虛擬專用網路(VPN技術)

虛擬專用網路

VPN技術一般指本詞條

虛擬專用網路(VPN)的功能是:在公用網路上建立專用網路,進行加密通訊。在企業網路中有廣泛套用。VPN網關通過對數據包的加密和數據包目標地址的轉換實現遠程訪問。VPN可通過伺服器、硬體、軟體等多種方式實現。

基本介紹

  • 中文名:虛擬專用網路
  • 外文名:Virtual Private Network
  • 簡稱:虛擬專網、VPN
  • 用途:加密通訊
  • 一般類型:4GIPVPN
  • 連線協定PPTPL2TPIPSec
簡介,工作原理,工作過程,分類標準,按VPN的協定分類,按VPN的套用分類,按所用的設備類型進行分類,按照實現原理劃分,實現方式,優缺點,優點,缺點,相關法律法規及政策,

簡介

VPN屬於遠程訪問技術,簡單地說就是利用公用網路架設專用網路。例如某公司員工出差到外地,他想訪問企業區域網路伺服器資源,這種訪問就屬於遠程訪問。
在傳統的企業網路配置中,要進行遠程訪問,傳統的方法是租用DDN數字數據網)專線或幀中繼,這樣的通訊方案必然導致高昂的網路通訊和維護費用。對於移動用戶(移動辦公人員)與遠端個人用戶而言,一般會通過撥號線路(Internet)進入企業的區域網路,但這樣必然帶來安全上的隱患。
讓外地員工訪問到區域網路資源,利用VPN的解決方法就是在區域網路中架設一台VPN伺服器。外地員工在當地連上網際網路後,通過網際網路連線VPN伺服器,然後通過VPN伺服器進入企業區域網路。為了保證數據安全,VPN伺服器和客戶機之間的通訊數據都進行了加密處理。有了數據加密,就可以認為數據是在一條專用的數據鏈路上進行安全傳輸,就如同專門架設了一個專用網路一樣,但實際上VPN使用的是網際網路上的公用鏈路,因此VPN稱為虛擬專用網路,其實質上就是利用加密技術在公網上封裝出一個數據通訊隧道。有了VPN技術,用戶無論是在外地出差還是在家中辦公,只要能上網際網路就能利用VPN訪問區域網路資源,這就是VPN在企業中套用得如此廣泛的原因。

工作原理

  1. 通常情況下,VPN網關採取雙網卡結構,外網卡使用公網IP接入Internet
  2. 網路一(假定為公網internet)的終端A訪問網路二(假定為公司區域網路)的終端B,其發出的訪問數據包的目標地址為終端B的內部IP位址。
  3. 網路一的VPN網關在接收到終端A發出的訪問數據包時對其目標地址進行檢查,如果目標地址屬於網路二的地址,則將該數據包進行封裝,封裝的方式根據所採用的VPN技術不同而不同,同時VPN網關會構造一個新VPN數據包,並將封裝後的原數據包作為VPN數據包的負載,VPN數據包的目標地址為網路二的VPN網關的外部地址。
  4. 網路一的VPN網關將VPN數據包傳送到Internet,由於VPN數據包的目標地址是網路二的VPN網關的外部地址,所以該數據包將被Internet中的路由正確地傳送到網路二的VPN網關。
  5. 網路二的VPN網關對接收到的數據包進行檢查,如果發現該數據包是從網路一的VPN網關發出的,即可判定該數據包為VPN數據包,並對該數據包進行解包處理。解包的過程主要是先將VPN數據包的包頭剝離,再將數據包反向處理還原成原始的數據包。
  6. 網路二的VPN網關將還原後的原始數據包傳送至目標終端B,由於原始數據包的目標地址是終端B的IP,所以該數據包能夠被正確地傳送到終端B。在終端B看來,它收到的數據包就和從終端A直接發過來的一樣。
  7. 從終端B返回終端A的數據包處理過程和上述過程一樣,這樣兩個網路內的終端就可以相互通訊了。
通過上述說明可以發現,在VPN網關對數據包進行處理時,有兩個參數對於VPN通訊十分重要:原始數據包的目標地址(VPN目標地址)和遠程VPN網關地址。根據VPN目標地址,VPN網關能夠判斷對哪些數據包進行VPN處理,對於不需要處理的數據包通常情況下可直接轉發到上級路由;遠程VPN網關地址則指定了處理後的VPN數據包傳送的目標地址,即VPN隧道的另一端VPN網關地址。由於網路通訊是雙向的,在進行VPN通訊時,隧道兩端的VPN網關都必須知道VPN目標地址和與此對應的遠端VPN網關地址。

工作過程

VPN的基本處理過程如下:
①要保護主機傳送明文信息到其他VPN設備。
②VPN設備根據網路管理員設定的規則,確定是對數據進行加密還是直接傳輸。
③對需要加密的數據,VPN設備將其整個數據包(包括要傳輸的數據、源IP位址和目的lP地址)進行加密並附上數據簽名,加上新的數據報頭(包括目的地VPN設備需要的安全信息和一些初始化參數)重新封裝。
④將封裝後的數據包通過隧道在公共網路上傳輸。
⑤數據包到達目的VPN設備後,將其解封,核對數字簽名無誤後,對數據包解密。

分類標準

根據不同的劃分標準,VPN可以按幾個標準進行分類劃分:

按VPN的協定分類

VPN的隧道協定主要有三種,PPTPL2TPIPSec,其中PPTP和L2TP協定工作在OSI模型的第二層,又稱為二層隧道協定;IPSec是第三層隧道協定。

按VPN的套用分類

(1)Access VPN(遠程接入VPN):客戶端到網關,使用公網作為骨幹網在設備之間傳輸VPN數據流量;
(2)Intranet VPN(內聯網VPN):網關到網關,通過公司的網路架構連線來自同公司的資源;
(3)Extranet VPN(外聯網VPN):與合作夥伴企業網構成Extranet,將一個公司與另一個公司的資源進行連線。

按所用的設備類型進行分類

網路設備提供商針對不同客戶的需求,開發出不同的VPN網路設備,主要為交換機路由器防火牆
(1)路由器式VPN:路由器式VPN部署較容易,只要在路由器上添加VPN服務即可;
(2)交換機式VPN:主要套用於連線用戶較少的VPN網路;

按照實現原理劃分

(1)重疊VPN:此VPN需要用戶自己建立端節點之間的VPN鏈路,主要包括:GREL2TPIPSec等眾多技術。
(2)對等VPN:由網路運營商在主幹網上完成VPN通道的建立,主要包括MPLS、VPN技術。

實現方式

VPN的實現有很多種方法,常用的有以下四種:
1.VPN伺服器:在大型區域網路中,可以通過在網路中心搭建VPN伺服器的方法實現VPN。
2.軟體VPN:可以通過專用的軟體實現VPN。
3.硬體VPN:可以通過專用的硬體實現VPN。
4.集成VPN:某些硬體設備,如路由器防火牆等,都含有VPN功能,但是一般擁有VPN功能的硬體設備通常都比沒有這一功能的要貴。

優缺點

優點

  1. VPN能夠讓移動員工、遠程員工、商務合作夥伴和其他人利用本地可用的高速寬頻網連線(如DSL、有線電視或者WiFi網路)連線到企業網路。此外,高速寬頻網連線提供一種成本效率高的連線遠程辦公室的方法。
  2. 設計良好的寬頻VPN是模組化的和可升級的。VPN能夠讓套用者使用一種很容易設定的網際網路基礎設施,讓新的用戶迅速和輕鬆地添加到這個網路。這種能力意味著企業不用增加額外的基礎設施就可以提供大量的容量和套用。
  3. VPN能提供高水平的安全,使用高級的加密和身份識別協定保護數據避免受到窺探,阻止數據竊賊和其他非授權用戶接觸這種數據。
  4. 完全控制,虛擬專用網使用戶可以利用ISP的設施和服務,同時又完全掌握著自己網路的控制權。用戶只利用ISP提供的網路資源,對於其它的安全設定、網路管理變化可由自己管理。在企業內部也可以自己建立虛擬專用網。

缺點

  1. 企業不能直接控制基於網際網路的VPN的可靠性和性能。機構必須依靠提供VPN的網際網路服務提供商保證服務的運行。這個因素使企業與網際網路服務提供商簽署一個服務級協定非常重要,要簽署一個保證各種性能指標的協定。
  2. 企業創建和部署VPN線路並不容易。這種技術需要高水平地理解網路和安全問題,需要認真的規劃和配置。因此,選擇網際網路服務提供商負責運行VPN的大多數事情是一個好主意。
  3. 不同廠商的VPN產品和解決方案總是不兼容的,因為許多廠商不願意或者不能遵守VPN技術標準。因此,混合使用不同廠商的產品可能會出現技術問題。另一方面,使用一家供應商的設備可能會提高成本。
  4. 當使用無線設備時,VPN有安全風險。在接入點之間漫遊特別容易出問題。當用戶在接入點之間漫遊的時候,任何使用高級加密技術的解決方案都可能被攻破。

相關法律法規及政策

2003年4月,信息產業部頒發了《電信業務分類目錄》,取消了國際電信業務的分類,同時將虛擬專用網業務自基礎電信業務中分離出來,成為獨立的增值電信業務分類。但是此處的“虛擬專用網”概念與行業內的VPN業務是不一樣的。新的《電信業務分類目錄》中對該分類的解釋是:國內網際網路虛擬專用網業務(IP-VPN)是指經營者利用自有的或租用公用網際網路網路資源,採用TCP/IP協定,為國內用戶定製網際網路閉合用戶群網路的服務。這種分類的解釋強調了兩個特點,一個是利用網際網路網路資源,一個是採用TCP/IP協定。這種解釋是與當時的市場狀況所對應的,當時關注的是基於互連網的IPSec VPN,雖然該解釋可以基本涵蓋後出現的SSL VPN模式,但並沒有關注MPLS VPN。
2006年1月,信息產業部發布《關於兩項增值電信業務及國內多方通信服務的通告》,正式開放“國內網際網路虛擬專用網業務”和“線上數據處理與交易處理業務”兩項增值電信業務,上述兩項增值電信業務由商用試驗轉為正式商用。
2013年,工業與信息化部公布的《電信業務分類目錄(徵求意見稿)》中仍然沒有對此作出任何改變。
2015年1月27日,工信部回應VPN被封事件,表示一些不良信息應該按照中國法律進行管理。工信部此前發布規定,在中國提供VPN服務的公司必須登記註冊,否則將“不會受到中國法律的保護”。
2017年1月,工信部出台了《關於清理規範網際網路網路結構服務市場的通知》,《通知》主要是為了更好地規範市場的行為,規範的對象主要是未經電信主管部門批准,無國際通信業務經營資質的企業和個人,租用國際專線或者VPN,違規開展跨境電信業務經營活動。這些規定主要是對那些無證經營的、不符合規範的進行清理,對於依法依規的企業和個人不會帶來什麼影響。
關於VPN的問題,工信部信息通信發展司司長聞庫補充稱,在中國經營相關業務應該按照中國的法律法規來進行申請許可,這實際上在全世界很多國家都是這樣做的。在美國、在歐洲、在亞洲都是這樣做的,各個國家的管理方式也不盡相同。在中國三大運營商給老百姓提供服務方面做了大量工作,網速不斷提升,取得了很好的成效。
聞庫表示,特別是數字經濟方面,大街小巷特別是捷運口邊上的共享腳踏車等等,說明網路覆蓋是非常完善的,套用是日益廣泛的。同時我們也會關注老百姓的一些需求。但是通過網路來傳播有害甚至是暴恐信息,是中國法律所不允許的。

相關詞條

熱門詞條

聯絡我們