(yè)內(nèi)網(wǎng)之間通過VPN隧道建立連接。外出差員工（客戶端）跨越Internet訪問企業(yè)總部內(nèi)網(wǎng)，完成向總部傳送數(shù)據(jù)、訪問內(nèi)部服務器等需求。為確保數(shù)據(jù)安全傳輸，可在客戶端與企業(yè)網(wǎng)關之間建立VPN隧道。client-to-siteVPN組網(wǎng)圖，這種場景的特點為：客戶端的地址不固定。而且訪問是單向的，即只有客戶端向內(nèi)網(wǎng)服務器發(fā)起訪問。適用于企業(yè)出差職工或臨時辦事處職工通過手機、電腦等方式進入總部遠程辦公。
此場景可以使用以下幾種VPN實現(xiàn)：SSL、IPSec（IKEv2）、L2TP、L2TPoverIPSec。如果對客戶端沒有要求，但要訪問的服務器應該為不同類型的用戶開放不同的服務，并制定不同的策略，則可以使用SSL。如果需要頻繁訪問某些固定的總部服務器，并且服務器功能對所有用戶開放，出差員工或臨時辦事處員工可以采用L2TPoverIPSec方式。
BGP/MPLSIPVPN
BGP/MPLSIPVPN主要用于解決跨域企業(yè)互聯(lián)等問題。目前，企業(yè)越來越區(qū)域化和國際化，同一企業(yè)不同區(qū)域的員工需要通過服務提供商網(wǎng)絡進行互訪。為了嚴格控制用戶訪問，確保數(shù)據(jù)安全傳輸，服務提供商的網(wǎng)絡往往相對龐大和復雜。需要在骨干網(wǎng)上配置BGP/MPLSIPVPN功能，實現(xiàn)不同區(qū)域用戶之間的訪問需求。BGP/MPLSIPVPN為全網(wǎng)狀VPN，即每個PE和其他PE之間均建立BGP/MPLSIPVPN連接。服務提供商骨干網(wǎng)的所有PE設備都必須支持BGP/MPLSIPVPN功能。
粵ICP備2022115319號
QQ客服