虚拟专用网.docx

虚拟专用网.docx

《虚拟专用网.docx》由会员分享，可在线阅读，更多相关《虚拟专用网.docx（9页珍藏版）》请在冰豆网上搜索。

虚拟专用网

虚拟专用网

科技名词定义

中文名称:

虚拟专用网

英文名称:

virtualprivatenetwork;VPN

定义:

公用电信网运营者利用公用电信网的资源向客户提供具有专用网特性和功能的网络。

所属学科:

通信科技（一级学科）;通信网络（二级学科）

本内容由全国科学技术名词审定委员会审定公布

虚拟专用网（VirtualPrivateNetwork，简称VPN）指的是在公用网络上建立专用网络的技术。

其之所以称为虚拟网，主要是因为整个VPN网络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是架构在公用网络服务商所提供的网络平台，如Internet、ATM（异步传输模式〉、FrameRelay（帧中继）等之上的逻辑网络，用户数据在逻辑链路中传输。

在传统的企业网络配置中，要进行异地局域网之间的互连，传统的方法是租用DDN（数字数据网）专线或帧中继。

这样的通讯方案必然导致高昂的网络通讯/维护费用。

对于移动用户（移动办公人员）与远端个人用户而言，一般通过拨号线路（Internet）进入企业的局域网，而这样必然带来安全上的隐患。

Internet服务提供商）和其它NSP（网络服务提供虚拟专用网指的是依靠ISP（

商），在公用网络中建立专用的数据通信网络的技术。

在虚拟专用网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。

IETF草案理解基于IP的VPN为:

"使用IP机制仿真出一个私有的广域网"是通过私有的隧道技术在公共数据网络上仿真一条点到点的专线技术。

所谓虚拟，是指用户不再需要拥有实际的长途数据线路，而是使用Internet公众数据网络的长途数据线路。

所谓专用网络，是指用户可以为自己制定一个最符合自己需求的网络。

用户现在在电信部门租用的帧中继（FrameRelay）与ATM等数据网络提供固定虚拟线路（PVC-PermanentVirtual

Circuit）来连接需要通讯的单位，所有的权限掌握在别人的手中。

如果用户需要一些别的服务，需要填写许多的单据，再等上相当一段时间，才能享受到新的服务。

更为重要的是两端的终端设备不但价格昂贵，而且管理也需要一定的专业技术人员，无疑增加了成本，而且帧中继、ATM数据网络也不会像Internet那样，可立即与世界上任何一个使用Internet网络的单位连接。

而在Internet上，VPN

所以我们使用者可以控制自己与其他使用者的联系，同时支持拨号的用户。

说的虚拟专用网一般指的是建筑在Internet上能够自我管理的专用网络，而不是FrameRelay或ATM等提供虚拟固定线路（PVC）服务的网络。

以IP为主要通讯协议的VPN，也可称之为IP-VPN。

由于VPN是在Internet上临时建立的安全专用虚拟网络，用户就节省了租用专线的费用，在运行的资金支出上，除了购买VPN设备，企业所付出的仅仅是向企业所在地的ISP支付一定的上网费用，也节省了长途电话费。

这就是VPN价格低廉的原因。

越来越多的用户认识到，随着Internet和电子商务的蓬勃发展，经济全球化的最佳途径是发展基于Internet的商务应用。

随着商务活动的日益频繁，各企业开始允许其生意伙伴、供应商也能够访问本企业的局域网，从而大大简化信息交流的途径，增加信息交换速度。

这些合作和联系是动态的，并依靠网络来维持和加强，于是各企业发现，这样的信息交流不但带来了网络的复杂性，还带来了管理和安全性的问题，因为Internet是一个全球性和开放性的、基于TCP/IP技术的、不可管理的国际互联网络，因此，基于Internet的商务活动就面临非善意的信息威胁和安全隐患。

编辑本段

提出原因虚拟专用网的提出就是来解决这些问题:

（1）使用VPN可降低成本——通过公用网来建立VPN，就可以节省大量的通信费用，而不必投入大量的人力和物力去安装和维护WAN（广域网）设备和远程访问设备。

（2）传输数据安全可靠——虚拟专用网产品均采用加密及身份验证等安全技术，保证连接用户的可靠性及传输数据的安全和保密性。

（3）连接方便灵活——用户如果想与合作伙伴联网，如果没有虚拟专用网，双方

的信息技术部门就必须协商如何在双方之间建立租用线路或帧中继线路，有了虚拟专用网之后，只需双方配置安全连接信息即可。

（4）完全控制——虚拟专用网使用户可以利用ISP的设施和服务，同时又完全掌握着自己网络的控制权。

用户只利用ISP提供的网络资源，对于其它的安全设置、网络管理变化可由自己管理。

在企业内部也可以自己建立虚拟专用网。

编辑本段

技术特点

安全保障

虽然实现VPN的技术和方式很多，但所有的VPN均应保证通过公用网络平台传输数据的专用性和安全性。

在非面向连接的公用IP网络上建立一个逻辑的、点对点的连接，称之为建立一个隧道，可以利用加密技术对经过隧道传输的数据进行加密，以保证数据仅被指定的发送者和接收者了解，从而保证了数据的私有性和安全性。

在安全性方面，由于VPN直接构建在公用网上，实现简单、方便、灵活，但同时其安全问题也更为突出。

企业必须确保其VPN上传送的数据不被攻击者窥视和篡改，并且要防止非法用

户对网络资源或私有信息的访问。

ExtranetVPN将企业网扩展到合作伙伴和客户，对安全性提出了更高的要求。

服务质量保证

（QoS）

VPN网应当为企业数据提供不同等级的服务质量保证。

不同的用户和业务对服务质量保证的要求差别较大。

如移动办公用户，提供广泛的连接和覆盖性是保证VPN服务的一个主要因素;而对于拥有众多分支机构的专线VPN网络，交互式的可扩充性和灵活性

VPN必须能够支持通过Intranet和Extranet的任何类型的数据流，方便增加新的节点，支持多种类型的传输媒介，可以满足同时传输语音、图像和数据等新应用对高质量传输以及带宽增加的需求。

可管理性

从用户角度和运营商角度应可方便地进行管理、维护。

在VPN管理方面，VPN要求企业将其网络管理功能从局域网无缝地延伸到公用网，甚至是客户和合作伙伴。

虽然可以将一些次要的网络管理任务交给服务提供商去完成，企业自己仍需要完成许多网络管理任务。

所以，一个完善的VPN管理系统是必不可少的。

VPN管理的目标为:

减小网络风险、具有高扩展性、经济性、高可靠性等优点。

事实上，VPN管理主要包括安全管理、设备管理、配置管理、访问控制列表管理、QoS管理等内容。

编辑本段

安全技术

由于传输的是私有信息，VPN用户对数据的安全性都比较关心。

目前VPN主要采用四项技术来保证安全，这四项技术分别是隧道技术（Tunneling）、加解密技术（Encryption&Decryption）、密钥管理技术（KeyManagement）、使用者与设备身份认证技术（Authentication）。

隧道技术

隧道技术是VPN的基本技术类似于点对点连接技术，它在公用网建立一条数据通道（隧道），让数据包通过这条隧道传输。

隧道是由隧道协议形成的，分为

第二、三层隧道协议。

第二层隧道协议是先把各种网络协议封装到PPP中，再把整个数据包装入隧道协议中。

这种双层封装方法形成的数据包靠第二层协议进行传输。

第二层隧道协议有L2F、PPTP、L2TP等。

L2TP协议是目前IETF的标准，由IETF融合PPTP与L2F而形成。

第三层隧道协议是把各种网络协议直接装入隧道协议中，形成的数据包依靠第

IPSec等。

IPSec（IPSecurity）是三层协议进行传输。

第三层隧道协议有VTP、

由一组RFC文档组成，定义了一个系统来提供安全协议选择、安全算法，确定

加解密技术服务所使用密钥等服务，从而在IP层提供安全保障。

加解密技术是数据通信中一项较成熟的技术，VPN可直接利用现有技术。

密钥管理技术

密钥管理技术的主要任务是如何在公用数据网上安全地传递密钥而不被窃取。

现行密钥管理技术又分为SKIP与ISAKMP/OAKLEY两种。

SKIP主要是利用Diffie-Hellman的演算法则，在网络上传输密钥;在ISAKMP中，双方都有两把密钥，分别用于公用、私用。

使用者与设备身份认证技术

使用者与设备身份认证技术最常用的是使用者名称与密码或卡片式认证等方式。

编辑本段

漏洞处理

安全问题是VPN的核心问题。

目前，VPN的安全保证主要是通过防火墙技术、路由器配以隧道技术、加密协议和安全密钥来实现的，可以保证企业员工安全地访问公司网络。

但是，如果一个企业的VPN需要扩展到远程访问时，就要注意，这些对公司网直接或始终在线的连接将会是黑客攻击的主要目标。

因为，远程工作员工通过防火墙之外的个人计算机可以接触到公司预算、战略计划以

及工程项目等核心但是，企业并没有对远距离工作的安全性予以足够的重视。

大多数公司认为，公司网络处于一道网络防火墙之后是安全的，员工可以拨号进入系统，而防火墙会将一切非法请求拒之其外;还有一些网络管理员认为，为网络建立防火墙并为员工提供VPN，使他们可以通过一个加密的隧道拨号进入公司网络就是安全的。

这些看法都是不对的。

在家办公是不错，但从安全的观点来看，它是一种极大的威胁，因为，公司使用的大多数安全软件并没有为家用计算机提供保护。

一些员工所做的仅仅是进入一台家用计算机，跟随它通过一条授权的连接进入公司网络系统。

虽然，公司的防火墙可以将侵入者隔离在外，并保证主要办公室和家庭办公室之间VPN的信息安全。

但问题在于，侵入者可以通过一个被信任的用户进入网络。

因此，加密的隧道是安全的，连接也是正确的，但这并不意味着家庭计算机是安全的。

黑客为了侵入员工的家用计算机，需要探测IP地址。

有统计表明，使用拨号连接的IP地址几乎每天都受到黑客的扫描。

因此，如果在家办公人员具有一条诸如DSL的不间断连接链路（通常这种连接具有一个固定的IP地址），会使黑客的入侵更为容易。

因为，拨号连接在每次接入时都被分配不同的IP地址，虽然它也能被侵入，但相对要困难一些。

一旦黑客侵入了家庭计算机，他便能够远程运行员工的VPN客户端软件。

因此，必须有相应的解决方案堵住远程访问VPN的安全漏洞，使员工与网络的连接既能充分体现VPN的优点，又不会成为安全

的威胁。

在个人计算机上安装个人防火墙是极为有效的解决方法，它可以使非法侵入者不能进入公司网络。

当然，还有一些提供给远程工作人员的实际解决方法:

*所有远程工作人员必须被批准使用VPN;

*所有远程工作人员需要有个人防火墙，它不仅防止计算机被侵入，还能记录连接被扫描了多少次;

*所有的远程工作人员应具有入侵检测系统，提供对黑客攻击信息的记录;

*监控安装在远端系统中的软件，并将其限制只能在工作中使用;*IT人员需要对这些系统进行与办公室系统同样的定期性预定检查;*外出工作人员应对敏感文件进行加密;

*安装要求输入密码的访问控制程序，如果输入密码错误，则通过Modem向系统管理员发出警报;

*当选择DSL供应商时，应选择能够提供安全防护功能的供应商。

编辑本段

VPN有三种解决方案，用户可以根据自己的情况进行选择。

这三种解决方案分别是:

远程访问虚拟网（AccessVPN）、企业内部虚拟网（IntranetVPN）和企业扩展虚拟网（ExtranetVPN），这三种类型的VPN分别与传统的远程访问网络、企业内部的Intranet以及企业网和相关合作伙伴的企业网所构成的Extranet相对应。

AccessVPN

AceessVPN结构图

如果企业的内部人员移动或有远程办公需要，或者商家要提供B2C的安全访问服务，就可以考虑使用AccessVPN。

AccessVPN通过一个拥有与专用网络相同策略的共享基础设施，提供对企业内部网或外部网