虚拟专用网技术应用研究

虚拟专用网技术应用研究【摘要】随着现代企业网络系统信息化程度的提高，利用虚拟专用网VPN 为公司内部网与远程用户、公司分支机构建立可靠的安全连接显得日益重要。

本文着重介绍虚拟专用网VPN的概念和相关技术，对远程接入VPN、站点到站点VPN和MPLS VPN的技术特点做了详细分析和阐述，并针对远程接入VPN、站点到站点VPN提出了实施方案，VPN技术在解决信息孤岛、实现分支与总部、公司与合作伙伴的安全互联必将有更广泛的应用。

【关键词】虚拟专用网VPN；隧道技术；IPSec；MPLS VPN计算机网络技术的迅速发展和新技术的成熟深刻地改变了企业用户的工作方式，企业对网络化、信息化的需求不断上升。

对于企业来说，实现企业集团不同地点网络的内部互联，使远程用户接入到企业内部网络进行资源访问有两种选择，一是建立自己的专用网络，二是采用虚拟专用网VPN。

对于中小企业来说，专网建设的高昂费用是难以接受的，VPN是实现自建专网向利用运营商网络方向发展的重要技术。

VPN（虚拟专用网）是一种利用Internet或其它公共互联网络的基础设施为用户创建隧道，提供与专用网络一样的安全和功能保障的网络技术。

“虚拟”是相对传统私有网络的构建方式而言的，VPN利用公共网络实现安全的远程连接。

通过VPN，企业可以更低的成本连接远程分支机构，或者在公共的骨干网络上承载不同的专用网络。

1 VPN的分类1.1 VPN的应用分类1）Access VPN（远程接入VPN）：客户端到网关，使用公网作为骨干网在设备之间传输VPN的数据流量。

远程接入VPN用于实现出差员工或家庭办公用等移动用户安全访问企业网络。

2）Intranet VPN（内联网VPN）：网关到网关，通过公司的网络架构连接来自同公司的资源。

Intranet VPN用于组建跨地区的企业总部与分支机构内部网络的安全互联。

3）Extranet VPN（外联网VPN）：与合作伙伴企业网构成Extranet，将一个公司与另一个公司的资源进行连接。

Extranet VPN用于企业与客户、合作伙伴之间建立安全的网络互联。

1.2 VPN网络结构分类1）VPN的远程访问结构：用于提供远程移动用户对企业内部网络资源的安全访问，即Access VPN.单机通过公共网络利用隧道技术连接到企业的一个网络内部，成为网络中的一个连接点，这种结构又称点到站点、桌面到网络结构。

2）VPN的网络互连结构：用于企业总部网络和分支机构网络的内部网络之间的安全互连，即Intranet VPN 或Extranet VPN.这是一种网络到网络也称站点到站点（Site to Site）结构。

3）VPN的点对点通信结构：用于企业内部网的两台主机之间的安全通信，即单机到单机结构。

1.3 VPN的隧道协议分类隧道技术是一种使用互联网络的基础设施在网络之间传递数据的方式。

使用隧道传递的数据（或负载）可以是不同协议的数据帧或包。

隧道协议将这些其它协议的数据帧或包重新封装在新的包头中发送。

被封装的数据包在隧道的两个端点之间通过公共互联网络进行路由。

被封装的数据包在公共互联网络上传递时所经过的逻辑路径称为隧道。

一旦到达网络终点，数据将被解包并转发到最终目的地。

从VPN采用的隧道协议所处的网络层次来分，有第二层隧道协议，如PPTP、L2F和L2TP；第三层隧道协议，如IPSec、GRE等；第四层隧道协议，如SSL；还有跨越第二层和第三层隧道协议，如MPLS；第二层和第三层配合的隧道协议，如L2TP/IPSec。

1.4 VPN接入方式分类一般企业的局域网，多是通过光纤连接到互联网。

对于单个出差用户或家庭用户，通过拨号（如ADSL）连接到ISP，这种方式建立的VPN，称为拨号接入VPN。

2 VPN技术的应用2.1 企业的移动用户或小型分支采用拨号VPN的方式接入企业的内部网络对于一般企业来说，出差流动性员工、远程办公人员和远程小办公室需要访问企业内部网络中的服务器，可以通过远程接入VPN连接访问企业内部网络资源。

图1 远程接入VPN（Access VPN）应用模式借助Windows Server 2003的“路由和远程访问”服务，可以实现基于软件的VPN。

用户可以在企业内部搭建VPN服务器，然后通过企业外部客户端的VPN 拨号连接对企业内部网进行访问。

图2 远程接入VPN（Access VPN）的网络结构VPN服务器要有两个网络接口，一边连接外部网络，另一边连接内部网络。

VPN服务器运行Windows Server 2003系统，通过企业网接入Internet。

客户端运行Windows XP系统，通过ADSL接入Internet，连接方式为客户端通过Internet 与服务器建立VPN连接。

在Windows Server 2003系统中，“路由和远程访问”服务是默认安装的。

用户要启动该服务并进行必要的配置，才能使VPN服务生效。

1）配置VPN服务器第一步：打开管理工具中路由和远程访问窗口，右击VPN服务器，选择“配置并启用路由和远程访问”。

第二步：在安装向导中选择“虚拟专用网络（VPN）访问和NAT”。

第三步：选择VPN访问所需的协议TCP/IP。

第四步：指定服务器上与互联网相连接的网卡。

第五步：指定服务器上与内部网络相连接的网卡。

第六步：选择远程拔入客户的IP地址来源。

第七步：为了安全的客户端拔入，可以设置一个RADIUS服务器，也可以用VPN服务器来进行验证。

第八步：选择开始-程序-管理工具中的服务，可以看到在服务中的路由和远程访问已经启动。

第九步：配置VPN服务器中的远程访问策略，例如允许远程用户在任何时间接入。

第十步：若使用VPN服务器来进行身份验证，在计算机管理中创建VPN用户名，并在用户属性“拨入”选项卡中设置允许VPN访问。

2）VPN网络的客户端的设置以Windows XP客户端的设置为例，右击网上邻居、属性、选择新建连接。

在连接建立向导上，选择“连接到我的工作场所的网络”；在出现的对话框中单击“虚拟专用网络连接”；在公司名称对话框中为连接键入一个名称；键入目标地址即VPN 服务器的IP 地址或主机名；在出现的对话框中，如果限制此连接仅供当前登录用户使用，选择“只是我使用”选项；如果允许登录到该计算机的任何用户访问此拨号连接，选择“任何使用此计算机的人”；单击“完成”按钮保存新建的连接。

3）测试VPN连接打开连接对话框，输入VPN服务器上允许远程拔入的用户名和密码。

连接成功后会在右下角的任务栏处出现一个网络连接图标。

2.2 采用IPSec VPN技术实现企业不同地点网络的互联使用IPSec VPN技术实现基于路由器的站点到站点模式的VPN，使远程企业分支机构通过公共网络连接成一个内部网络，为企业总部和分支用户实现对内部数据资源的安全互访。

图3 Intranet VPN应用模式1）IPSec协议IPSec是一组开放的网络安全协议的总称，提供访问控制、数据来源验证、加密及数据流分类加密等服务。

IPSec在IP层提供以上服务，包括两个安全协议AH（报文验证头协议）和ESP（报文安全封装协议）。

AH主要提供数据来源验证、数据完整性验证和防报文重放功能。

ESP在AH协议的功能之外提供对IP 报文的加密功能。

通信双方如果要用IPSec建立一条安全的传输通路，需要协商将要采用的安全策略，包括使用的加密算法、密钥、密钥的生存期等。

当双方协商好使用的安全策略后，我们就说双方建立了一个安全关联SA。

SA就是能向其上的数据传输提供某种IPSec安全保障的一个简单连接。

当给定了一个SA，就确定了IPSec 要执行的处理，如加密，认证等。

SA可以进行两种方式的组合，分别为传输模式和隧道模式。

为进行加密和认证需要有密钥的管理和交换功能，这是由IKE（Internet密钥交换协议）实现的。

IKE是一种为IPSec管理和交换密钥的标准方法，可以将IKE分为两个阶段：阶段1进行认证，建立一个IKE SA；阶段2进行密钥交换，利用阶段1中的IKE SA来协商IPSec SA。

安全关联SA是从由IPSec提供安全服务的数据流的发送者到接收者的一个单向逻辑关系，用来表示IPSec如何为SA所承载的数据通信提供安全服务。

AH和ESP都需要使用SA，IKE的主要功能之一就是SA的建立与维护。

2）站点到站点IPsec VPN的实现IPsec VPNs在企业与分支机构的应用中较常见，对于企业的实现也不受限制，IPsec VPN为三层VPN技术，下面重点就IPsec VPNs组成与功能特性中的站点到站点IPsec VPNs进行介绍。

基于思科路由器的站点到站点IPsecVPN操作的5个步骤如下：第一步，在路由器R1和R2上配置访问控制列表定义VPN数据流，非VPN 数据流通过配置NAT进行转换；第二步，路由器R1和R2协商IKE第1阶段会话（IKE安全关联）；1）选用协商模式：main mode 或aggressive mode；2）选用一种身份认证方法：Preshare Key 或非对称加密算法级数字证书方式；3）选用一种加密算法：des 或3des；4）选用一种验证算法：sha 或md5；5）选用一组diffie-hellman公钥密码系统组：dh1或dh2；6）定义IKE Sa的生存周期；第三步，路由器R1和R2协商IKE第2阶段会话（IPsec安全关联）；1）选用协议封装：ESP或AH；2）选用一种加密算法和验证算法：esp-des或esp-md5-hmac；3）选择是否使用diffie-hellman公钥密码系统来执行PFS完美向前保密：默认为none；4）选用变换集的模式：tunnel 或transport；5）定义IPSec SA生存时间；第四步，VPN数据流信息通过IPsec隧道进行交换传输；第五步，IPsec隧道终止。

2.3 大型企业集团在专用网络上采用MPLS VPN技术MPLS最初是为提高网络设备的转发速度而提出的一个协议，使用一个短的定长标签（Label）来标识数据流，用固定长度的标签搜索实现数据的高速转发。

随着交换芯片技术的突破及高性能网络处理器的出现，网络设备普遍可以线速处理数据，MPLS技术转而被应用于提供QoS以及VPN服务。

MPLS VPN是业界近几年发展迅速的新兴技术，融合了ATM技术与IP技术的优点，成为解决当前广域VPN的最佳技术选择。

在MPLS VPN中，各站点之间使用两层标签封装报文，在入口运营商边缘路由器（入口PE）处为报文打上两层标签，作为骨干网络设备提供相应服务的依据。

外层标签在骨干网内部进行交换，标识从运营商边缘设备（PE）到对端运营商边缘设备（对端PE）的一条隧道，保证VPN沿着标签交换通道LSP到达对端运营商边缘设备，内层标签则确定在出口运营商边缘路由器（出口PE）处应该向哪个站点转发数据。