VPN技術(shù)非常復(fù)雜，它涉及到通信技術(shù)、密碼技術(shù)和現(xiàn)代認(rèn)證技術(shù)，是一項(xiàng)交叉科學(xué)。目前，VPN主要包含隧道技術(shù)與安全技術(shù)。 

　　隧道技術(shù) 隧道技術(shù)對(duì)于構(gòu)建 VPN 來(lái)說(shuō)，是一個(gè)關(guān)鍵性技術(shù)。它的基本過(guò)程是在源局域網(wǎng)與公網(wǎng)的接口處，將數(shù)據(jù)作為負(fù)載封裝在一種可以在公網(wǎng)上傳輸?shù)臄?shù)據(jù)格式中，在目的局域網(wǎng)與公網(wǎng)的接口處將數(shù)據(jù)解封裝，取出負(fù)載。這樣，被封裝的數(shù)據(jù)包在互聯(lián)網(wǎng)上傳遞時(shí)所經(jīng)過(guò)的邏輯路徑被稱為“隧道”。 目前VPN隧道協(xié)議有四種。

　　點(diǎn)對(duì)點(diǎn)隧道協(xié)議PPTP PPTP（Point to Point Tunneling Protocol）協(xié)議將控制包與數(shù)據(jù)包分開(kāi)。控制包采用TCP控制，用于嚴(yán)格的狀態(tài)查詢及信令信息；數(shù)據(jù)包部分先封裝在PPP協(xié)議中，然后封裝到GRE （通用路由協(xié)議封裝） V2協(xié)議中。目前，PPTP協(xié)議基本已被淘汰，不再使用在VPN產(chǎn)品中。

　　第二層隧道協(xié)議L2TP L2TP（Layer 2 Tunneling Protocol）協(xié)議是國(guó)際標(biāo)準(zhǔn)隧道協(xié)議。它結(jié)合了PPTP協(xié)議以及第二層轉(zhuǎn)發(fā)L2F（Layer 2 Forwarding，二層轉(zhuǎn)發(fā)協(xié)議）協(xié)議的優(yōu)點(diǎn)，能以隧道方式使PPP包通過(guò)各種網(wǎng)絡(luò)協(xié)議，包括ATM、SONET和幀中繼。但是，L2TP沒(méi)有任何加密措施，更多的是和IPSec協(xié)議結(jié)合使用，提供隧道驗(yàn)證。

　　IPSec協(xié)議 IPSec（網(wǎng)絡(luò)協(xié)議安全）協(xié)議不是一個(gè)單獨(dú)的協(xié)議，它給出了應(yīng)用于IP層上網(wǎng)絡(luò)數(shù)據(jù)安全的一整套體系結(jié)構(gòu)。它包括網(wǎng)絡(luò)安全協(xié)議AH (Authentication Header)協(xié)議和ESP (Encapsulating Security Payload)協(xié)議、密鑰管理協(xié)議IKE (Internet Key Exchange)協(xié)議和用于網(wǎng)絡(luò)驗(yàn)證及加密的一些算法等。IPSec 規(guī)定了如何在對(duì)等層之間選擇安全協(xié)議、確定安全算法和密鑰交換，向上提供了訪問(wèn)控制、數(shù)據(jù)源驗(yàn)證、數(shù)據(jù)加密等網(wǎng)絡(luò)安全服務(wù)。

　　現(xiàn)在一種發(fā)展趨勢(shì)，是將L2TP和IPSec結(jié)合起來(lái)，即用L2TP作為隧道協(xié)議，用IPSec協(xié)議保護(hù)數(shù)據(jù)。目前，市場(chǎng)上大部分VPN都采用這類技術(shù)。它的優(yōu)點(diǎn)是定義了一套用于保護(hù)私有性和完整性的標(biāo)準(zhǔn)協(xié)議，可確保運(yùn)行在TCP/IP協(xié)議上VPN之間的互操作性；不足之處在于，除了包過(guò)濾外，它沒(méi)有指定其他訪問(wèn)控制方法，對(duì)于采用NAT（網(wǎng)絡(luò)地址翻譯）方式訪問(wèn)公共網(wǎng)絡(luò)的情況難以處理，為此最適合于可信LAN到LAN之間VPN的場(chǎng)合應(yīng)用。

　　VPN應(yīng)用實(shí)例 

　　廣東一家職業(yè)學(xué)校，有1000多臺(tái)計(jì)算機(jī)。學(xué)校原有的網(wǎng)絡(luò)系統(tǒng)比較復(fù)雜，是通過(guò)光纖方式連接，因?yàn)閮?nèi)部上網(wǎng)環(huán)境混亂，文件處理速度特別慢，導(dǎo)致學(xué)校的辦公也受到影響，同時(shí)還會(huì)造成學(xué)校數(shù)據(jù)不能共享。另外，網(wǎng)絡(luò)安全也得不到有效地保證。為此，該學(xué)校決定對(duì)原有網(wǎng)絡(luò)進(jìn)行改造，選擇了一套基于光纖的LanGate UTM VPN解決方案。由此，該學(xué)校實(shí)現(xiàn)了各個(gè)節(jié)點(diǎn)之間的VPN互聯(lián)。試運(yùn)行結(jié)果表明，學(xué)校辦公可以做到及時(shí)發(fā)布信息，實(shí)現(xiàn)網(wǎng)絡(luò)安全的數(shù)據(jù)共享，還可以方便地進(jìn)行網(wǎng)絡(luò)維護(hù)，整個(gè)網(wǎng)絡(luò)的安全性得到了很大提高，辦公效率明顯增加。 

　　圖

　　方案特點(diǎn) 

　　如上圖所示，遠(yuǎn)程的VPN客戶端要與內(nèi)網(wǎng)的辦公機(jī)通信，內(nèi)部各分點(diǎn)都需要和總機(jī)相連，使用總機(jī)的服務(wù)器或者進(jìn)行其他的相關(guān)的應(yīng)用，比如內(nèi)部的辦公點(diǎn)等。

　　LanGate 優(yōu)勢(shì)

　　LanGate UTM是一款全方位的UTM集成網(wǎng)關(guān)設(shè)備，具有包過(guò)濾防火墻、VPN、病毒過(guò)濾等功能，它具備更高的網(wǎng)絡(luò)穩(wěn)定性、更靈活的安全策略、更安全的服務(wù)器保護(hù)、更務(wù)實(shí)的上網(wǎng)行為管控、更完善細(xì)致的統(tǒng)計(jì)報(bào)表。

　　VPN優(yōu)化：LanGate VPN采用專用硬件加密、加速處理器來(lái)加密和解密VPN數(shù)據(jù)流，在加密的同時(shí)也可以進(jìn)行數(shù)據(jù)壓縮，可很大的提高數(shù)據(jù)傳輸效率，減少訪問(wèn)延遲。LanGate UTM在VPN兩端對(duì)基于RPC的應(yīng)用協(xié)議、MAPI協(xié)議、CIFS協(xié)議、HTTP協(xié)議等協(xié)議進(jìn)行優(yōu)化，通過(guò)對(duì)上述協(xié)議和應(yīng)用層協(xié)議的優(yōu)化，對(duì)提升網(wǎng)絡(luò)傳輸速率非常有效。

　　穩(wěn)定性好：本產(chǎn)品基于可持續(xù)安全平臺(tái)，集成專業(yè)模塊，采取多核處理器，有別于CPU中央處理器的線模式，并且每個(gè)專業(yè)模塊可獨(dú)立升級(jí)，真正實(shí)現(xiàn)按需就防。

　　安全性高：LanGate UTM設(shè)備不但提供了構(gòu)建IPSEC與L2TP VPN的高安全性，同樣提供企業(yè)級(jí)的防火墻、入侵檢測(cè)、內(nèi)容過(guò)濾、反病毒的功能，替換原來(lái)只提供簡(jiǎn)單功能的路由器，以確保整個(gè)局域網(wǎng)的安全性。

　　保護(hù)性好：專有的DMZ區(qū)域，將各區(qū)域完全分開(kāi)，DMZ區(qū)域內(nèi)的服務(wù)器組通過(guò)端口映射與內(nèi)外網(wǎng)通訊。

　　務(wù)實(shí)的上網(wǎng)管控：可以記錄和解釋網(wǎng)絡(luò)如何被使用，動(dòng)態(tài)的在屏幕上顯示出用戶的使用情況，還可為上網(wǎng)用戶分配適當(dāng)?shù)木W(wǎng)絡(luò)帶寬，提高整體的辦公效率。

　　細(xì)致的統(tǒng)計(jì)報(bào)表：簡(jiǎn)單友好的WEB顯示界面，實(shí)時(shí)的日志功能，系統(tǒng)管理員可以將報(bào)告導(dǎo)出為Excel、PDF及HTML等格式，方便地進(jìn)行報(bào)告查詢、重組。

文章作者：科技資訊網(wǎng)