vpn技术论文

vpn技术论文（8篇）

1.vpn技术论文 篇一

军队院校校园网VPN技术应用设想(1)

摘 要 VPN是一项迅速发展起来的新技术，其在电子商务、公司各部门信息传送方面已经显现出了很大的发展潜力。相信将来其在军队院校信息化建设和信息安全传输上也能发挥应有的作用。关键词 VPN；虚拟专用网；SSL VPN；IPSec VPN1 引言 VPN(Virtual Private Network)即虚拟专用网，是一项迅速发展起来的新技术，主要用于在公用网络中建立专用的数据通信网络。由于它只是使用因特网而不是专线来连接分散在各地的本地网络，仅在效果上和真正的专用网一样，故称之为虚拟专用网。在虚拟专用网中，任意两个节点之间的连接并没有传统专用网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。一个网络连接通常由客户机、传输介质和服务器三个部分组成。VPN同样也由这三部分组成，不同的是VPN连接使用了隧道技术。所谓隧道技术就是在内部数据报的发送接受过程中使用了加密解密技术，使得传送数据报的路由器均不知道数据报的内容，就好像建立了一条可信赖的隧道。该技术也是基于TCP/IP协议的。2 隧道技术的实现 假设某公司在相距很远的两地的部门A和B建立了虚拟专用网，其内部网络地址分别为专用地址20.1.0.0和20.2.0.0。显然，这两个部门若利用因特网进行通信，则需要分别拥有具有合法的全球IP的路由器。这里假设部门A、B的路由器分别为R1、R2，且其全球IP地址分别为125.1.2.3和192.168.5.27，如图1所示。图1 现在设部门A的主机X向部门B的主机Y发送数据报，源地址是20.1.0.1而目的地址是20.2.0.3。该数据报从主机X发送给路由器R1。路由器R1收到这个内部数据报后进行加密，然后重新封装成在因特网上发送的外部数据报，这个外部数据报的源地址是R1在因特网上的IP地址125.1.2.3，而目的地址是路由器R2在因特网上的IP地址192.168.5.27。路由器R2收到R1发送的数据报后，对其进行解密，恢复出原来的内部数据报，并转发给主机Y。这样便实现了虚拟专用网的数据传输。3 军队院校校园网建设VPN技术应用设想 随着我军三期网的建设，VPN技术也可广泛应用于军队院校的校园网建设之中。这是由军队院校的实际需求所决定的。首先，军队的特殊性要求一些信息的传达要做到安全可靠，采用VPN技术会大大提高网络传输的可靠性；第二，军队院校不但有各教研室和学员队，还包括保障部队、管理机构等，下属部门较多，有些部门相距甚至不在一个地方，采用VPN技术可简化网络的设计和管理；第三，采用了VPN技术后将为外出调研的教员、学员们以及其它军队院校的用户通过军队网访问本校图书馆查阅资料提供便利。而VPN技术的特点正好能够满足以上几点需求。首先是安全性，VPN通过使用点到点协议(PPP)用户级身份验证的方法进行验证，这些验证方法包括：密码身份验证协议(PAP)、质询握手身份验证协议(CHAP)、Shiva密码身份验证协议(SPAP)、Microsoft质询握手身份验证协议(MS-CHAP)和可选的可扩展身份验证协议(EAP)，并且采用微软点对点加密算法(MPPE)和网际协议安全(IPSec)机制对数据包进行加密。对于敏感的数据，还可以使用VPN连接通过VPN服务器将高度敏感的数据服务器物理地进行分隔，只有拥有适当权限的用户才能通过远程访问建立与VPN服务器的VPN连接，并且可以访问敏感部门网络中受到保护的资源。第二，在解决异地访问本地电子资源问题上，这正是VPN技术的主要特点之一，可以让外地的授权用户方便地访问本地的资源。目前，主要的VPN技术有IPSec VPN和SSL VPN两种。其中IPSec技术的工作原理类似于包过滤防火墙，可以看作是对包过滤防火墙的一种扩展。当接收到一个IP数据包时，包过滤防火墙使用其头部在一个规则表中进行匹配。当找到一个相匹配的规则时，包过滤防火墙就按照该规则制定的方法对接收到的IP数据包进行处理。但是IPSec不同于包过滤防火墙的是，对IP数据包的处理方法除了丢弃，直接转发(绕过IPSec)外还能对IP数据包进行加密

和认证。而SSL VPN技术则是近几年发展起来的新技术，它能够更加有效地进行访问控制，而且安全易用，不需要高额的费用。该技术主要具有以下几个特点：第一，安全性高；第二，便于扩展；第三，简单性；第四，兼容性好。

我认为军队院校校园网VPN技术应主要采用SSL VPN技术。首先因为其安全性好，由于IPSec VPN部署在网络层，因此，内部网络对于通过VPN的使用者来说是透明的，只要是通过了IPSec VPN网关，它可以在内部为所欲为。因此，IPSec VPN的目标是建立起来一个虚拟的IP网，而无法保护内部数据的安全，而SSL VPN则是接入企业内部的应用，而不是企业的整个网络。它可以根据用户的不同身份，给予不同的访问权限，从而保护具体的敏感数据。并且数据加密的安全性有加密算法来保证。对于军队机构，安全保密应该是主要考虑的方面之一。第二，SSL VPN与IPSec VPN相比，具有更好的可扩展性。可以随时根据需要，添加需要VPN保护的服务器。而IPSec VPN在部署时，要考虑网络的拓扑结构，如果增添新的设备，往往要改变网络结构，那么IPSec VPN就要重新部署。第三，操作的复杂度低，它不需要配置，可以立即安装、立即生效，另外客户端不需要麻烦的安装，直接利用浏览器中内嵌的SSL协议就行。第四，SSL VPN的兼容性很好，而不像传统的IPSec VPN对客户端采用的操作系统版本具有很高的要求，不同的终端操作系统需要不同的客户端软件。此外，使用SSL VPN还具有更好的经济性，这是因为只需要在总部放置一台硬件设备就可以实现所有用户的远程安全访问接入；但是对于IPSec VPN来说，每增加一个需要访问的分支就需要添加一个硬件设备。

虽然SSL VPN的优点很多，但也可结合使用IPSec VPN技术。因为这两种技术目前应用在不同的领域。SSL VPN考虑的是应用软件的安全性，更多应用在Web的远程安全接入方面；而IPSec VPN是在两个局域网之间通过网络建立的安全连接，保护的是点对点之间的通信，并且，IPSec VPN工作于网络层，不局限于Web应用。它构建了局域网之间的虚拟专用网络，对终端站点间所有传输数据进行保护，而不管是哪类网络应用，安全和应用的扩展性更强。可用于军校之间建立虚拟专用网，进行安全可靠的信息传送。4结论

总之，VPN是一项综合性的网络新技术，目前的运用还不是非常地普及，在军队网中的应用更是少之又少。但是随着全军三期网的建成以及我军信息化建设的要求，VPN技术将会发挥其应有的作用。

参考文献

[1] 谢希仁.计算机网络(第4版).北京：电子工业出版社，2003

[2] Cisco Systems公司，Cisco Networking Academy Program.思科网络技术学院教程(第一、二学期)(第三版).北京：人民邮电出版社，2004

2.vpn技术论文 篇二

VPN (Virtual Private Network) 即虚拟专用网, 是专用网络在公共网络如Internet上的扩展。VPN通过私有隧道技术在公用网络上虚拟一条点到点的专线从而达到数据安全传输的目的。VPN属于远程访问技术, 简单地说就是利用公网链路架设私有网络, 为了保证数据的安全, VPN服务器和客户机之间的通讯数据都进行了加密处理。有了数据加密, 就可以认为数据是在一条专用的数据链路上进行安全传输, 就如同专门架设了一个专用网络一样。但实际上VPN使用的是互联网上的公用链路, 因此只能称为虚拟专用网。即:VPN实质上就是利用加密技术在公网上封装出一个数据通讯隧道。有了VPN技术, 用户无论是在外地出差还是在家中办公, 只要能上互联网就能利用VPN非常方便地访问内网资源, 这就是为什么VPN在企业中应用得如此广泛的原因。VPN基本构架如图1所示。

2 VPN特点

安全性:VPN应保证通过公网传输的数据专用和安全性。在公用IP网络上建立一个点对点连接的逻辑隧道, 通过高强度的加密技术对经过隧道传输的敏感信息进行保护, 确保数据仅被指定用户了解, 从而保证数据的私有性和安全性。

(Qo S) 机制:VPN网应当为企业数据提供不同等级的服务质量保证。不同用户群对服务质量保证的要求各不相同。如对于移动办公用户, 提供广泛的连接和覆盖性是保证VPN服务的一个主要因素;而对于拥有众多分支机构的企业专线VPN网络, 交互式的内部企业网应用则要求网络能提供良好的稳定性;其它应用 (如视频等) 则对网络提出了更明确的要求, 如网络延时及误码率等。所有以上网络应用均要求网络根据需要提供不同等级的服务质量。Qo S机制具有通信处理机制以及供应 (Provisioning) 和配置 (Configuration) 机制, 通过Qo S机制对用户的网络资源分配进行控制以满足应用的需求。

可灵活扩充性:需要对日益增多的用户做出迅捷反应, 其中包括网络软、硬件的升级, 网络质量的保证和路由策略的维护并支持各种类型的传输媒介, 满足用户对新应用的需求。

可管理性:用户和ISP都可方便地进行管理、维护。VPN管理的目标为减小网络风险, 具有高扩展性、经济性、高可靠性等优点。事实上, VPN管理主要包括安全管理、设备管理、配置管理、访问控制列表管理、Qo S管理等内容。

3 VPN的分类

3.1 按应用类分类

access vpn: (DVPN) 解决公司员工在异地访问公司内网的问题, 提供身份验证、授权和记费的功能。

intranet vpn:通过公用网在各个路由器间建立VPN安全隧道连接来传输用户的私有网络数据。常用技术有GRE、Ipsec。

extranet vpn:利用VPN将企业网延伸至合作伙伴与客户。

3.2 按实现的层次分类

二层隧道协议:是将整个PPP帧封装在内部隧道中。

PPTP (point-to-point tunneling protocol) :由微软、朗讯、3COM公司支持, 该协议点到点协议在IP网络上的隧道封装。PPTP作为一种呼叫控制和管理协议, 用一种增强的GRE技术为传输的PPP报文提供流控和拥塞控制的封装服务。

L2F (layer 2 forwarding) :由CISCO和北方电信等公司, 支持对更高级协议链路层的隧道封装, 实现拨号服务器和拨号协议连接在物理位置上的分离。

L2TP (layer 2 tunneling protocol) :由IETF起草, 结合了以上两个协议的优点, 既可以用于实现拨号VPN, 也可以用于实现专线VPN。

三层隧道协议:起点和终点均在ISP内, 隧道内只携带第三层报文。

GRE (generic routing encapsulation) :用于实现任意一种网络层协议在另一种网络层协议上的封装。

Ipsec:不是一个单一的协议, 它给出IP网络上数据安全的一整套体系结构, 包括AH、ESP和IKE。

三层与二层相比, 优势在于安全性、可扩展性和可靠性。

4 VPN安全技术

由于虚拟隧道中传送的是用户间私有数据, 所以VPN用户对数据的安全性十分关注。

目前VPN主要采用隧道技术 (Tunneling) 、加解密技术 (Encryption&Decryption) 、密钥管理技术 (Key Management) 、用户与设备身份认证技术 (Authentication) 这四项技术来保证用户数据的安全。

4.1 隧道技术

在公网上建立一条虚拟传输隧道, 让用户数据包通过这条隧道传送。隧道能够实现多协议的封装, 增加了VPN应用的灵活性, 可以在无连接的IP网上提供点到点的逻辑通道。

4.2 加解密技术

应用加密隧道进一步保护了数据的私有性, 使数据在网上传送而不被非法的窥视和篡改。

4.3 密钥管理技术

密钥管理技术主要有SKIP与ISAKMP/OAKLEY。SKIP是利用Diffie Hellman的演算法则在公网上安全地传递密钥而不被非法窃取, 而在ISAKMP中用户双方都有公用、私用两把密钥。

4.4 身份认证技术

VPN可以使合法用户访问他们所需的企业资源, 同时禁止未授权的用户非法访问。

5 VPN基本原理

VPN的工作方式是指用户提出需求, ISP会根据用户的需求在公网上为其创建一条隧道, 所谓的隧道就是需要互通的VPN之间的公网路径。当用户的私有数据发送到运营商公共网络边缘时, 边缘设备就会对此用户的数据进行识别判断, 然后对该报文进行再封装。所谓再封装就是按照事先创建好的隧道所指定对端用户连接的公网的边缘设备, 通常就是封装对端设备的IP地址。这样用户数据在公网中传递时, 公网设备只检查其顶部封装公网数据进行转发判断, 而不检查用户的私有数据。当对端边缘设备收到此数据后, 判断出这是给本地某VPN的报文, 就去除公网数据的封装, 将还原后的用户数据发送给本地VPN用户, 这样, VPN就可以通过公共网络传递私网数据了。

6 结语

当然, 目前VPN还存在一些缺陷。如不同厂商的产品和解决方案并不总是相互兼容的。因此, 设备的混合搭配可能引起技术故障。总之, 随着互联网的发展和安全技术的完善, 企业的信息化进程不断加快。高效、安全可靠、经济的VPN技术将会迎来广阔的发展空间。

参考文献

[1]杨小平, 等.Internet应用基础教程[M].

[2]王达, 等.虚拟专用网 (VPN) 精解[M].北京:清华大学出版社, 2004.

[3]杨永斌.VPN技术应用研究[J].计算机科学, 2004 (10) .

3.浅谈MPLS VPN技术 篇三

【关键词】MPLS；VPN

【中图分类号】TP393 【文献标识码】A 【文章编号】1672-5158（2012）09-0074-01

1、MPLS VPN简介

随着网络经济的发展，企业对于自身网络的建设提出了越来越高的要求，主要表现在网络的灵活性、经济性、扩展性等方面。在这样的背景下，VPN以其独有的优势赢得了越来越多企业的青睐。利用公共网络来构建的私有专用网络称为虚拟私有网络（VPN，Virtual Private Network）。在公共网络上组建的VPN像企业现有的私有网络一样提供安全性和可管理性等。在所有的VPN技术中，MPLS VPN具有良好的可扩展性和灵活性，是目前发展最为迅速的VPN技术之一。

MPLS即多协议标签交换属于第三代网络架构，是新一代的IP高速骨干网络交换标准，由IETF所提出，由Cisco、3Com等网络设备大厂所主导。从MPLS字面上来看，它是一个可以在多种第二层媒质上进行标签交换的网络技术。这一技术结合了第二层的交换和第三层路由的特点，将第二层的基础设施和第三层路由有机地结合起来。第三层的路由在网络的边缘实施，在MPLS的网络核心则采用第二层交换。

2、MPLS VPN工作原理

MPLS是一种特殊的转发机制，它把进入网中的IP数据包分配标签，并通过标签的交换来实现IP数据包的转发。标签作为替代品，在网络内部MPLS在数据包所经过的路径沿途通过交换标签，而不是看数据包的IP包头来实现转发，当数据包要退出MPLS网络时，去掉数据包上的标签，继续按IP包的路由方式到达目的地。MPLSVPN有三种类型的路由器，CE路由器、PE路由器和P路由器，主要工作流程如下：

（1）CE到PE间通过IGP路由或BGP将用户网络中的路由信息通知PE，在PE上有对应于每个VPN的虚拟路由表VRF，类似有一台独立的路由器与CE进行连接。

（2）PE之间采用MP-BGP传送VPN路由信息以及相应的标签（VPN的标签，以下简称为内层标签），而在PE与P路由器之间则采用传统的IGP协议相互学习路由信息，采用LDP协议进行路由信息与标签（用于MPLS标签转发，以下称为外层标签）的绑定。到此时，CE、PE以及P路由器中基本的网络拓扑以及路由信息已经形成。PE路由器拥有了骨干网络的路由信息以及每一个VPN的路由信息VRF。

（3）当属于某一VPN的CE有数据进入时，在CE与PE连接的接口上可以识别出该CE属于哪一个VPN，进而到该VPN的VRF路由表中去读取下一跳的地址信息。同时，在前传的数据包中打上内层标签。下一跳地址为与该PE作对等的PE的地址，为了到达这个目的端的PE，在起始端PE中需读取MPLS骨干网络的路由信息，从而得到下一个P路由器的地址，同时采用LDP在用户前传数据包中打上用于MPLS标签交换的外层标签。

（4）在MPLS骨干网络中，初始PE之后的P均只读取外层标签的信息来决定下一跳，因此骨干网络中只是简单的标签交换。

（5）在达到目的端PE之前的最后一个P路由器时，将把外层标签去掉，读取内层标签，找到VPN，并送到相关的接口上，进而将数据传送到VPN的目的地址处。

（6）P路由器完全依据MPLS的标签来作出转发决定。由于P路由器完全不需要读取原始的数据包信息来作出转发决定，P路由器不需要拥有VPN的路由信息，因此P只需要参与骨干IGP的路由，不需要参加MP-BGP的路由。从MPLS VPN工作过程可见，MPLSVPN絲毫不改变CE和PE原有的配置，一旦有新的cE加入到网络时，只需在PE上简单配置，其余的改动信息由BGP自动通知到CE和P。

3、MPLS体系结构

（1）标签边界路由器LER是MPLS的入口/出口路由器，在MPLS域与其他网络边缘的标记交换路由器，主要功能是进行IP报文初始化处理、分类等第三层功能和标签绑定功能。在入口处将IP地址转换成标签，在出口处又将标堑恢复成IP地址。

（2）标签交换路由器LSR是支持标记交换协议的路由器，具有第三层转发分组和第二层交换分组的功能。它能运行传统的IP路由协议，并能执行一个特殊控制协议以与邻接的LSR协调标签的绑定信息。

（3）标签Label（如图3-1所示）

4、MPLS VPN在信息网络中的应用

基于MPLS技术平台实现的MPLS VPN，以其独具特色的优势赢得了越来越多的企业的青睐，令企业可以较少地关注网络的运行与维护，而更多地致力于企业的商业目标的实现。

MPLS是多协议标签交换协议的简称。MPLS VPN网络中，有三种设备：CE、PE和P路由器，CE是用户直接与服务提供商相连的边缘设备，可以是路由器、交换机或者终端；PE是骨干网中的边缘设备，它直接与用户的CE相连；P路由器是骨干网中不与CE直接相连的设备。P路由器并也不知道有VPN的存在，仅仅负责骨干网内部的数据传输，但其必须能够支持MPLS协议，并使能该协议；PE位于服务提供商网络的边缘，所有的VPN的构建、连接和管理工作都是在PE上进行的。

采用MPLS VPN技术可以把物理上单一的IP网络分解成逻辑上隔离的网络，并且每个VPN单独构成一个独立的地址空间，即VPN之间可以重用地址，在分配地址时不必考虑是否会与其他的VPN发生冲突，只需要考虑在本VPN之内不冲突即可，这样可以解决IP网络地址不足的问题，也方便网络的扩展和变更。

5、总结

4.VPN定义 篇四

开放分类： 互联网、网络、电脑、技术

VPN的英文全称是“Virtual Private Network”，翻译过来就是“虚拟专用网络”。顾名思义，虚拟专用网络我们可以把它理解成是虚拟出来的企业内部专线。它可以通过特殊的加密的通讯协议在连接在Internet上的位于不同地方的两个或多个企业内部网之间建立一条专有的通讯线路，就好比是架设了一条专线一样，但是它并不需要真正的去铺设光缆之类的物理线路。这就好比去电信局申请专线，但是不用给铺设线路的费用，也不用购买路由器等硬件设备。VPN技术原是路由器具有的重要技术之一，目前在交换机，防火墙设备或WINDOWS2000等软件里也都支持VPN功能，一句话，VPN的核心就是在利用公共网络建立虚拟私有网。

虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。下面我们结合本站有关思科及微软关于VPN方面的文章为大家介绍这方面的资讯，更多更丰富的相关方面内容我们将在以后日子里进行补充。

针对不同的用户要求，VPN有三种解决方案：远程访问虚拟网（Access VPN）、企业内部虚拟网（Intranet VPN）和企业扩展虚拟网（Extranet VPN），这三种类型的VPN分别与传统的远程访问网络、企业内部的Intranet以及企业网和相关合作伙伴的企业网所构成的Extranet（外部扩展）相对应。

======

虚拟专用网(VPN)被定义为通过一个公用网络(通常是因特网)建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。

虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。通过将数据流转移到低成本的压网络上，一个企业的虚拟专用网解决方案将大幅度地减少用户花费在城域网和远程网络连接上的费用。同时，这将简化网络的设计和管理，加速连接新的用户和网站。另外，虚拟专用网还可以保护现有的网络投资。随着用户的商业服务不断发展，企业的虚拟专用网解决方案可以使用户将精力集中到自己的生意上，而不是网络上。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。

目前很多单位都面临着这样的挑战：分公司、经销商、合作伙伴、客户和外地出差人员要求随时经过公用网访问公司的资源,这些资源包括:公司的内部资料、办公OA、ERP系统、CRM系统、项目管理系统等。现在很多公司通过使用IPSec VPN来保证公司总部和分支机构以及移动工作人员之间安全连接。

对于很多IPSec VPN用户来说，IPSec VPN的解决方案的高成本和复杂的结构是很头疼的。存在如下事实：在部署和使用软硬件客户端的时候，需要大量的评价、部署、培训、升级和支持，对于用户来说，这些无论是在经济上和技术上都是个很大的负担，将远程解决方案和昂贵的内部应用相集成，对任何IT专业人员来说都是严峻的挑战。由于受到以上IPSec VPN的限制，大量的企业都认为IPSec VPN是一个成本高、复杂程度高，甚至是一个无法实施的方案。为了保持竞争力，消除企业内部信息孤岛，很多公司需要在与企业相关的不同的组织和个人之间传递信息，所以很多公司需要找一种实施简便，不需改变现有网络结构，运营成本低的解决方案。

----从概念上讲，IP-VPN是运营商(即服务提供者)支持企业用户应用的方案。一个通用的方法可以适用于由一个运营商来支持的、涉及其他运营商网络的情况（如运营商的运营商）。

----图1给出了实现IP-VPN的一个通用方案。其中，CE路由器是用于将一个用户站点接入服务提供者网络的用户边缘路由器。而PE路由器则是与用户CE路由器相连的、服务提供者的边缘路由器。

----站点是指这样一组网络或子网，它们是用户网络的一部分，并且通过一条或多条PE/CE链路接至VPN。VPN是指一组共享相同路由信息的站点，一个站点可以同时位于不同的几个VPN之中。

----图2显示了一个服务提供者网络支持多个VPN的情况。如图2所示，一个站点可以同时属于多个VPN。依据一定的策略，属于多个VPN的站点既可以在两个VPN之间提供一定的转发能力，也可以不提供这种能力。当一个站点同时属于多个VPN时，它必须具有一个在所有VPN中唯一的地址空间。

----MPLS为实现IP-VPN提供了一种灵活的、具有可扩展性的技术基础，服务提供者可以根据其内部网络以及用户的特定需求来决定自己的网络如何支持IP-VPN。所以，在MPLS/ATM网络中,有多种支持IP-VPN的方法，本文介绍其中两种方法。

方案一

----本节介绍一种在公共网中使用MPLS提供IPVPN业务的方法。该方法使用LDP的一般操作方式，即拓扑驱动方式来实现基本的LSP建立过程，同时使用两级LSP隧道(标记堆栈)来支持VPN的内部路由。

----图3 给出了在MPLS/ATM核心网络中提供IPVPN业务的一种由LER和LSR构成的网络配置。

----LER(标记边缘路由器)

----LER是MPLS的边缘路由器，它位于MPLS/ATM服务提供者网络的边缘。对于VPN用户的IP业务量，LER将是VPN隧道的出口与入口节点。如果一个LER同时为多个用户所共享，它还应当具有执行虚拟路由的能力。这就是说，它应当为自己服务的各个VPN分别建立一个转发表，这是因为不同VPN的IP地址空间可能是有所重叠的。

----LSR(标记交换路由器)

----MPLS/ATM核心网络是服务提供者的下层网络，它为用户的IP-VPN业务所共享。

----建立IP-VPN区域的操作

----希望提供IP-VPN的网络提供者必须首先对MPLS域进行配置。这里的MPLS域指的就是IPVPN区域。作为一种普通的LDP操作，基本的LSP 建立过程将使用拓扑驱动方法来进行，这一过程被定义为使用基本标记的、基本的或是单级LSP建立。而对于VPN内部路由，则将使用两级LSP隧道（标记堆栈）。

----VPN成员

----每一个LER都有一个任务，即发现在VPN区域中为同一 IPVPN服务的其他所有LER。由于本方案最终目的是要建立第二级MPLS隧道，所以 LER发现对等实体的过程也就是LDP会话初始化的过程。每一个LER沿着能够到达其他 LER的每一条基本网络LSP，向下游发送一个LDP Hello消息。LDP Hello消息中会包含一个基本的MPLS标记，以方便这些消息能够最终到达目的LER。

----LDP Hello消息实际上是一种查询消息，通过这一消息，发送方可以获知在目的LER处是否存在与发送方LSR同属一个VPN的LER（对等实体）。新的Hello消息相邻实体注册完成之后，相关的两个LER之间将开始发起LDP会话。随后，其中一个LER将初始化与对方的TCP连接。当TCP连接建立完成而且必要的初始化消息交互也完成之后，对等LER之间的会话便建立起来了。此后，双方各自为对方到自己的LSP 隧道提供一个标记。如果LSP隧道是嵌套隧道，则该标记将被推入标记栈中，并被置于原有的标记之上。

----VPN成员资格和可到达性信息的传播

----通过路由信息的交换，LER可以学习与之直接相连的、用户站点的IP地址前缀。LER需要找到对等LER，还需要找到在一个VPN中哪些LER 是为同一个VPN服务的。LER将与其所属的VPN区域中其他的LER建立直接的LDP会话。换言之，只有支持相同VPN的LER之间才能成功地建立LDP会话。

----VPN内的可到达性

----最早在嵌套隧道中传送的数据流是LER之间的路由信息。当一个LER被配置成一个IPVPN的一员时，配置信息将包含它在VPN内部要使用的路由协议。在这一过程中，还可能会配置必要的安全保密特性，以便该LER能够成为其他LER的相邻路由器。在VPN内部路由方案中，每一次发现阶段结束之后，每一个LER 都将发布通过它可以到达的、VPN用户的地址前缀。

----IP分组转发

----LER之间的路由信息交互完成之后，各个LER都将建立起一个转发表，该转发表将把VPN用户的特定地址前缀(FEC转发等价类)与下一跳联系起来。当收到的IP分组的下一跳是一个LER时，转发进程将首先把用于该LER的标记（嵌套隧道标记）推入标记栈，随后把能够到达该LER的基本网络LSP上下一跳的基本标记推入标记分组，接着带有两个标记的分组将被转发到基本网络LSP中的下一个LSR；当该分组到达目的LER时，最外层的标记可能已经发生许多次的改变，而嵌套在内部的标记始终保持不变；当标记栈弹出后，继续使用嵌套标记将分组发送至正确的LER。在LER上，每一个VPN使用的嵌套标记空间必须与该LER所支持的其他所有VPN使用的嵌套标记空间不同。

方案二

----本节将对一种在公共网中使用MPLS和多协议边界网关协议来提供IP-VPN业务的方法进行介绍，其技术细节可以参见RFC 2547。

----图1 给出了在MPLS/ATM核心网络中提供IPVPN业务的、由LER和LSR构成的网络配置，图4则给出了使用RFC 2547的网络模型。

----提供者边缘(PE)路由器

----PE路由器是与用户路由器相连的服务提供者边缘路由器。

----实际上，它就是一个边缘LSR（即MPLS网络与不使用 MPLS的用户或服务提供者之间的接口）。

----用户边缘(CE)路由器

----CE路由器是用于将一个用户站点接至PE路由器的用户边缘路由器。在这一方案中，CE路由器不使用MPLS，它只是一台IP路由器。CE不必支持任何VPN的特定路由协议或信令。

----提供者(P)路由器

----P路由器是指网络中的核心LSR。

----站点（Site）

----站点是指这样一组网络或子网：它们是用户网络的一部分，通过一条或多条PE/CE链路接至VPN。VPN是指一组共享相同路由信息的站点。一个站点可以同时位于不同的几个VPN之中。

----路径区别标志

----服务提供者将为每一个VPN分配一个唯一的标志符，该标志符称为路径区别标志（RD）,它对应于服务提供者网络中的每一个Intranet或Extranet 都是不同的。PE路由器中的转发表里将包含一系列唯一的地址，这些地址称为VPNIP 地址，它们是由RD与用户的IP地址连接而成的。VPNIP地址对于服务提供者网络中的每一个端点都是唯一的，对于VPN中的每一个节点（即VPN中的每一个PE路由器），转发表中都将存储有一个条目。

----连接模型

----图4给出了MPLS/BGP VPN的连接模型。

----从图4中可以看出，P路由器位于MPLS网络的核心。PE路由器将使用MPLS与核心MPLS网络通信，同时使用IP路由技术来与CE路由器通信。P与PE路由器将使用IP路由协议（内部网关协议）来建立MPLS核心网络中的路径，并且使用LDP实现路由器之间的标记分发。

----PE路由器使用多协议BGP4来实现彼此之间的通信，完成标记交换和每一个VPN策略。除非使用了路径映射标志（route reflector），否则PE 之间是BGP全网状连接。特别地，图4中的PE处于同一自治域中，它们之间使用内部BGP（iBGP）协议。

----P路由器不使用BGP协议而且对VPN一无所知，它们使用普通的MPLS协议与进程。

----PE路由器可以通过IP路由协议与CE路由器交换IP路径，也可以使用静态路径。在CE与PE路由器之间使用普通的路由进程。CE路由器不必实现MPLS或对VPN有任何特别了解。

----PE路由器通过iBGP将用户路径分发到其他的PE路由器。为了实现路径分发，BGP使用VPN-IP地址（由RD和IPv4地址构成）。这样，不同的VPN可以使用重叠的IPv4地址空间而不会发生VPN-IP地址重复的情况。

----PE路由器将BGP计算得到的路径映射到它们的路由表中，以便把从CE路由器收到的分组转发到正确的LSP上。

----这一方案使用两级标记：内部标记用于PE路由器对于各个VPN的识别，外部标记则为MPLS网络中的LSR所用——它们将使用这些标记把分组转发给正确的PE。

----建立IP-VPN区域的操作

----希望提供IP-VPN业务的网络提供者必须按照连接需求对网络进行设计与配置，这包括：PE必须为其支持的VPN以及与之相连的CE所属的VPN 进行配置；MPLS网络或者是一个路径映射标志中的PE路由器之间必须进行对等关系的配置；为了与CE进行通信，还必须进行普通的路由协议配置；为了与MPLS核心网络进行通信，还必须进行普通的MPLS配置（如LDP、IGP）。另外，P路由器除了要求能够支持MPLS之外，还要能够支持VPN。

>----VPN成员资格和可到达性信息的传播

----PE路由器使用IP路由协议或者是静态路径的配置来交换路由信息，并且通过这一过程获得与之直接相连的用户网站IP地址前缀。

----PE路由器通过与其BGP对等实体交换VPN-IP地址前缀来获得到达目的VPN站点的路径。另外，PE路由器还要通过BGP与其PE路由器对等实体交换标记，以此确定PE路由器间连接所使用的LSP。这些标记用作第二级标记，P 路由器看不到这些标记。

----PE路由器将为其支持的每一个VPN分别建立路由表和转发表，与一个PE路由器相连的CE路由器则根据该连接所使用的接口选择合适的路由表。

----IP分组转发

----PE之间的路由信息交换完成之后，每一个PE都将为每一个VPN建立一个转发表，该转发表将把VPN用户的特定地址前缀与下一跳PE路由器联系起来。

----当收到发自CE路由器的IP分组时，PE路由器将在转发表中查询该分组对应的VPN。

----如果找到匹配的条目，路由器将执行以下操作：

----如果下一跳是一个PE路由器，转发进程将首先把从路由表中得到的、该PE路由器所对应的标记（嵌套隧道标记）推入标记栈；PE路由器把基本的标记推入分组，该标记用于把分组转发到到达目的PE路由器的、基本网络LSP上的第一跳；带有两级标记的分组将被转发到基本网络LSP上的下一个LSR。

----P路由器（LSR）使用顶层标记及其路由表对分组继续进行转发。当该分组到达目的LER时，最外层的标记可能已发生多次改变，而嵌套在内部的标记保持不变。

----当PE收到分组时，它使用内部标记来识别VPN。此后，PE将检查与该VPN相关的路由表，以便决定对分组进行转发所要使用的接口。

----如果在VPN路由表中找不到匹配的条目，PE路由器将检查Internet路由表（如果网络提供者具备这一能力）。如果找不到路由，相应分组将被丢弃。

----VPNIP转发表中包含VPNIP地址所对应的标记，这些标记可以把业务流路由至VPN中的每一个站点。这一过程由于使用的是标记而不是IP 地址，所以在企业网中，用户可以使用自己的地址体系，这些地址在通过服务提供者网络进行业务传输时无需网络地址翻译（NAT）。通过为每一个VPN使用不同的逻辑转发表，不同的VPN业务将可以被分开。使用BGP协议，交换机可以根据入口选择一个特定的转发表，该转发表可以只列出一个VPN有效目的地址。

----为了建立企业的Extranet，服务提供者需要对VPN之间的可到达性进行明确指定(可能还需要进行NAT配置)。

----安全

5.典型应用之--VPN篇 篇五

VPN技术简介

1.1 概述

VPN的全称是Virtual Private Network，翻译过来一般称为虚拟专用网络。其主要作用就是利用公用网络（主要是互联网）将多个私有网络或网络节点连接起来。通过公用网络进行连接可以大大降低通信的成本。

一般来说两台连接上互联网的计算机只要知道对方的IP地址，是可以直接同通信的。不过位于这两台计算机之后的网络是不能直接互联的，原因是这些私有的网络 和公用网络使用了不同的地址空间或协议，即私有网络和公用网络之间是不兼容的。VPN的原理就是在这两台直接和公用连接的计算机之间建立一个条专用通道。连个私有网络之间的通信内容经过这两台计算机或设备打包通过公用网络的专用通道进行传输，然后在对端解包，还原成私有网络的通信内容转发到私有网络中。这 样对于两个私有网络来说公用网络就像普通的通信电缆，而接在公用网络上的两台计算机或设备则相当于两个特殊的线路接头。

由于VPN连接的特点，私有网络的通信内容会在公用网络上传输，出于安全和效率的考虑一般通信内容需要加密或压缩。而通信过程的打包和解包工作则必须通过 一个双方协商好的协议进行，这样在两个私有网络之间建立VPN通道是需要一个专门的过程，依赖于一系列不同的协议。这些设备和相关的设备和协议组成了一个 VPN系统。一个完整的VPN系统一般包括以下几个单元：

VPN服务器，一台计算机或设备用来接收和验证VPN连接的请求，处理数据打包和解包工作。VPN客户端，一台计算机或设备用来发起VPN连接的请求，也处理数据的打包和解包工作。VPN数据通道，一条建立在公用网络上的数据连接。

注意所谓的服务器和客户端在VPN连接建立之后在通信的角色是一样的，服务器和客户端的区别在于连接是由谁发起的而已。这个概念在两个网络之间的连接尤其明显。

1.2 应用情景

我们可以设想一下的情景：公司的总部在广州，有两个办事处分别在香港和上海，两个办事处的网络需要和总部连接，同时办事处之间也需要相互连接。解决这种问题以前只有一种办法就是分别申请两条专线连接总部和两个办事处，两个办事处之前的通信通过总部转发。长途专线的费用是非常昂贵的，在以前也只有银行、证券 公司以及大象企业才有能力负担。

有了互联网和VPN技术之后解决办法可以变成这样，总部通过一条专线和互联网连接，两个办事处分别在本地申请互联网的拨号连接。然后通过在互联网上建立两条VPN通道将三个网络连接起来。这样可以省去长途专线费用。不过互联网的专线连接也不便宜，这种解决方案暂时也只有大中型公司可以负担得起。

那么为什么总部必须使用互联网专线呢，这里牵涉到一个VPN的技术细节，在建立VPN通道的时候，连接的发起者必须知道接受连接的服务器的IP地址，就像我们打电话之前必须知道对方的号码一样。而普通的拨号连接每次上网的IP地址都不相同。不过现在有一个很好的解决方案，通过花生壳动态域名服务可以让一个拨号连接获得的IP地址与一个固定的域名绑定在一起，当建立VPN连接的时候，连接建立者只需要输入连接接受方的域名就可以了。不过接受方的IP地址怎么改变，这个域名都可以解释到接受方当前的Ip地址上。这样就可以省去一条互联网的专线连接，大大降低了通信的费用，这样VPN的解决方案中小型企业也可以负担得起了。

二、规划VPN接入环境

VPN不但可以用于上述网络对网络的连接，也可以用于单台计算机到网络的连接。在使用VPN的时候我们需要规划一下我们应用环境。

首先我们需要列出需要连接的节点以及节点的类型，以及之间的访问关系，即由谁发起连接和向谁发起连接的问题。这样我们可以确认在我们环境中确定哪些地方需要安装VPN服务器，哪些地方仅仅是配置客户端就可以了。

对于需要安装VPN服务器的地方我们需要一条比较高速的互联网线路，一个固定的IP地址，或者使用花生壳配置一个固定的域名。

下面的介绍时基于微软间操作系统进行的。微软的操作系统中提供VPN服务器功能的有Window 2000 Server和Advance Server，以及比较久的NT Server 4.0，当然这些操作系统也可以作为VPN的客户端。其他的则全部都可以作为VPN客户端。（Window95必须安装Dialup Network 1.3组件）。

确定了服务器和客户端之后，我们还需要规划个节点的IP地址。每个私有网络必须使用不同的地址段，在各自的地址段中必须划分出一部分用于VPN的接入。

以下的介绍我们都是围绕着Window2000的配置进行的。

三、配置VPN接入服务器

3.1 安装花生壳

只有VPN服务器才需要安装花生壳服务，在规划环境的时候必须为每台VPN服务器申请一个Oray护照。这样每台服务器就会有一个不同的域名。在客户端拨号的时候可以通过域名控制连接不同的网络。

一般建议花生壳直接安装在VPN服务器上，并配置为自动启动。这样只要服务器在线域名一定有效。当然如果VPN服务器也提供互联网共享的话也可以将花生壳安装在内部网络的任何一台计算机上，不过必须保证这台计算机不会在服务器在线的时候关机，以免域名失效。

3.2 网络连接准备

作为VPN服务器实际上就是一台路由器，一般需要安装两块或以上的网卡，其中一块网卡负责和互联网连接。另一块网卡则连接内部网络。在进行下面的配置之前首先必须检测服务器和互联网的连接是否正常。

另外很重要的一点就是必须保证服务器和互联网连接的网卡获得的是一个公网地址，即接入的ISP不是使用地址转换技术。检测的办法如下：

在命令行输入ipconfig，检查和互联网连接的网卡的IP地址，如果其地址在下列范围之一则不是公网地址，ISP使用了地址转换技术提供接入服务。这样就必须更换ISP。10.0.0.0-10.255.255.255 172.16.0.0-172.31.255.255 192.168.0.0-192.168.255.255

3.3 配置路由和远程访问服务

激活路由和远程访问服务

在安装Window 2000 服务器或高级服务器的时候路由和远程服务是默认安装好的，不过没有激活罢了，因此我们需要首先激活路由和远程访问服务。步骤如下：

在程序/管理工具中，点击“路由和远程访问”。打开路由和远程访问服务管理界面，见图3-1

图3-1

当前的管理界面中尚未添加服务器，所接下来需要将本机添加进去，方法是在服务器状态上按鼠标右键，选择添加服务器，打开添加服务器的对话框，选择“这台计算机”，见图3-2

图3-2

按确定之后管理界面出现本机，并且处于停止状态，见图3-3

图3-3

接下来需要激活本机的路由和远程访问服务，在本级服务器上按鼠标右键，选择配置和激活路由和远程访问服务。系统打开路由和远程访问服务安装向导。按下一步出现想到的功用设置页面，见图3-4。

图3-4 选择手动配置服务器，实际上这是最简单的配置方法，我们暂时撇开复杂的概念，这个选择实际上已经将大部分我们需要的功能完成了。按下一步然后完成，系统会询问是否启动路由和远程访问服务，回答是。然后我们又回到管理界面。见图3-5

图3-5

接下来我们所需要改动的地方只有一个就是配置VPN接入是分配的IP地址。

配置接入的IP地址

VPN服务在接受了VPN客户端的接入之后就会为客户端分配一个IP地址，客户端就是用这个地址和服务器或服务器连接的内部网络通信。这个地址需要实现分配好，这个地址可以有两种配置方法：

1、使用和内部网络相同的地址段，这样远程接入的VPN客户就和直接连接在内部网络的计算机一样，其网络配置和在公司内部的计算机没有什么区别。这种方式适合于单机拨入的情况，但不太适合网络对网络的VPN互联。

2、使用和内部网络不同的地址段，这时候VPN服务器相当于一台路由器，比较和与网络对网络的互联。对于单机就比较麻烦，对于接入移动式办公的电脑最好还是选用第一种方式。

配置接入地址段的方法也有两种方法，一种是利用DHCP服务器，另一种就是直接在接入服务器上配置。前一种方法需要介绍DHCP服务器的使用，这里就暂不介绍了。以下是配置接入服务器自己的地址段的方法。

在接入服务器上按鼠标右键，点击属性，打开服务器的属性对话框，选择IP页面，如图3-6

图3-6 选择“静态地址”，按添加打开静态地址配置对话框，如图3-7

图3-7

输入其实抵制和结束地质，注意地址数量必须比最大的接入数量多一个，因为服务总是占用地址段的第一个地址。

3.4 配置访问权限

用户必须有相应的权限才能使用接入服务，这个权限是在用户管理工具中配置的。如果使用活动目录则必须使用活动目录的拥护和计算机进行管理，如果使用本机的账号则使用计算机管理中的用户和组的功能。

远程拨入的权限是一个个用户配置的，默认情况下所有用户都没有拨入权限。我们在用户管理中选择需要拨入的用户，打开属性对话框，选择拨入页面。在远程访问权限中选择“允许访问”即可，见图3-8

图3-8

四、配置客户端

这里介绍的客户端指的是单台PC连接VPN服务器的情况，即单机和网络的连接。关于网络到网络的连接我将在后续的文章介绍。

单机连接2000Server做的VPN服务器非常简单，和平时Modem拨号上网差不多。区别在于原来填写电话号码的地方现在必须填写VPN服务器的 Ip地址或域名。另外我们需要记住VPN是一种建立在已有的网络连接上的一种专用连接，即人和VPN都需要一个底层的网络连接，我们可以在建立VPN拨号 连接的时候指定底层连接（如连接互联网的拨号连接），这样在拨VPN的时候计算机会自动拨互联网的连接。当然你如果使用多种互联网连接或直接使用局域网类 型的连接。可以不指定这个底层连接，在拨VPN之前自己手工拨号上互联网。建立VPN拨号连接的方法如下：

首先打开控制面板里面的网络和拨号连接，点击新建连接。系统会打开拨号连接向导，按下一步，进入网络连接类型的选择，如图4-1

图4-1

选择通过Internet连接到专用网络，按下一步，进入公用网络配置，见图4-2

图4-2

如果你使用的局域网形式的接入选择，不拨初始连接，如果你使用一个固定的拨号网络连接互联网，则选择自动拨此初始连接，并选择对应的拨号连接名称。按下一步，进入目标地址配置，见图4-3

图4-3

输入VPN服务器的IP地址或域名，如果你的VPN服务器采用的是动态连接，这时花生壳就显示出其威力了，只需要输入了VPN服务器的动态域名，我们就可以省去大笔固定线路的租用费用了。按下一步，输入新建VPN连接的名称，见图4-4

图4-4

6.VPN网络建设解决方案 篇六

第一章 项目背景

随着宽带Internet网络的普及，信息化的发展正在改变着企事业传统的运作方式。越来越多的企事业单位都在逐步依靠计算机网络、应用系统来开展业务，同时利用Internet来开展更多的商务活动。企业正越来越多的应用了计算机和各类应用软件和系统来处理单位业务，如何将位于全局不同地点的分支机构网络互联互通、数据安全上传，就成了必须解决的问题。

远程私有网络的需求促进了VPN的诞生和高速发展。以往专用线路(如DDN)的高昂成本和长期的使用费，以及跨运营商的不便成为公司很大的成本负担，很多公司无法利用这种方式来建立自己的专网，而在Internet发展的早期，窄带线路的通信质量、带宽、以及资费，都无法满足企事业长期利用其来构建自身远程私有网络的需要，很多企业只能暂时放弃利用网络来实现更好的信息应用的念头。但到了今天，各种宽带上网方式(如ADSL、城域网等)都在迅速发展，带宽和通信质量已经不在是瓶颈，资费也极大的降低，完全能够高效率、低成本的解决企业网络互联互通的需要。

企业为了达到本单位内部信息共享，构成统一的网络工作平台，需要将总部与分支机构组成虚拟局域网，在企业总部布置UTT5830GVPN防火墙，分支机构通过UTT2512建立虚拟局域网，为统一的网络工作平台提供基础平台，同时实现企业上网行为管理、综合管理系统、内部OA、内部其他应用系统等的数据共享和远程应用，保证信息网络的安全。

企业为了达到本单位内部信息共享，构成统一的网络工作平台，需要将总部与分支机构组成虚拟局域网，在企业总部布置UTT5830GVPN防火墙，分支机构通过UTT2512建立虚拟局域网，为统一的网络工作平台提供基础平台，同时实现企业上网行为管理、综合管理系统、内部OA、内部其他应用系统等的.数据共享和远程应用，保证信息网络的安全。

第二章 建设目标和设计原则

系统的总体设计思想是要体现技术的先进性和决策的前瞻性，企业的VPN网络构建着力于“实用性、高起点、前瞻性、扩展性”。具体的我们遵循了以下原则：

2.1. 建设目标

在完成了企业的VPN网络建设后，将为应用系统提供统一、安全、高速、可靠的网络传

输平台，具体能够实现以下目标： 1)网络互联

可实现“企业总部-分公司-分支机构”及各分公司、分支机构之间的安全互连，为内部应用系统的运行提供互连互通、安全可控、自主管理的网络平台。 2)独立性

能够根据用户的需要有选择地对需要的业务数据进行加密，不需要加密的数据和Internet接入业务可以不受到影响。 3)网络安全性

安全周边安全：VPN安全网关融合了VPN、路由、上网行为管理、防火墙等功能，可对外来及内部攻击进行主动防御，更能保证整个网络平台的安全及每个局域网内部的安全。上海艾泰有限公司VPN安全网关其内置防火墙其抗攻击能力优异。

信息传输安全：通过建立VPN加密隧道、采用有别于光纤及DDN专线所采用之传统明文传输的密文传输方式，保证信息传输的完整性、保密性及不可抵赖性，把安全真正掌握在用户手里。

可靠性：上海艾泰科技VPN安全网关性能稳定可靠，其高达60000小时的平均无故障工作时间可为系统长期稳定运行提供强有力的保证。 4)系统扩展和变更的灵活性

系统VPN网络的扩展非常容易，同时又不会带来安全隐患。 5)网络通讯效率

此次网络建设所选用的设备具有很高的加密速率，不会影响网络的通讯效率。为各种网络应用提供统一管理的、透明的网络传输平台。 6)高性价比

本项目实施后不但解决了很高的信息数据传输安全性，而且不会影响网络传输性能。本方案不仅满足今天的需求，而且支持未来扩展。本方案提供了完整的思路，具有极高的性能价格比和投资回报率。

2.2.设计目标

对企业的VPN网络平台的总体设计思想是要体现技术的先进性和决策的前瞻性，着力于“实用性、可靠性、安全型、前瞻性、扩展性”建设系统。具体的我们遵循了以下原则：

1)安全性原则

上海艾泰科技有限公司坚持以高度安全性为基本原则，有效地防止网络的非法侵入和信息的泄露，保护关键的数据不被非法窃取、篡改或泄漏，使数据具有极高的可信性。 2)可靠性原则

这套网络安全系统是用户的主营业务平台。它的稳定可靠关系重大，信息平台的运行不稳定甚至瘫痪将严重影响企业的正常运作，将给为用户带来不便和不可低估的损失。因此可靠性是平台运行的首要保证。

上海艾泰科技有限公司将采用相应的手段保证系统、网络和数据的稳定可靠性，关键节点采用负载均衡、平台备份就是其中的重要策略。

3)先进性原则

在系统建设方案，具有相当的先进性，并能够通过对VPN设备和软件的不断升级，确保系统的技术领先性和持续发展性。

4)实用性原则

系统在设计上一方面将满足双向的数据传送、实时处理的要求;另一方面，又采用国际上最先进的技术，使系统完成后，保持一定时期的领先地位。

实用性原则既要做到先进技术与现有成熟技术相兼顾，又要使系统的高性能与实用性相结合。

5)可扩展性原则

系统建设应该是统一规划、分步实施、逐步完善的的过程。我企业在该方案的设计中充分考虑它的可扩展性，使系统能够方便的扩展。

6)可推广性原则

该方案具有很强的推广性，可根据实际情况逐步扩展网点数量。

7)易管理性原则

7.vpn技术论文 篇七

关键词：局域网,构建,技术,VPN,传输协议,PPTP,应用

1 高速局域网的技术抉择

1.1 布线技术

目前安装的大多数网络布线是非屏蔽双绞线, 可以满足千兆以太网和速率高于1.2Gbps的异步传输模式的要求。在局域网建设中, 数据速率并不是转向光纤的决定因素。成本比较也说明了在连接工作站的水平信道中, 非屏蔽双绞线仍继续作为介质选择的主要原因。但是, 距离限制则是楼层连接和园区内互连使用光纤的必然选择。另外, 带宽需求的爆炸性增长, 要求网络布线必须考虑未来的平滑升级。因此, 在结构化布线中, 由于主干安装条件一般非常困难, 网络规划人员必须考虑使用最高容量的缆线。在XIAO区网建设中, 一般要求光纤到小区、光纤到大楼。

1.2 链路层技术

千兆以太网可以提供1Gbps的通信带宽, 而且具有以太网的简易性, 用户现有的投资可以在合理的初始开销上延续到千兆以太网。这样, 千兆以太网在当前以太网基础之上可以平滑过渡, 综合平衡了现有的端点工作站、管理工具和培训基础等各种因素, 致使总体开销非常低, 是目前局域网建设中的首选技术。

1.3 多层交换技术

交换技术从目前来讲可分为第二层交换和多层交换, 但严格说来, 交换意味着源与目的地址之间的连接, 在第二层以上的任何技术都不能说是交换技术。负载均衡在很大程度上已经取代了第四层交换一词, 正像应用认知一词在很大程度上取代了第七层交换一样。第二层交换是OSI第二层或称MAC层的交换。这就是我们通常意义上的交换机, 技术上已经非常成熟, 它工作在OSI7层模型的第二层, 即数据链路层, 交换以MAC地址为基础。第三层交换或称网络层交换, 处于OSI协议的第三层, 它提供了更高层的服务, 如路由功能等。第三层交换借助于线速交换技术, 把路由功能集成到交换机中, 在各个网络层次上都能实现线速交换, 性能有大幅度的提高。第四层交换技术利用第三层和第四层包头中的信息来识别应用数据流会话。利用这些信息, 第四层交换机可以做出向何处转发会话传输流的智能决定。由于做到了这点, 用户的请求可以根据不同的规则被转发到“最佳”的服务器上。因此, 第四层交换技术是用于传输数据和实现多台服务器间负载均衡的理想机制。现在已经把多层交换技术描述成能够支持各种局域网体系结构的一个集成的、完整的解决方案, 它将交换技术和路由技术智能化地有机结合起来。多层交换技术结合了局域网交换技术和路由技术最优的特征, 具有比传统基于路由器的局域网主干更高的性能价格比, 以及更强大的灵活性, 是高速局域网实现的基础。

2 VPN技术的应用

VPN (Virtual Private Network) :虚拟专用网络, 是一门网络新技术, 为我们提供了一种通过公用网络安全地对企业内部专用网络进行远程访问的连接方式。我们知道一个网络连接通常由三个部分组成:客户机、传输介质和服务器。VPN同样也由这三部分组成, 不同的是VPN连接使用隧道作为传输通道, 这个隧道是建立在公共网络或专用网络基础之上的, 如:Internet或Intranet。

要实现VPN连接, 企业内部网络中必须配置有一台基于Windows NT或Windows2000Server的VPN服务器, VPN服务器一方面连接企业内部专用网络, 另一方面要连接到Internet, 也就是说VPN服务器必须拥有一个公用的IP地址。当客户机通过VPN连接与专用网络中的计算机进行通信时, 先由ISP (Internet服务提供商) 将所有的数据传送到VPN服务器, 然后再由VPN服务器负责将所有的数据传送到目标计算机。VPN使用三个方面的技术保证了通信的安全性:隧道协议、身份验证和数据加密。客户机向VPN服务器发出请求, VPN服务器响应请求并向客户机发出身份质询, 客户机将加密的响应信息发送到VPN服务器, VPN服务器根据用户数据库检查该响应, 如果账户有效, VPN服务器将检查该用户是否具有远程访问权限, 如果该用户拥有远程访问的权限, VPN服务器接受此连接。在身份验证过程中产生的客户机和服务器公有密钥将用来对数据进行加密。

3 企业VPN外包和自建的选择

由于VPN低廉的使用成本和良好的安全性, 许多大型企业及其分布在各地的办事处或分支机构成了VPN顺理成章的用户群。对于那些最需要VPN业务的中小企业来说, 一样有适合的VPN策略。当然, 不论何种VPN策略, 它们都有一个基本目标:在提供与现有专用网络基础设施相当或更高的可管理性、可扩展性以及简单性的基础之上, 进一步扩展公司的网络连接。

3.1 大型企业自建VPN

大型企业用户由于有雄厚的资金投入做保证, 可以自己建立VPN, 将VPN设备安装在其总部和分支机构中, 将各个机构低成本且安全地连接在一起。企业建立自己的VPN, 最大的优势在于高控制性, 尤其是基于安全基础之上的控制。一个内部VPN能使企业对所有的安全认证、网络系统以及网络访问情况进行控制, 建立端到端的安全结构, 集成和协调现有的内部安全技术。企业还可以确保得到业内最好的技术以满足自身的特殊需要, 这要优于ISP所提供的普通服务。而且, 建立内部VPN能使企业有效节省VPN的运作费用。企业可以节省用于外包管理设备的额外费用, 并且能将现有的远程访问和端到端的网络集成起来, 以获取最佳性价比的VPN。

3.2 中小型企业外包VPN

虽然每个中小型企业都是相对集中和固定的, 但是部门与部门之间、企业与其业务相关企业之间的联系依然需要廉价而安全的信息沟通, 在这种情况下就用得上外包VPN。电信企业、IDC目前提供的VPN服务, 更多的是面向中小企业, 因为可以整合现有资源, 包括网络优势、托管和技术力量来为中小企业提供整体的服务。中小型企业如果自己购买VPN设备, 则财务成本较高, 而且一般中小型企业的IT人员短缺、技能水平不足、资金能力有限, 不足以支持VPN, 所以, 外包VPN是较好的选择。

8.浅谈VPN技术在企业中的应用 篇八

【摘要】随着信息时代的来临，企业的发展也日益呈现出结构分布化、产业多元化、管理信息化的特征。计算机网络技术不断提升，信息管理范围不断扩大，网络安全逐渐成为一个潜在的巨大问题，网络的安全性、保密性、可靠稳定性，对于企业和一些跨区域专门从事特定业务的部门，从经济实用性、网络安全性、数据传输可靠性上来看，VPN技术无疑是一种不错的选择。

【关键词】VPN 网络 实现技术

【中图分类号】G718 【文献标识码】A 【文章编号】1672-5158（2013）01—0180-02

1 前言

随着企业规模逐渐扩大，远程用户、远程办公人员、分支机构、合作伙伴也在不断增多，关键业务的需求增加，出现了一种通过公共网络（如Internet）来建立自己的专用网络的技术，这种技术就是虚拟专用网（简称VPN）。VPN集灵活性、安全性、经济性以及扩展性于一身，可充分满足分支机构、移动办公安全通信的需求。

2 VPN技术概述

VPN英文全称是“Virtual Private Network”（虚拟专用网络”）。VPN被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定隧道。使用这条隧道可以对数据进行几倍加密达到安全使用互联网的目的。

2.1 VPN的功能

VPN至少应能提供如下功能：加密数据，以保证通过公网传输的信息即使被他人截获也不会泄露；信息认证和身份认证，保证信息的完整性、合法性，并能鉴别用户的身份；提供访问控制，不同的用户有不同的访问权限。

2.2 VPN的分类

VPN既是一种组网技术，又是一种网络安全技术。按照不同的方法主要有以下几种划分方式。

（1）按实现技术划分，基于隧道的VPN、基于虚电路的VPN和MPLSVPN

（2）应用范围划分，远程接入VPN（Accesss VPN）、Intranet VPN和Extranet VPN等3种应用模式。

（3）远程接入VPN用于实现移动用户或远程办公室安全访问企业网络；Intranet VPN用于组建跨地区的企业内部互联网络；Extranet VPN用于企业与客户、合作伙伴之间建立互联网络。

（4）按隧道协议划分，VPN可划分为第2层隧道协议和第3层隧道协议。PPTP、L2P和L2TP都属于第2层隧道协议，IPSec属于第3层隧道协议，MPLS跨越第2层和第3层。VPN的实现往往将第2层和第3层协议配合使用，如L2TP/IPSec。当然，还可根据具体的协议来进一步划分VPN类型，如PPTP VPN、L2TP VPN、IPSec VPN和MPLS VPN等。

2.3 VPN的特点

在实际应用中，一个高效、成功的VPN应具备以下几个特点：

（1）安全保障

VPN应保证通过公用网络平台传输数据的专用性和安全性。在非面向连接的公用IP网络上建立一个逻辑的、点对点的连接，称之为建立一个隧道，可以利用加密技术对经过隧道传输的数据进行加密，以保证数据仅被指定的发送者和接收者了解，从而保证了数据的私有性和安全性。在安全性方面，由于VPN直接构建在公用网上，实现简单、方便、灵活，但同时其安全问题也更为突出。企业必须确保其VPN上传送的数据不被攻击者窥视和篡改，并且要防止非法用户对网络资源或私有信息的访问。

（2）服务质量保证（QoS）

VPN网应当为企业数据提供不同等级的服务质量保证。不同的用户和业务对服务质量保证的要求差别较大。如移动办公用户，提供广泛的连接和覆盖性是保证VPN服务的一个主要因素；而对于拥有众多分支机构的专线VPN网络，交互式的内部企业网应用则要求网络能提供良好的稳定性；对于其它应用（如视频等）则对网络提出了更明确的要求，如网络时延及误码率等。所有以上网络应用均要求网络根据需要提供不同等级的服务质量。在网络优化方面，构建VPN的另一重要需求是充分有效地利用有限的广域网资源，为重要数据提供可靠的带宽。广域网流量的不确定性使其带宽的利用率很低，在流量高峰时引起网络阻塞，产生网络瓶颈，使实时性要求高的数据得不到及时发送；而在流量低谷时又造成大量的网络带宽空闲。QoS通过流量预测与流量控制策略，可以按照优先级分配带宽资源，实现带宽管理，使得各类数据能够被合理地先后发送，并预防阻塞的发生。

（3）可扩充性和灵活性

VPN必须能够支持通过Intranet和Extranet的任何类型的数据流，方便增加新的节点，支持多种类型的传输媒介，可以满足同时传输语音、图像和数据等新应用对高质量传输以及带宽增加的需求。

（4）可管理性

从用户角度和运营商角度应可方便地进行管理、维护。在VPN管理方面，VPN要求企业将其网络管理功能从局域网无缝地延伸到公用网，甚至是客户和合作伙伴。虽然可以将一些次要的网络管理任务交给服务提供商去完成，企业自己仍需要完成许多网络管理任务。所以，一个完善的VPN管理系统是必不可少的。VPN管理的目标为：减小网络风险、具有高扩展性、经济性、高可靠性等优点。事实上，VPN管理主要包括安全管理、设备管理、配置管理、访问控制列表管理、QoS管理等内容。

2.4 VPN的技术解决方案

VPN有三种解决方案，用户可以根据自己的情况进行选择。这三种解决方案分别是：远程访问虚拟网（AccessVPN）、企业内部虚拟网（IntranetVPN）和企业扩展虚拟网（ExtranetVPN），这三种类型的VPN分别与传统的远程访问网络、企业内部的Intranet以及企业网和相关合作伙伴的企业网所构成的Extranet相对应。

（1）如果企业的内部人员移动或有远程办公需要，或者商家要提供B2C的安全访问服务，就可以考虑使用AccessVPN。

AccessVPN通过一个拥有与专用网络相同策略的共享基础设施，提供对企业内部网或外部网的远程访问。AccessVPN能使用户随时、随地以其所需的方式访问企业资源。AccessVPN包括模拟、拨号、ISDN、数字用户线路（xDSL）、移动IP和电缆技术，能够安全地连接移动用户、远程工作者或分支机构。

（2）如果要进行企业内部各分支机构的互联，使用IntranetVPN是很好的方式。

越来越多的企业需要在全国乃至世界范围内建立各种办事机构、分公司、研究所等，各个分公司之间传统的网络连接方式一般是租用专线。显然，在分公司增多、业务开展越来越广泛时，网络结构趋于复杂，费用昂贵。利用VPN特性可以在Internet上组建世界范围内的IntranetVPN。

（3）如果是提供B2B之间的安全访问服务，则可以考虑EXtranetVPN。

随着信息时代的到来，各个企业越来越重视各种信息的处理。希望可以提供给客户最快捷方便的信息服务，通过各种方式了解客户的需要，同时各个企业之间的合作关系也越来越多，信息交换日益频繁。Internet为这样的一种发展趋势提供了良好的基础，而如何利用Internet进行有效的信息管理，是企业发展中不可避免的一个关键问题。利用VPN技术可以组建安全的Extranet，既可以向客户、合作伙伴提供有效的信息

服务，又可以保证自身的内部网络的安全。

3 结语

在过去无论因特网的远程接入还是专线接入，以及骨干传输的带宽都很小，QoS更是无法保障，造成企业用户宁愿花费大量的金钱去投资自己的专线网络或是宁愿花费巨额的长途话费来提供远程接入。现在随着ADSL、DWDM、MPLS等新技术的大规模应用和推广，上述问题将得到根本改善和解决。可以想象，当我们消除了所有这些障碍因素后，VPN将会成为我们网络生活的主要组成部分。同时，VPN会加快企业网的建设步伐，使得集团公司不仅仅只是建设内部局域网，而且能够很快地把全国各地分公司的局域网连起来，从而真正发挥整个网络的作用。VPN对推动整个电子商务、电子贸易将起到不可低估的作用。

参考文献

[1]秦柯.Cisco IPSec VPN实战指南人民邮电出版社，2012

[2]王占京.VPN网络技术与业务应用国防工业出版社2012