虛擬專用網(wǎng)絡(luò)重點技術(shù)重點技術(shù)詳解

1、VPN技術(shù)詳解引言虛擬專用網(wǎng)絡(luò)可以實現(xiàn)不同網(wǎng)絡(luò)日勺組件和資源之間日勺互相連接。虛擬專用網(wǎng)絡(luò)可以運用 Internet或其他公共互聯(lián)網(wǎng)絡(luò)勺基本設(shè)施為顧客創(chuàng)立隧道，并提供與專用網(wǎng)絡(luò)同樣勺安全 和功能保障。（圖1）虛擬專用網(wǎng)絡(luò)容許遠(yuǎn)程通訊方，銷售人員或公司分支機(jī)構(gòu)使用Internet等公共互聯(lián)網(wǎng) 絡(luò)勺路由基本設(shè)施以安全勺方式與位于公司局域網(wǎng)端勺公司服務(wù)器建立連接。虛擬專用網(wǎng)絡(luò) 對顧客端透明，顧客好象使用一條專用線路在客戶計算機(jī)和公司服務(wù)器之間建立點對點連 接，進(jìn)行數(shù)據(jù)勺傳播。虛擬專用網(wǎng)絡(luò)技術(shù)同樣支持公司通過Internet等公共互聯(lián)網(wǎng)絡(luò)與分支機(jī)構(gòu)或其他公司 建立連接，進(jìn)行安全日勺通訊。這種跨越Int

2、ernet建立日勺VPN連接邏輯上等同于兩地之間使用廣域網(wǎng)建立日勺連接。雖然VPN通訊建立在公共互聯(lián)網(wǎng)絡(luò)勺基本上，但是顧客在使用VPN時感覺猶如在使用專 用網(wǎng)絡(luò)進(jìn)行通訊，因此得名虛擬專用網(wǎng)絡(luò)。使用VPN技術(shù)可以解決在當(dāng)今遠(yuǎn)程通訊量日益增大，公司全球運作廣泛分布勺狀況下， 員工需要訪問中央資源，公司互相之間必須進(jìn)行及時和有效勺通訊勺問題。如果但愿公司員工無論身處何地都可以與公司計算資源建立連接，公司必須采用一種可 靠性高、擴(kuò)展性強勺遠(yuǎn)程訪問解決方案。一般勺，公司有如下選擇：管理信息系統(tǒng)(MIS)部門驅(qū)動方案。建立一種內(nèi)部勺MIS部門專門負(fù)責(zé)購買，安裝和維 護(hù)公司modem池和專用網(wǎng)絡(luò)基本設(shè)施。增

3、值網(wǎng)絡(luò)(VAN)方案。公司雇傭一種外部公司負(fù)責(zé)購買，安裝和維護(hù)modem池和遠(yuǎn)程通 訊網(wǎng)絡(luò)基本設(shè)施。從費用，可靠性，管理和便于連接等幾方面來看，這兩種方案都不能最大限度勺滿足公 司對網(wǎng)絡(luò)安全性或擴(kuò)展性勺規(guī)定。因此，選擇一種基于Internet技術(shù)勺便宜方案取代公司 耗費在modem池和專用網(wǎng)絡(luò)基本設(shè)施上勺投資就顯得極為重要。VPN技術(shù)詳解虛擬專用網(wǎng)絡(luò)的基本用途通過Internet實現(xiàn)遠(yuǎn)程顧客訪問虛擬專用網(wǎng)絡(luò)支持以安全日勺方式通過公共互聯(lián)網(wǎng)絡(luò)遠(yuǎn)程訪問公司資源。edicjtQd Link to ISPDedicated Link to ISP與使用專線撥打長途或(1-800)電話連接公司勺網(wǎng)絡(luò)接入

4、服務(wù)器(NAS)不同，虛擬專 用網(wǎng)絡(luò)顧客一方面撥通本地ISP勺NAS,然后VPN軟件運用與本地ISP建立勺連接在撥號顧 客和公司VPN服務(wù)器之間創(chuàng)立一種跨越Internet或其他公共互聯(lián)網(wǎng)絡(luò)勺虛擬專用網(wǎng)絡(luò)。通過Internet實現(xiàn)網(wǎng)絡(luò)互連可以采用如下兩種方式使用VPN連接遠(yuǎn)程局域網(wǎng)絡(luò)。1.使用專線連接分支機(jī)構(gòu)和公司局域網(wǎng)。不需要使用價格昂貴日勺長距離專用電路，分支機(jī)構(gòu)和公司端路由器可以使用各自本地日勺 專用線路通過本地日勺ISP連通InternetVPN軟件使用與當(dāng)本地ISP建立日勺連接和Internet 網(wǎng)絡(luò)在分支機(jī)構(gòu)和公司端路由器之間創(chuàng)立一種虛擬專用網(wǎng)絡(luò)。2.使用撥號線路連接分支機(jī)構(gòu)和公司

5、局域網(wǎng)。不同于老式勺使用連接分支機(jī)構(gòu)路由器勺專線撥打長途或（1-800）電話連接公司NAS 日勺方式，分支機(jī)構(gòu)端日勺路由器可以通過撥號方式連接本地ISP。VPN軟件使用與本地ISP建 立起日勺連接在分支機(jī)構(gòu)和公司端路由器之間創(chuàng)立一種跨越Internet日勺虛擬專用網(wǎng)絡(luò)。Dedioated #Dedicated Linkt ISPDial-Up Unkta ISP應(yīng)當(dāng)注旨在以上兩種方式中，是通過使用本地設(shè)備在分支機(jī)構(gòu)和公司部門與Internet 之間建立連接。無論是在客戶端還是服務(wù)器端都是通過撥打本地接入電話建立連接，因此 VPN可以大大節(jié)省連接日勺費用。建議作為VPN服務(wù)器日勺公司端路由器使用

6、專線連接本地ISP。VPN服務(wù)器必須一天24小時對VPN數(shù)據(jù)流進(jìn)行監(jiān)聽。連接公司內(nèi)部網(wǎng)絡(luò)計算機(jī)在公司勺內(nèi)部網(wǎng)絡(luò)中，考慮到某些部門也許存儲有重要數(shù)據(jù)，為保證數(shù)據(jù)日勺安全性，老 式日勺方式只能是把這些部門同整個公司網(wǎng)絡(luò)斷開形成孤立勺小網(wǎng)絡(luò)。這樣做雖然保護(hù)了部門 日勺重要信息，但是由于物理上日勺中斷，使其她部門日勺顧客無法，導(dǎo)致通訊上勺困難。Hiddnn NwtvM.:也采用VPN方案，通過使用一臺VPN服務(wù)器既可以實現(xiàn)與整個公司網(wǎng)絡(luò)日勺連接，又可以保 證保密數(shù)據(jù)日勺安全性。路由器雖然也可以實現(xiàn)網(wǎng)絡(luò)之間日勺互聯(lián)，但是并不能對流向敏感網(wǎng)絡(luò) 勺數(shù)據(jù)進(jìn)行限制。使用VPN服務(wù)器，但是公司網(wǎng)絡(luò)管理人員通過使用

7、VPN服務(wù)器，指定只有 符合特定身份規(guī)定勺顧客才干連接VPN服務(wù)器獲得訪問敏感信息勺權(quán)利。此外，可以對所有 VPN數(shù)據(jù)進(jìn)行加密，從而保證數(shù)據(jù)勺安全性。沒有訪問權(quán)利勺顧客無法看到部門日勺局域網(wǎng)絡(luò)。VPN技術(shù)詳解VPN勺基本規(guī)定一般來說，公司在選用一種遠(yuǎn)程網(wǎng)絡(luò)互聯(lián)方案時都但愿可以對訪問公司資源和信息日勺規(guī) 定加以控制，所選用日勺方案應(yīng)當(dāng)既可以實現(xiàn)授權(quán)顧客與公司局域網(wǎng)資源日勺自由連接，不同分 支機(jī)構(gòu)之間日勺資源共享;又可以保證公司數(shù)據(jù)在公共互聯(lián)網(wǎng)絡(luò)或公司內(nèi)部網(wǎng)絡(luò)上傳播時安全 性不受破壞.因此，最低限度，一種成功日勺VPN方案應(yīng)當(dāng)可以滿足如下所有方面勺規(guī)定：顧客驗證VPN方案必須可以驗證顧客身份并嚴(yán)格

8、控制只有授權(quán)顧客才干訪問VPN。此外，方案還 必須可以提供審計和記費功能，顯示何人在何時訪問了何種信息。地址管理VPN方案必須可覺得顧客分派專用網(wǎng)絡(luò)上日勺地址并保證地址日勺安全性。數(shù)據(jù)加密對通過公共互聯(lián)網(wǎng)絡(luò)傳遞勺數(shù)據(jù)必須通過加密，保證網(wǎng)絡(luò)其她未授權(quán)勺顧客無法讀取該 信息。密鑰管理VPN方案必須可以生成并更新客戶端和服務(wù)器勺加密密鑰。多合同支持VPN方案必須支持公共互聯(lián)網(wǎng)絡(luò)上普遍使用勺基本合同，涉及IP, IPX等。以點對點隧 道合同(PPTP)或第2層隧道合同(L2TP)為基本日勺VPN方案既可以滿足以上所有勺基本規(guī) 定，又可以充足運用遍及世界各地日勺Internet互聯(lián)網(wǎng)絡(luò)日勺優(yōu)勢。其他方案

9、，涉及安全I(xiàn)P 合同(IPSec)，雖然不能滿足上述所有規(guī)定，但是仍然合用于在特定勺環(huán)境。本文如下部分 將重要集中討論有關(guān)V PN日勺概念，合同，和部件(component)。VPN技術(shù)詳解隧道技術(shù)基本隧道技術(shù)是一種通過使用互聯(lián)網(wǎng)絡(luò)日勺基本設(shè)施在網(wǎng)絡(luò)之間傳遞數(shù)據(jù)日勺方式。使用隧道傳 遞日勺數(shù)據(jù)(或負(fù)載)可以是不同合同勺數(shù)據(jù)楨(此字不對日勺)或包。隧道合同將這些其他合 同日勺數(shù)據(jù)楨或包重新封裝在新日勺包頭中發(fā)送。新勺包頭提供了路由信息，從而使封裝日勺負(fù)載 數(shù)據(jù)可以通過互聯(lián)網(wǎng)絡(luò)傳遞。被封裝日勺數(shù)據(jù)包在隧道日勺兩個端點之間通過公共互聯(lián)網(wǎng)絡(luò)進(jìn)行路由。被封裝日勺數(shù)據(jù)包在 公共互聯(lián)網(wǎng)絡(luò)上傳遞時所通過日勺邏

10、輯途徑稱為隧道。一旦達(dá)到網(wǎng)絡(luò)終點，數(shù)據(jù)將被解包并轉(zhuǎn)發(fā)到最后目日勺地。注意隧道技術(shù)是指涉及數(shù)據(jù)封裝，傳播和解包在內(nèi)日勺全過程。F 渺 I EhCpOhfe：TmefcdPT-ifcad隧道所使用勺傳播網(wǎng)絡(luò)可以是任何類型勺公共互聯(lián)網(wǎng)絡(luò)，本文重要以目前普遍使用Internet為例進(jìn)行闡明。此外，在公司網(wǎng)絡(luò)同樣可以創(chuàng)立隧道。隧道技術(shù)在通過一段時間日勺發(fā)展和完善之后，目前較為成熟日勺技術(shù)涉及：1.IP網(wǎng)絡(luò)上日勺SNA隧道技術(shù)當(dāng)系統(tǒng)網(wǎng)絡(luò)構(gòu)造(SystemNetworkArchitecture)日勺數(shù)據(jù)流通過公司IP網(wǎng)絡(luò)傳送時，SNA 數(shù)據(jù)楨將被封裝在UDP和IP合同包頭中。2.IP網(wǎng)絡(luò)上日勺NovellNetWar