强士龙

天津冶金职业技术学院毕业设计虚拟专用网VPN的实现与应用系别：电子信息工程系专业：信息安全技术班级：信息安全08-2班学生姓名：强士龙指导教师：张绍鹍2011年3月31摘要本文主要就虚拟专用网在学校校园网中的应用做初浅的探索，提出校园网资源远程访问的一种安全、低廉的解决方案，为众多已建和在建的校园网提供一定的启发与参考。

近年来，随着计算机多媒体网络技术的快速发展、学校信息化建设的加快，校园网已经成为学校信息化建设的重要组成部分。

校园网应用在教学过程中，不仅可以改变传统的教学模式、教学方法和教学手段，而且将会促进教育观念、教学思想的转变。

丰富的教育资源为教师的教学和学生的学习提供了优良的软件环境。

但为了校园网的安全，学校在校园网建设时，通常是将公网与私网进行物理隔离，使外网无法访问内网资源。

这样势必导致住在校外的教师和学生在家中无法使用校园网内部资源。

要解决这个问题，虚拟专用网就是一种安全、低廉的解决方案。

关键词：虚拟专用网、VPN、校园网资源、隧道技术、数据加密算法、路由器目录摘要 (1)1 论述 (3)1.1 VPN概念 (3)1.2 VPN的类型 (4)1.2.1 按应用范围划分 (4)1.2.2 按VPN网络结构划分 (4)1.2.3 按接入方式划分 (5)1.2.4 按隧道协议划分 (5)1.2.5 按隧道建立方式划分 (6)1.2.6 按路由管理方式划分 (6)1.2.7 按照实现方式划分 (7)2 虚拟专用网在教育行业的应用前景 (8)2.1 校园网建设 (9)2.2 网上远程教育 (9)2.3 教育城域网建设以及“校校通”工程 (9)3 虚拟专用网技术概述 (10)3.1 虚拟专用网的核心——隧道技术 (10)3.2 虚拟专用网的协议——隧道协议 (11)4. 我选用的应用解决方案 (13)参考文献 (19)1 虚拟专用网的概述与类型1.1 VPN概念VPN的基本思想就是在公共网络上建立安全的专用网络，来传输内部信息而形成逻辑网络，从而为企业用户提供比专线价格更低廉，安全性更高的资源共享和互联服务。

VPN是企业内部网的扩展。

虚拟专用网指的是在公用网络上建立专用网络的技术，即通过对网络数据的封包和加密传输，在公用网络上传输私有数据，形成一种逻辑上的专用网络。

它向用户提供一般专用网络所具有的功能，但本身却不是一个独立的物理网络。

顾名思义，所谓“虚拟”(Virtual)，说明它是一种仿真物理连接的逻辑网络连接，没有固定的物理连接，利用的是公共网络资源。

在虚拟专用网中，任意两个节点之间的连接并没有传统专用网所需的端到端的物理链路，而是利用公用网络资源(如Internet、ATM网络、帧中继网络等)动态组成的。

所谓“专用”(Private，或译为“私用”)，说明它在功能上等同于传统的专用网络，具有与内部网络相同的安全性、易管理性和稳定性，可被当作专用网络使用。

VPN至少应能提供如下功能：加密数据，以保证通过公网传输的信息即使被他人截获也不会泄露；信息认证和身份认证，保证信息的完整性、合法性，并能鉴别用户的身份；提供访问控制，不同的用户有不同的访问权限。

VPN系统结构如下：图 1.1 VPN系统结构1.2 VPN的类型VPN既是一种组网技术，又是一种网络安全技术。

VPN涉及的技术和概念比较多，应用的形式也很丰富，其分类方式也很多，令人眼花缭乱。

在技术篇中我们介绍了按实现技术将VPN分成基于隧道的VPN、基于虚电路的VPN和MPLS VPN等，这里再介绍几种主要的划分方式。

1.2.1 按应用范围划分这是最常用的分类方法，大致可以划分为远程接入VPN（Accesss VPN）、Intranet VPN和Extranet VPN等3种应用模式。

远程接入VPN用于实现移动用户或远程办公室安全访问企业网络；Intranet VPN用于组建跨地区的企业内部互联网络；Extranet VPN 用于企业与客户、合作伙伴之间建立互联网络。

1.2.2 按VPN网络结构划分VPN可分为以下3种类型。

1.基于VPN的远程访问即单机连接到网络，又称点到站点，桌面到网络。

用于提供远程移动用户对公司内部网的安全访问。

2. 基于VPN的网络互联即网络连接到网络，又称站点到站点，网关（路由器）到网关（路由器）或网络到网络。

用于企业总部网络和分支机构网络的内部主机之间的安全通信时，还可用于企业的内部网与企业合作伙伴网络之间的信息交流，并提供一定程度的安全保护，防止对内部信息的非法访问。

3.基于VPN的点对点通信即单机到单机，又称端对端，用于企业内部网的两台主机之间的安全通信。

1.2.3 按接入方式划分在Internet上组建VPN，用户计算机或网络需要建立到ISP的连接。

与用户上网接入方式相似，根据连接方式，可分为两种类型。

1.专线VPN通过固定的线路连接到ISP，如DDN、帧中继等都是专线连接。

2.拨号接入VPN简称VPDN，使用拨号连接（如模拟电话、ISDN和ADSL等）连接到ISP，是典型的按需连接方式。

这是—种非固定线路的VPN。

1.2.4 按隧道协议划分按隧道协议的网络分层，VPN可划分为第2层隧道协议和第3层隧道协议。

PPTP、L2P和L2TP都属于第2层隧道协议，IPSec属于第3层隧道协议，MPLS跨越第2层和第3层。

VPN的实现往往将第2层和第3层协议配合使用，如L2TP/IPSec。

当然，还可根据具体的协议来进一步划分VPN类型，如PPTP VPN、L2TP VPN、IPSec VPN和MPLS VPN 等。

第2层和第3层隧道协议的区别主要在于用户数据在网络协议栈的第几层被封装。

第2层隧道协议可以支持多种路由协议，如IP、IPX和AppleTalk，也可以支持多种广域网技术，如帧中继、ATM、X.25或SDH/SONET，还可以支持任意局域网技术，如以太网、令牌环网和FDDI网等。

另外，还有第4层隧道协议，如SSL VPN。

1.2.5 按隧道建立方式划分根据VPN隧道建立方式，可分为两种类型。

1.自愿隧道（Voluntary tunnel）指客户计算机或路由器可以通过发送VPN请求配置和创建的隧道。

这种方式也称为基于用户设备的VPN。

VPN的技术实现集中在VPN用户端，VPN隧道的起始点和终止点都位于VPN用户端，隧道的建立、管理和维护都由用户负责。

ISP只提供通信线路，不承担建立隧道的业务。

这种方式技术实现容易，不过对用户的要求较高。

不管怎样，这仍然是目前最普遍使用的VPN组网类型。

2. 强制隧道（Compulsory tunnel）指由VPN服务提供商配置和创建的隧道。

这种方式也称为基于网络的VPN。

VPN 的技术实现集中在ISP，VPN隧道的起始点和终止点都位于ISP，隧道的建立、管理和维护都由ISP负责。

VPN用户不承担隧道业务，客户端无需安装VPN软件。

这种方式便于用户使用，增加了灵活性和扩展性，不过技术实现比较复杂，一般由电信运营商提供，或由用户委托电信运营商实现。

1.2.6 按路由管理方式划分按路由管理方式划分，VPN分为两种模式。

2. 叠加模式（Overlay Model）也译为“覆盖模式”。

目前大多数VPN技术，如IPSec、GRE都基于叠加模式。

采用叠加模式，各站点都有一个路由器通过点到点连接（IPSec、GRE等）到其他站点的路由器上，不妨将这个由点到点的连接以及相关的路由器组成的网络称为“虚拟骨干网”。

叠加模式难以支持大规模的VPN，可扩展性差。

如果一个VPN用户有许多站点，而且站点间需要全交叉网状连接，则一个站点上的骨干路由器必须与其他所有站点建立点对点的路由关系。

站点数的增加受到单个路由器处理能力的限制。

另外，增加新站点时，网络配置变化也会很大，网状连接上的每一个站点都必须对路由器重新配置。

3. 对等模式（Peer Model）对等模式是针对叠加模式固有的缺点推出的。

它通过限制路由信息的传播来实现VPN。

这种模式能够支持大规模的VPN业务，如一个VPN服务提供商可支持成百上千个VPN。

采用这种模式，相关的路由设备很复杂，但实际配置却非常简单；容易实现QoS服务；扩展更加方便，因为新增一个站点，不需与其他站点建立连接。

这对于网状结构的大型复杂网络非常有用。

MPLS技术是当前主流的对等模式VPN技术。

1.2.7 按照实现方式划分VPN按照实现的方式可以分为基于用户端CPE设备的VPN和基于运营商网络的VPN。

当一个企业用户要建立一个虚拟专用网络时，既可以由用户端来实现，也可以由网络运营商来实现，甚至可以由网络运营商和用户共同来实现，这就是所谓的VPN 实现的分类。

1.基于用户端CPE设备的VPN基于用户端CPE的VPN是指用户自己设置并维护VPN网关设备，在各个分支机构和公司总部之间建立VPN连接，并且可以采用加密技术以保障数据传输的安全性。

连接的建立与用户的管理完全由用户自己负责，网络运营商不必调整或改变网络的结构与性能就可以提供对这种VPN功能的基本支持。

这种实现方式的特点是，VPN的实现对网络运营商透明，网络运营商不需要任何设备投资。

同时，网络运营商由于没有提供增值服务，除了可以获得更多的专线接入或拨号接入用户以外，无法得到额外的收入。

2. 基于运营商网络的VPN基于网络运营商网络的VPN方式是指网络运营商的公共数据网络上设置VPN网关设备，用于接入企业的专线用户或远程拨号接入用户。

利用该网关设备，可以在全网范围内，根据具体的VPN网络需求，通过隧道封装或虚拟路由以及MPLS等技术，建立完全的或不完全的VPN网络结构，并且也可以采用加密技术以保障数据传输的安全性。

VPN连接的建立完全由网络运营商负责，对用户透明。

用户的管理可以灵活地由用户和网络运营商共同管理。

运营商要根据具体的需要调整或改变网络结构与设备性能来支持这种VPN的实现。

网络运营商提供VPN增值服务，可以得到额外的收入，例如用户管理和增加的专线或拨号接入租费等。

另外，由于网关设备由网络运营商提供并管理，可以同时为多个企业用户提供VPN服务。

3.网络运营商同用户共同实现的VPN对于网络运营商同用户共同实现VPN的方式是指在网络运营商的公共网络上以及用户端可以根据需要灵活地设置VPN网关设备。

VPN连接的建立可以是分别从用户端或网络运营商的VPN网关设备开始，并且可以分别终结到用户端或网络运营商的VPN网关设备。

用户的管理也可以灵活地由用户和网络运营商联合管理。

用户和网络运营商要根据具体的需要调整或改变网络结构与设备性能。

这种实现方式的特点是，VPN的实现根据具体情况而定，灵活方便。

由于网络运营商提供VPN服务需要较大的设备与管理投资，可以首先在VPN业务需求较多的地市配置VPN网关设备，对于个别的VPN用户，可以采用用户端实现的方式或采用配置较低的网关设备。