VPN（虚拟专用网络）技术综述

在国外，VPN目前已成为全社会的信息基础设施，企业端应用也大多基于IP，在Internet上构筑应用系统已成为必然趋势，因此基于IP的虚拟专用网业务获得了极大的增长空间。在国内，虚拟专用网也得到迅猛的发展。

有机构预测，2004年美国的VPN业务收入将从2000年的65亿美元，升至180亿美元，年复合增长率高达44%；至2008年中国的VPN市场收入将从2002年的2.55亿美元增长至105亿美元，年复合增长率将达到145%。

但是我国的VPN应用要远落后于国外发达国家的水平。目前应用主要集中在跨国公司的国内分支机构、部分用户规模较大的外企、金融领域以及与IT相关的企业之中。

VPN分类

根据VPN的服务类型，可以将VPN分为Access VPN、Intranet VPN和Extranet VPN三类。

◆ Access VPN（远程访问虚拟专网）

在该方式下远端用户拨号接入到用户本地的ISP，采用VPN技术在公众网上建立一个虚拟的通道到公司的远程接入端口。这种应用既可适应企业内部人员移动和远程办公的需要，又可用于商家提供B2C（企业对客户）的安全访问服务。

◆ Intranet VPN（企业内部虚拟专网）

在公司两个异地机构的局域网之间在公众网上建立VPN，通过Internet这一公共网络将公司在各地分支机构的LAN连到公司总部的LAN，以便公司内部的资源共享、文件传递等，可以节省DDN等专线所带来的高额费用。

◆ Extranet VPN（扩展的企业内部虚拟专网）

在企业网与相关合作伙伴的企业网之间采用VPN技术互连，与Intranet VPN相似，但由于是不同公司的网络相互通信，所以要更多地考虑设备的互连、地址的协调、安全策略的协商等问题。公司的网络管理员还应该设置特定的访问控制表ACL（Access Control List），根据访问者的身份、网络地址等参数来确定相应的访问权限、开放部分资源而非全部资源给外联网的用户。

Extranet VPN通过使用一个专用连接的共享基础设施，将客户、供应商、合作伙伴或兴趣群体连接到企业内部网。企业拥有与专用网络的相同政策，包括安全、服务质量（QoS）、可管理性和可靠性。

VPN在Internet中的应用

◆ 全球Internet接入

由于VPN可以用基于Internet的拨号替代专用拨号设施，因此企业可以同时减少线路费用和设备投资。总的运行费用可以节省60%或更多。VPN可以使远端用户通过本地呼叫首先连接NSP（网络服务提供商），然后接入企业网络中。话务量通过NSP的网络传送到企业的Internet网关，企业网中的内置安全功能与企业防火墙一起确保用户的认证、保密性和数据完整性。

企业可以使用VPN为在外地出差的员工提供“全球本地接入”。选择一个具有全球POP（邮局协议）的NSP或在几个NSP处建立企业账户，无论企业员工身在何处，都可以通过本地呼叫接入企业网络。全球Internet接入也可以为客户和企业合作伙伴提供接入外联网(Extranet)资源的安全措施。

在多数情况下，这些企业的用户都已经连接到Internet，并且具有接入到Extranet所必需用VPN性能，其中包括升级桌面联网软件或激活现有的软件功能。

在此类VPN中，可以利用Windows NT拨号联网或特殊VPN软件或Modem卡，由基于LAN或拨号VPN客户机开启隧道。设在总部或另一中央位置的隧道终端设备或防火墙上隧道交换机负责终接隧道。公司可以从中央位置控制用户授权和其它安全功能。远程用户在隧道终接点上虚拟地插入企业网络，而其实际的位置将随使用的防火墙类型而变。

1　Access VPN结构图

在使用单个防火墙的情况下，插入点是部署防火墙的地方，即企业Internet接入路由器。在双防火墙配置的情况下，插入点通常是在外防火墙和内防火墙之间的网段，称为“非管制区(DMZ)”。在以上任何一种情况下，远程用户都将接入到在网络边缘有连接点的网络资源中。

可选隧道交换机在全球Internet接入中可增加安全性和灵活性。在这种情况下，可在企业外联网路由器上或DMZ中的隧道交换机终接来话隧道，并且在内部网络中开启一条隧道终端设备的新隧道。远程用户虚拟地插入防火墙内的网络，获得更多的网络资源。其优点如下：

①可支持多种应用，无需在防火墙上打开多个孔；

②来自合作伙伴和客户的话务量可以与远程工作的员工的话务量隔离开；

③远程用户可以接入传统网络协议和系统；

④公司的分支机构在共享Internet接口的同时，还可以控制他们自己的用户授权和接入策略；

⑤远程用户可以成为虚拟局域网的成员。

◆ 拨号接入托管

公司将远程接入托管给NSP，不但可以减少通信费用和设备投资，而且可以减少终端用户的通信费用和设备投资，可以减少终端客户的支持费用。NSP把有关VPN的诸多事项进行打包之后，一并出售给公司。

对于移动用户和家庭办公者的好处是他们不需要具有隧道功能的网络软件，而只需用传统的方法简单地拨入本地NSP即可。

在此类VPN中，NSP的POP中的接入集中器开启隧道。隧道终端设备或企业DMZ上的隧道交换机终接隧道。同样隧道交换也可用于上述全球Internet接入，其优点是：具有跨越防火墙到多种应用和协议的安全接入的能力和对来自雇员、用户、合作伙伴在相同Internet接口上的话务量进行区分和应用合适的安全性的能力。

　　2　Intranet VPN结构图

　　3　Extranet VPN结构图

　　◆ 分支机构的虚拟租用线路

　　公司用虚拟租用线路连接其分支机构可以节省专用线路费用的50～70%，并且可以立刻连接到其新的分支机构。虚拟租用线路通过本地NSP的连接替代了长途通信链路，减少了通信费用。由于在本地NSP的单一连接可以同时提供到企业网络和Internet的接入，因此，同样减少了设备和管理费用。由于费用的节省，虚拟租用线路可以形成安全的网状网络，大多数公司在经济上都可以承担得起。公司可以从NSP那里作为一揽子业务购买虚拟租用线路，也可以自己安装和维护设备，仅由NSP完成传输工作。

　　在此类VPN中，由在分支办公室的接入路由器开启隧道。隧道终接设备或位于中央企业DMZ的隧道交换机终接隧道。用于分支机构的连接可以是任何永久性链路或符合带宽要求的按需拨号链路。在这方面，虚拟租用线路可提供比直接的帧中继或ISDN连接更多的灵活性。

　　如果来话Internet隧道是由隧道交换机终接的，则应在内部网络上建立一个到隧道终接器的新安全隧道。隧道交换机使虚拟租用线路可以支持传统网络协议上提供的应用，和在防火墙上有执行限制的应用。另外，交换机还允许雇员临时地转移到其它分支办公室，但仍保留VLAN的成员身份。

　　使用VPN的优点

　　◆ 降低费用

　　首先远程用户可以通过向当地的ISP申请账户登陆到Internet，以Internet作为隧道与企业内部专用网络相连，通信费用大幅度降低；其次企业可以节省购买和维护通讯设备的费用。

　　◆ 增强安全性

　　VPN通过使用点到点协议用户级身份验证的方法进行验证，对于敏感的数据，可以使用VPN连接通过VPN服务器将高度敏感的数据地址物理地进行分隔，只有企业Intranet上拥有适当权限的用户才能通过远程访问建立与VPN服务器的VPN连接，并且可以访问敏感部门网络中受到保护的资源。所有的流量均经过加密和压缩后在网络中传输，为用户信息提供了最高的安全性保护。

　　◆ 高度灵活性

　　用户不论是在家中、在出差途中、或是在其他任何环境中，只要该用户能够接入Internet，便能够安全地接入企业网内部。既不受地域限制，也不受接入方式限制。

　　◆ 带宽

　　用户可以选择使用本地服务供应商所能够提供的任何宽带接入技术，不论是ADSL、Cable Modem，还是在信息化小区或酒店中使用以太网接入。

　　◆ 网络协议支持

　　VPN支持最常用的网络协议，基于IP、IPX和NetBEUI协议，网络中的客户机都可以很容易得使用VPN。这意味着通过VPN连接可以远程运行依赖于特殊网络协议的应用程序。

　　◆ IP地址安全

　　因为VPN是加密的，VPN数据包在Internet中传输时，Internet上的用户只看到公用的IP地址，看不到VPN使用的协议。因此，利用Internet作为传输载体，采用VPN技术，实现企业网宽带远程访问是一个非常理想的企业网远程宽带访问解决方案。

　　随着虚拟运营商进入VPN服务领域，以及更多的电信业务运营的ISP浮出水面，国内企业对VPN的认识在逐步加深。现在，国内的VPN应用已经出现向银行、保险、运输、大型制造与连锁企业迅速扩散的趋势，这既是一种技术的跟进，也是市场发展的必然。在不远的将来，虚拟专用网技术将成为广域网建设的最佳解决方案。