VPN虚拟专用网络.docx

VPN虚拟专用网络.docx

《VPN虚拟专用网络.docx》由会员分享，可在线阅读，更多相关《VPN虚拟专用网络.docx（27页珍藏版）》请在冰豆网上搜索。

VPN虚拟专用网络

VPN

百科名片

VPN英文全称是“VirtualPrivateNetwork”，翻译过来就是“虚拟专用网络”。

vpn被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定隧道。

使用这条隧道可以对数据进行几倍加密达到安全使用互联网的目的。

虚拟专用网是对企业内部网的扩展。

虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。

VPN主要采用隧道技术、加解密技术、密钥管理技术和使用者与设备身份认证技术。

目录

功能

常用协议

使用方法

1.一.便携网帐号申请开通

2.二．便携网客户端安装

技术特点

1.1.安全保障

2.2.服务质量保证（QoS）

3.3.可扩充性和灵活性

4.4.可管理性

主要优势

解决方案

1.方案一

2.方案二

标准比较

1.1SSLVPN相对于IPSecVPN的优势

2.2Socks5VPN与IPSecVPN、SSLVPN比较

带宽控制

制约因素

分类

技术内涵

1.1.隧道技术

2.2.隧道协议

示例模版

VPN代理

越狱设置

常见问题

支持系统

功能

　　VPN可以提供的功能：

防火墙功能、认证、加密、隧道化。

　　VPN可以通过特殊加密的通讯协议连接到Internet上，在位于不同地方的两个或多个企业内部网之间建立一条专有的通讯线路，就好比是架设了一条专线一样，但是它并不需要真正的去铺设光缆之类的物理线路。

这就好比去电信局申请专线，但是不用给铺设线路的费用，也不用购买路由器等硬件设备。

VPN技术原是路由器具有的重要技术之一，在交换机，防火墙设备或Wind

VPN

ows2000及以上操作系统中都支持VPN功能，一句话，VPN的核心就是利用公共网络建立虚拟私有网。

常用协议

　　常用的虚拟专用网络协议有：

　　IPSec:

IPsec（缩写IPSecurity）是保护IP协议安全通信的标准，它主要对IP协议分组进行加密和认证。

　　IPsec作为一个协议族（即一系列相互关联的协议）由以下部分组成：

（1）保护分组流的协议；

（2）用来建立这些安全分组流的密钥交换协议。

前者又分成两个部分：

VPN

加密分组流的封装安全载荷（ESP）及较少使用的认证头（AH），认证头提供了对分组流的认证并保证其消息完整性，但不提供保密性。

目前为止，IKE协议是唯一已经制定的密钥交换协议。

　　PPTP:

PointtoPointTunnelingProtocol--点到点隧道协议

　　在因特网上建立IP虚拟专用网（VPN）隧道的协议，主要内容是在因特网上建立多协议安全虚拟专用网的通信方式。

　　L2F:

Layer2Forwarding--第二层转发协议

　　L2TP:

Layer2TunnelingProtocol--第二层隧道协议

　　GRE：

VPN的第三层隧道协议

　　OpenVPN:

OpenVPN使用OpenSSL库加密数据与控制信息：

它使用了OpenSSL的加密以及验证功能，意味着，它能够使用任何OpenSSL支持的算法。

它提供了可选的数据包HMAC功能以提高连接的安全性。

此外，OpenSSL的硬件加速也能提高它的性能。

　　MPLSVPN集隧道技术和路由技术于一身，吸取基于虚电路的VPN的QoS保证的优点，并克服了它们未能解决的缺点。

MPLS组网具有极好的灵活性、扩展性，用户只需一条线路接入MPLS网，便可以实现任何节点之间的直接通信，可实现用户节点之间的星型、全网状以及其他任何形式的逻辑拓扑

使用方法

一.便携网帐号申请开通

　　企业向运营商申请租用一批便携网使用帐号（即license，译：

许可证）,由企业自行管理分配帐号。

企业管理员可以将需要使用便携网的各个部门，成立不同的VPN域，即不同的工作组，比如可分为财务、人事、市场、外联部等等。

同一工作组内的成员可以互相通讯，既加强了成员之间的联络，又保证了数据的安全。

而各个工作组之间不能互相通讯，保证了企业内部数据的安全。

二．便携网客户端安装

　　1．系统需求

　　表—列出了在装有MicrosoftWindows操作系统的计算机上安装便

VPN

携网络客户端软件（yPND：

yourPortableNetworkDesktop）的最小系统要求。

计算机配置必须符合或高于最小系统要求才能成功的安装和使用便携网络客户端软件

　　2.预安装

　　为成功安装便携网络客户端软件必须确保满足下列情况：

　　计算机符合“系统需求”表所列的最小系统要求。

　　安装程序会检查系统是否符合要求，如果不满足就不能继续安装，必须使系统符合最低配置要求才能进行安装。

　　·必须拥有计算机的系统管理员权限才能安装。

技术特点

1.安全保障

　　虽然实现VPN的技术和方式很多，但所有的VPN均应保证通过公用网络平台传输数据的专用性和安全性。

在安全性方面，由于VPN直接构建在公用网上，实现简单、方便、灵活，但同时其安全问题也更为突出。

企业必须确保其VPN上传送的数据不被攻击者窥视和篡改，并且要防止非法用户对网络资源或私有信息的访问。

2.服务质量保证（QoS）

　　VPN网应当为企业数据提供不同等级的服务质量保证。

不同的用户和业务对服务质量保证的要求差别较大。

在网络优化方面，构建VPN的另一重要需求是充分有效地利用有限的广域网资源，为重要数据提供可靠的带宽。

广域网流量的不确定性使其带宽的利用率很低，在流量高峰时引起网络阻塞，使实时性要求高的数据得不到及时发送；而在流量低谷时又造成大量的网络带宽空闲。

VPN

QoS通过流量预测与流量控制策略，可以按照优先级实现带宽管理，使得各类数据能够被合理地先后发送，并预防阻塞的发生。

3.可扩充性和灵活性

　　VPN必须能够支持通过Intranet和Extranet的任何类型的数据流，方便增加新的节点，支持多种类型的传输媒介，可以满足同时传输语音、图像和数据等新应用对高质量传输以及带宽增加的需求。

4.可管理性

　　从用户角度和运营商角度应可方便地进行管理、维护。

VPN管理的目标为：

减小网络风险、具有高扩展性、经济性、高可靠性等优点。

事实上，VPN管理主要包括安全管理、设备管理、配置管理、访问控制列表管理、QoS管理等内容。

主要优势

　　1）建网快速方便用户只需将各网络节点采用专线方式本地接入公用网络，并对网络进行相关配置即可。

　　2）降低建网投资由于VPN是利用公用网络为基础而建立的虚拟专网，因而可以避免建设传统专用网络所需的高额软硬件投资。

　　3）节约使用成本用户采用VPN组网，可以大大节约链路租用费及网络维护费用，从而减少企业的运营成本4）网络安全可靠实现VPN主要采用国际标准的网络安全技术，通过在公用网络上建立逻辑隧道及网络层的加密，避免网络数据被修改和盗用，保证了用户数据的安全性及完整性。

　　5）简化用户对网络的维护及管理工作大量的网络管理及维护工作由公用网络服务提供商来完成。

解决方案

　　针对不同的用户要求，VPN有三种解决方案：

远程访问虚拟网（AccessVPN）、企业内部虚拟网（IntranetVPN）和企业扩展虚拟网（ExtranetVPN），这三种类型的VPN分别与传统的远程访问网络、企业内部的Intranet以及企业网和相关合作伙伴的企业网所构成的Extranet（外部扩展）相对应。

　　对于很多IPSecVPN用户来说，IPSecVPN的解决方案的高成本和复杂的结构是很头疼的。

存在如下事实：

在部署和使用软硬件客户端的时候，需要大量的评价、部署、培训、升级和支持，对于用户来说，这些无论是在经济上和技术上都是个很大的负担，将远程解决方案和昂贵的内部应用相集成，对任何IT专业人员来说都是严峻的挑战。

由于受到以上IPSecVPN的限制，大量的企业都认为IPSecVPN是一个成本高、复杂程度高，甚至是一个无法实施的方案。

为了保持竞争力，消除企业内部信息孤岛，很多公司需要在与企业相关的不同的组织和个人之间传递信息，所以很多公司需要找一种实施简便，不需改变现有网络结构，运营成本低的解决方案。

　　----从概念上讲，IP-VPN是运营商（即服务提供者）支持企业用户应用的方案。

一个通用的方法可以适用于由一个运营商来支持的、涉及其他运营商网络的情况（如运营商的运营商）。

　　----图1给出了实现IP-VPN的一个通用方案。

其中，CE路由器是用于将一个用户站点接入服务提供者网络的用户边缘路由器。

而PE路由器则是与用户CE路由器相连的、服务提供者的边缘路由器。

　　----站点是指这样一组网络或子网，它们是用户网络的一部分，并且通过一条或多条PE/CE链路接至VPN。

VPN是指一组共享相同路由信息的站点，一个站点可以同时位于不同的几个VPN之中。

　　----图2显示了一个服务提供者网络支持多个VPN的情况。

如图2所示，一个站点可以同时属于多个VPN。

依据一定的策略，属于多个VPN的站点既可以在两个VPN之间提供一定的转发能力，也可以不提供这种能力。

当一个站点同时属于多个VPN时，它必须具有一个在所有VPN中唯一的地址空间。

　　----MPLS为实现IP-VPN提供了一种灵活的、具有可扩展性的技术基础，服务提供者可以根据其内部网络以及用户的特定需求来决定自己的网络如何支持IP-VPN。

所以，在MPLS/ATM网络中,有多种支持IP-VPN的方法，本文介绍其中两种方法。

方案一

　　----本节介绍一种在公共网中使用MPLS提供IP?

VPN业务的方法。

该方法使用LDP的一般操作方式，即拓扑驱动方式来实现基本的LSP建立过程，同时使用两级LSP隧道（标记堆栈）来支持VPN的内部路由。

　　----图3给出了在MPLS/ATM核心网络中提供IP?

VPN业务的一种由LER和LSR构成的网络配置。

　　----LER（标记边缘路由器）

　　----LER是MPLS的边缘路由器，它位于MPLS/ATM服务提供者网络的边缘。

对于VPN用户的IP业务量，LER将是VPN隧道的出口与入口节点。

如果一个LER同时为多个用户所共享，它还应当具有执行虚拟路由的能力。

这就是说，它应当为自己服务的各个VPN分别建立一个转发表，这是因为不同VPN的IP地址空间可能是有所重叠的。

　　----LSR（标记交换路由器）

　　----MPLS/ATM核心网络是服务提供者的下层网络，它为用户的IP-VPN业务所共享。

　　----建立IP-VPN区域的操作

　　----希望提供IP-VPN的网络提供者必须首先对MPLS域进行配置。

这里的MPLS域指的就是IP?

VPN区域。

作为一种普通的LDP操作，基本的LSP建立过程将使用拓扑驱动方法来进行，这一过程被定义为使用基本标记的、基本的或是单级LSP建立。

而对于VPN内部路由，则将使用两级LSP隧道（标记堆栈）。

　　----VPN成员

　　----每一个LER都有一个任务，即发现在VPN区域中为同一IP?

VPN服务的其他所有LER。

由于本方案最终目的是要建立第二级MPLS隧道，所以LER发现对等实体的过程也就是LDP会话初始化的过程。

每一个LER沿着能够到达其他LER的每一条基本网络LSP，向下游发送一个LDPHello消息。

LDPHello消息中会包含一个基本的MPLS标记，以方便这些消息能够最终到达目的LER。

　　----LDPHello消息实际上是一种查询消息，通过这一消息，发送方可以获知在目的LER处是否存在与发送方LSR同属一个VPN的LER（对等实体）。

新的Hello消息相邻实体注册完成之后，相关的两个LER之间将开始发起LDP会话。

随后，其中一个LER将初始化与对方的TCP连接。

当TCP连接建立完成而且必要的初始化消息交互也完成之后，对等LER之间的会话便建立起来了。

此后，双方各自为对方到自己的LSP隧道提供一个标记。

如果LSP隧道是嵌套隧道，则该标记将被推入标记栈中，并被置于原有的标记之上。

　　----VPN成员资格和可到达性信息的传播

　　----通过路由信息的交换，LER可以学习与之直接相连的、用户站点的IP地址前缀。

LER需要找到对等LER，还需要找到在一个VPN中哪些LER是为同一个VPN服务的。

LER将与其所属的VPN区域中其他的LER建立直接的LDP会话。

换言之，只有支持相同VPN的LER之间才能成功地建立LDP会话。

　　----VPN内的可到达性

　　----最早在嵌套隧道中传送的数据流是LER之间的路由信息。

当一个LER被配置成一个IP?

VPN的一员时，配置信息将包含它在VPN内部要使用的路由协议。

在这一过程中，还可能会配置必要的安全保密特性，以便该LER能够成为其他LER的相邻路由器。

在VPN内部路由方案中，每一次发现阶段结束之后，每一个LER都将发布通过它可以到达的、VPN用户的地址前缀。

　　----IP分组转发

　　----LER之间的路由信息交互完成之后，各个LER都将建立起一个转发表，该转发表将把VPN用户的特定地址前缀（FEC转发等价类）与下一跳联系起来。

当收到的IP分组的下一跳是一个LER时，转发进程将首先把用于该LER的标记（嵌套隧道标记）推入标记栈，随后把能够到达该LER的基本网络LSP上下一跳的基本标记推入标记分组，接着带有两个标记的分组将被转发到基本网络LSP中的下一个LSR；当该分组到达目的LER时，最外层的标记可能已经发生许多次的改变，而嵌套在内部的标记始终保持不变；当标记栈弹出后，继续使用嵌套标记将分组发送至正确的LER。

在LER上，每一个VPN使用的嵌套标记空间必须与该LER所支持的其他所有VPN使用的嵌套标记空间不同。

方案二

　　----本节将对一种在公共网中使用MPLS和多协议边界网关协议来提供IP-VPN业务的方法进行介绍，其技术细节可以参见RFC2547。

　　----图1给出了在MPLS/ATM核心网络中提供IP?

VPN业务的、由LER和LSR构成的网络配置，图4则给出了使用RFC2547的网络模型。

　　----提供者边缘（PE）路由器

　　----PE路由器是与用户路由器相连的服务提供者边缘路由器。

　　----实际上它就是一个边缘LSR（即MPLS网络与不使用MPLS的用户或服务提供者之间的接口）。

　　----用户边缘（CE）路由器

　　----CE路由器是用于将一个用户站点接至PE路由器的用户边缘路由器。

在这一方案中，CE路由器不使用MPLS，它只是一台IP路由器。

CE不必支持任何VPN的特定路由协议或信令。

　　----提供者（P）路由器

　　----P路由器是指网络中的核心LSR。

　　----站点（Site）

　　----站点是指这样一组网络或子网：

它们是用户网络的一部分，通过一条或多条PE/CE链路接至VPN。

VPN是指一组共享相同路由信息的站点。

一个站点可以同时位于不同的几个VPN之中。

　　----路径区别标志

　　----服务提供者将为每一个VPN分配一个唯一的标志符，该标志符称为路径区别标志（RD）,它对应于服务提供者网络中的每一个Intranet或Extranet都是不同的。

PE路由器中的转发表里将包含一系列唯一的地址，这些地址称为VPN?

IP地址，它们是由RD与用户的IP地址连接而成的。

VPN?

IP地址对于服务提供者网络中的每一个端点都是唯一的，对于VPN中的每一个节点（即VPN中的每一个PE路由器），转发表中都将存储有一个条目。

　　----连接模型

　　----图4给出了MPLS/BGPVPN的连接模型。

　　----从图4中可以看出，P路由器位于MPLS网络的核心。

PE路由器将使用MPLS与核心MPLS网络通信，同时使用IP路由技术来与CE路由器通信。

P与PE路由器将使用IP路由协议（内部网关协议）来建立MPLS核心网络中的路径，并且使用LDP实现路由器之间的标记分发。

　　----PE路由器使用多协议BGP?

4来实现彼此之间的通信，完成标记交换和每一个VPN策略。

除非使用了路径映射标志（routereflector），否则PE之间是BGP全网状连接。

特别地，图4中的PE处于同一自治域中，它们之间使用内部BGP（iBGP）协议。

　　----P路由器不使用BGP协议而且对VPN一无所知，它们使用普通的MPLS协议与进程。

　　----PE路由器可以通过IP路由协议与CE路由器交换IP路径，也可以使用静态路径。

在CE与PE路由器之间使用普通的路由进程。

CE路由器不必实现MPLS或对VPN有任何特别了解。

　　----PE路由器通过iBGP将用户路径分发到其他的PE路由器。

为了实现路径分发，BGP使用VPN-IP地址（由RD和IPv4地址构成）。

这样，不同的VPN可以使用重叠的IPv4地址空间而不会发生VPN-IP地址重复的情况。

　　----PE路由器将BGP计算得到的路径映射到它们的路由表中，以便把从CE路由器收到的分组转发到正确的LSP上。

　　----这一方案使用两级标记：

内部标记用于PE路由器对于各个VPN的识别，外部标记则为MPLS网络中的LSR所用——它们将使用这些标记把分组转发给正确的PE。

　　----建立IP-VPN区域的操作

　　----希望提供IP-VPN业务的网络提供者必须按照连接需求对网络进行设计与配置，这包括：

PE必须为其支持的VPN以及与之相连的CE所属的VPN进行配置；MPLS网络或者是一个路径映射标志中的PE路由器之间必须进行对等关系的配置；为了与CE进行通信，还必须进行普通的路由协议配置；为了与MPLS核心网络进行通信，还必须进行普通的MPLS配置（如LDP、IGP）。

另外，P路由器除了要求能够支持MPLS之外，还要能够支持VPN。

　　----VPN成员资格和可到达性信息的传播

　　----PE路由器使用IP路由协议或者是静态路径的配置来交换路由信息，并且通过这一过程获得与之直接相连的用户网站IP地址前缀。

　　----PE路由器通过与其BGP对等实体交换VPN-IP地址前缀来获得到达目的VPN站点的路径。

另外，PE路由器还要通过BGP与其PE路由器对等实体交换标记，以此确定PE路由器间连接所使用的LSP。

这些标记用作第二级标记，P路由器看不到这些标记。

　　----PE路由器将为其支持的每一个VPN分别建立路由表和转发表，与一个PE路由器相连的CE路由器则根据该连接所使用的接口选择合适的路由表。

　　----IP分组转发

　　----PE之间的路由信息交换完成之后，每一个PE都将为每一个VPN建立一个转发表，该转发表将把VPN用户的特定地址前缀与下一跳PE路由器联系起来。

　　----当收到发自CE路由器的IP分组时，PE路由器将在转发表中查询该分组对应的VPN。

　　----如果找到匹配的条目，路由器将执行以下操作：

　　----如果下一跳是一个PE路由器，转发进程将首先把从路由表中得到的、该PE路由器所对应的标记（嵌套隧道标记）推入标记栈；PE路由器把基本的标记推入分组，该标记用于把分组转发到到达目的PE路由器的、基本网络LSP上的第一跳；带有两级标记的分组将被转发到基本网络LSP上的下一个LSR。

　　----P路由器（LSR）使用顶层标记及其路由表对分组继续进行转发。

当该分组到达目的LER时，最外层的标记可能已发生多次改变，而嵌套在内部的标记保持不变。

　　----当PE收到分组时，它使用内部标记来识别VPN。

此后，PE将检查与该VPN相关的路由表，以便决定对分组进行转发所要使用的接口。

　　----如果在VPN路由表中找不到匹配的条目，PE路由器将检查Internet路由表（如果网络提供者具备这一能力）。

如果找不到路由，相应分组将被丢弃。

　　----VPN?

IP转发表中包含VPN?

IP地址所对应的标记，这些标记可以把业务流路由至VPN中的每一个站点。

这一过程由于使用的是标记而不是IP地址，所以在企业网中，用户可以使用自己的地址体系，这些地址在通过服务提供者网络进行业务传输时无需网络地址翻译（NAT）。

通过为每一个VPN使用不同的逻辑转发表，不同的VPN业务将可以被分开。

使用BGP协议，交换机可以根据入口选择一个特定的转发表，该转发表可以只列出一个VPN有效目的地址。

　　----为了建立企业的Extranet，服务提供者需要对VPN之间的可到达性进行明确指定（可能还需要进行NAT配置）。

　　----安全

　　----在服务提供者网络中，PE所使用的每一个分组都将与一个RD相关联，这样，用户无法将其业务流或者是分组偷偷送入另一个用户的VPN。

要注意的是，在用户数据分组中没有携带RD，只有当用户位于正确的物理端口上或拥有PE路由器中已经配置的、适当的RD时，用户才能加入一个Intranet或Extranet。

这一建立过程可以保证非法用户无法进入VPN，从而为用户提供与帧中继、租用线或ATM业务相同的安全等级。

标准比较

　　VPN标准分为三类：

IPSecVPN、SSLVPN、Socks5VPN

1SSLVPN相对于IPSecVPN的优势

　　1.1SSLVPN比IPSecVPN部署、管理成本低

　　首先我们先认识一下IPSEC存在的不足之处:

　　在设计上，IPSecVPN是一种基础设施性质的安全技术。

这类VPN的真正价值在于，它们尽量提高IP环境的安全性。

可问题在于，部署IPSec需要对基础设施进行重大改造，以便远程访问。

好处就摆在那里，但管理成本很高。

IPSec安全协议方案需要大量的IT技术支持，包括在运行和长期维护两个方面。

在大的企业通常有几个专门的员工为通过IPSec安全协议进行的VPN远程访问提供服务。

　　IPSecVPN最大的难点在于客户端需要安装复杂的软件，而且当用户的VPN策略稍微有所改变时，VPN的管理难度将呈几何级数增长。

SSLVPN则正好相反，客户端不需要安装任何软件或硬件，使用标准的浏览器，就可通过简单的SSL安全加密协议，安全地访问网络中的信息。

　　其次我们再看看SSL的优势特点:

　　从概念角度来说，SSLVPN即指采用SSL（SecuritySocketLayer）协议来实现远程接入的一种新型VPN技术。

SSL协议是网景公司提出的基于WEB应用的安全协议，它包括：

服务器认证、客户认证（可选）、SSL链路上的数据完整性和SSL链路上的数据保密性。

对于内、外部应用来说，使用SSL可保证信息的真实性、完整性和保密性。

目前SSL协议被广泛应用于各种浏览器应用，也可以应用于Outlook等使用TCP协议传输数据的C/S应用。

正因为SSL协议被内置于IE等浏览器中，使用SSL协议进行认证和数据加密的SSLVPN就可以免于安装客户端。

相对于传统的IPSECVPN而言，SSLVPN具有部署简单，无客户端，维护成本低，网络适应强等特点，这两种类型的VPN之间的差别就类似C/S构架和B/S构架的区别。

　　一般而言，SSLVPN必须满足最基本的两个要求：

　　1.使用SSL协议进行认证和加密；没有采用SSL协议的VPN产品自然不能称为SSLVPN，其安全性也需要进一步考证。