虛擬專用網路(VPN技術):簡介,工作原理,工作過程,分類標準,按VPN的協定分類

虛擬專用網路(VPN)的功能是：在公用網路上建立專用網路，進行加密通訊。在企業網路中有廣泛套用。VPN網關通過對數據包的加密和數據包目標地址的轉換實現遠程訪問。VPN可通過伺服器、硬體、軟體等多種方式實現。

基本介紹

中文名：虛擬專用網路
外文名：Virtual Private Network
簡稱：虛擬專網、VPN
用途：加密通訊
一般類型：4GIPVPN
連線協定：PPTP、L2TP、IPSec

簡介,工作原理,工作過程,分類標準,按VPN的協定分類,按VPN的套用分類,按所用的設備類型進行分類,按照實現原理劃分,實現方式,優缺點,優點,缺點,相關法律法規及政策,

簡介

VPN屬於遠程訪問技術，簡單地說就是利用公用網路架設專用網路。例如某公司員工出差到外地，他想訪問企業區域網路的伺服器資源，這種訪問就屬於遠程訪問。

在傳統的企業網路配置中，要進行遠程訪問，傳統的方法是租用DDN（數字數據網）專線或幀中繼，這樣的通訊方案必然導致高昂的網路通訊和維護費用。對於移動用戶（移動辦公人員）與遠端個人用戶而言，一般會通過撥號線路（Internet）進入企業的區域網路，但這樣必然帶來安全上的隱患。

讓外地員工訪問到區域網路資源，利用VPN的解決方法就是在區域網路中架設一台VPN伺服器。外地員工在當地連上網際網路後，通過網際網路連線VPN伺服器，然後通過VPN伺服器進入企業區域網路。為了保證數據安全，VPN伺服器和客戶機之間的通訊數據都進行了加密處理。有了數據加密，就可以認為數據是在一條專用的數據鏈路上進行安全傳輸，就如同專門架設了一個專用網路一樣，但實際上VPN使用的是網際網路上的公用鏈路，因此VPN稱為虛擬專用網路，其實質上就是利用加密技術在公網上封裝出一個數據通訊隧道。有了VPN技術，用戶無論是在外地出差還是在家中辦公，只要能上網際網路就能利用VPN訪問區域網路資源，這就是VPN在企業中套用得如此廣泛的原因。

工作原理

通常情況下，VPN網關採取雙網卡結構，外網卡使用公網IP接入Internet。
網路一(假定為公網internet)的終端A訪問網路二(假定為公司區域網路)的終端B，其發出的訪問數據包的目標地址為終端B的內部IP位址。
網路一的VPN網關在接收到終端A發出的訪問數據包時對其目標地址進行檢查，如果目標地址屬於網路二的地址，則將該數據包進行封裝，封裝的方式根據所採用的VPN技術不同而不同，同時VPN網關會構造一個新VPN數據包，並將封裝後的原數據包作為VPN數據包的負載，VPN數據包的目標地址為網路二的VPN網關的外部地址。
網路一的VPN網關將VPN數據包傳送到Internet，由於VPN數據包的目標地址是網路二的VPN網關的外部地址，所以該數據包將被Internet中的路由正確地傳送到網路二的VPN網關。
網路二的VPN網關對接收到的數據包進行檢查，如果發現該數據包是從網路一的VPN網關發出的，即可判定該數據包為VPN數據包，並對該數據包進行解包處理。解包的過程主要是先將VPN數據包的包頭剝離，再將數據包反向處理還原成原始的數據包。
網路二的VPN網關將還原後的原始數據包傳送至目標終端B，由於原始數據包的目標地址是終端B的IP，所以該數據包能夠被正確地傳送到終端B。在終端B看來，它收到的數據包就和從終端A直接發過來的一樣。
從終端B返回終端A的數據包處理過程和上述過程一樣，這樣兩個網路內的終端就可以相互通訊了。

通過上述說明可以發現，在VPN網關對數據包進行處理時，有兩個參數對於VPN通訊十分重要：原始數據包的目標地址（VPN目標地址）和遠程VPN網關地址。根據VPN目標地址，VPN網關能夠判斷對哪些數據包進行VPN處理，對於不需要處理的數據包通常情況下可直接轉發到上級路由；遠程VPN網關地址則指定了處理後的VPN數據包傳送的目標地址，即VPN隧道的另一端VPN網關地址。由於網路通訊是雙向的，在進行VPN通訊時，隧道兩端的VPN網關都必須知道VPN目標地址和與此對應的遠端VPN網關地址。

工作過程

VPN的基本處理過程如下：

①要保護主機傳送明文信息到其他VPN設備。

②VPN設備根據網路管理員設定的規則，確定是對數據進行加密還是直接傳輸。

③對需要加密的數據，VPN設備將其整個數據包（包括要傳輸的數據、源IP位址和目的lP地址）進行加密並附上數據簽名，加上新的數據報頭（包括目的地VPN設備需要的安全信息和一些初始化參數）重新封裝。

④將封裝後的數據包通過隧道在公共網路上傳輸。

⑤數據包到達目的VPN設備後，將其解封，核對數字簽名無誤後，對數據包解密。

分類標準

根據不同的劃分標準，VPN可以按幾個標準進行分類劃分：

按VPN的協定分類

VPN的隧道協定主要有三種，PPTP、L2TP和IPSec，其中PPTP和L2TP協定工作在OSI模型的第二層，又稱為二層隧道協定；IPSec是第三層隧道協定。

按VPN的套用分類

（1）Access VPN（遠程接入VPN）：客戶端到網關，使用公網作為骨幹網在設備之間傳輸VPN數據流量；

（2）Intranet VPN（內聯網VPN）：網關到網關，通過公司的網路架構連線來自同公司的資源；

（3）Extranet VPN（外聯網VPN）：與合作夥伴企業網構成Extranet，將一個公司與另一個公司的資源進行連線。

按所用的設備類型進行分類

網路設備提供商針對不同客戶的需求，開發出不同的VPN網路設備，主要為交換機、路由器和防火牆：

（1）路由器式VPN：路由器式VPN部署較容易，只要在路由器上添加VPN服務即可；

（2）交換機式VPN：主要套用於連線用戶較少的VPN網路；

按照實現原理劃分

（1）重疊VPN：此VPN需要用戶自己建立端節點之間的VPN鏈路，主要包括：GRE、L2TP、IPSec等眾多技術。

（2）對等VPN：由網路運營商在主幹網上完成VPN通道的建立，主要包括MPLS、VPN技術。

實現方式

VPN的實現有很多種方法，常用的有以下四種：

1．VPN伺服器：在大型區域網路中，可以通過在網路中心搭建VPN伺服器的方法實現VPN。

2．軟體VPN：可以通過專用的軟體實現VPN。

3．硬體VPN：可以通過專用的硬體實現VPN。

4．集成VPN：某些硬體設備，如路由器、防火牆等，都含有VPN功能，但是一般擁有VPN功能的硬體設備通常都比沒有這一功能的要貴。

優缺點

優點

VPN能夠讓移動員工、遠程員工、商務合作夥伴和其他人利用本地可用的高速寬頻網連線（如DSL、有線電視或者WiFi網路）連線到企業網路。此外，高速寬頻網連線提供一種成本效率高的連線遠程辦公室的方法。
設計良好的寬頻VPN是模組化的和可升級的。VPN能夠讓套用者使用一種很容易設定的網際網路基礎設施，讓新的用戶迅速和輕鬆地添加到這個網路。這種能力意味著企業不用增加額外的基礎設施就可以提供大量的容量和套用。
VPN能提供高水平的安全，使用高級的加密和身份識別協定保護數據避免受到窺探，阻止數據竊賊和其他非授權用戶接觸這種數據。
完全控制，虛擬專用網使用戶可以利用ISP的設施和服務，同時又完全掌握著自己網路的控制權。用戶只利用ISP提供的網路資源，對於其它的安全設定、網路管理變化可由自己管理。在企業內部也可以自己建立虛擬專用網。

缺點

企業不能直接控制基於網際網路的VPN的可靠性和性能。機構必須依靠提供VPN的網際網路服務提供商保證服務的運行。這個因素使企業與網際網路服務提供商簽署一個服務級協定非常重要，要簽署一個保證各種性能指標的協定。
企業創建和部署VPN線路並不容易。這種技術需要高水平地理解網路和安全問題，需要認真的規劃和配置。因此，選擇網際網路服務提供商負責運行VPN的大多數事情是一個好主意。
不同廠商的VPN產品和解決方案總是不兼容的，因為許多廠商不願意或者不能遵守VPN技術標準。因此，混合使用不同廠商的產品可能會出現技術問題。另一方面，使用一家供應商的設備可能會提高成本。
當使用無線設備時，VPN有安全風險。在接入點之間漫遊特別容易出問題。當用戶在接入點之間漫遊的時候，任何使用高級加密技術的解決方案都可能被攻破。

虛擬專用網路