藍色情懷

虛擬專用網（VPN）被定義為通過一個公用網絡（通常是網際網路）建立一個臨時的、安全的連接，是一條穿過混亂的公用網絡的安全、穩定的隧道。虛擬專用網是對企業內部網的擴展。

虛擬專用網可以幫助遠端用戶、公司分支機搆、商業夥伴及供應商同公司的內部網建立可信的安全連接，並保證資料的安全傳輸。通過將資料流程轉移到低成本的壓網 絡上，一個企業的虛擬專用網解決方案將大幅度地減少用戶花費在城域網和遠端網路連接上的費用。同時，這將簡化網路的設計和管理，加速連接新的用戶和網站。 另外，虛擬專用網還可以保護現有的網路投資。隨著用戶的商業服務不斷發展，企業的虛擬專用網解決方案可以使用戶將精力集中到自己的生意上，而不是網路上。 虛擬專用網可用於不斷增長的移動用戶的全球網際網路接入，以實現安全連接；可用於實現企業網站之間安全通信的虛擬專用線路，用於經濟有效地連接到商業夥伴和 用戶的安全外聯網虛擬專用網。

虛擬專用網至少應能提供如下功能：

·加密資料，以保證通過公網傳輸的資訊即使被他人截獲也不會洩露。
·資訊認證和身份認證，保證資訊的完整性、合法性，並能鑒別用戶的身份。
·提供訪問控制，不同的用戶有不同的訪問許可權。

VPN的分類

根據VPN所起的作用，可以將VPN分為三類：VPDN、Intranet VPN和Extranet VPN。

1. VPDN（Virtual Private Dial Network）

在遠端用戶或移動雇員和公司內部網之間的VPN，稱為VPDN。實現過程如下：用戶撥號NSP（網路服務提供商）的網路訪問伺服器NAS（Network Access Server），發出PPP連接請求，NAS收到呼叫後，在用戶和NAS之間建立PPP鏈路，然後，NAS對用戶進行身份驗證，確定是合法用戶，就啟動 VPDN功能，與公司總部內部連接，訪問其內部資源。

2. Intranet VPN

在公司遠端分支機搆的LAN和公司總部LAN之間的VPN。通過Internet這一公共網路將公司在各地分支機搆的LAN連到公司總部的LAN，以便公司內部的資源分享、文件傳遞等，可節省DDN等專線所帶來的高額費用。

3. Extranet VPN

在供應商、商業合作夥伴的LAN和公司的LAN之間的VPN。由於不同公司網路環境的差異性，該產品必須能相容不同的操作平臺和協定。由於用戶的多樣性， 公司的網路管理員還應該設置特定的訪問控制表ACL（Access Control List），根據訪問者的身份、網路位址等參數來確定他所相應的訪問許可權，開放部分資源而非全部資源給外聯網的用戶。

VPN的隧道協議

VPN區別於一般網路互聯的關鍵于隧道的建立，然後資料包經過加密後，按隧道協議進行封裝、傳送以保安全性。一般，在資料連結層實現資料封裝的協定叫第二 層隧道協議，常用的有PPTP、L2TP等；在網路層實現資料封裝的協定叫第三層隧道協定，如IPSec；另外，SOCKS v5協定則在TCP層實現資料安全。

1. PPTP（Point-to-Point Tunneling Protocol）/ L2TP（Layer 2 Tunneling Protocol）

1996年，Microsoft和Ascend等在PPP協議的基礎上開發了PPTP，它集成於Windows NT Server4.0中，Windows NT Workstation和Windows 9.X也提供相應的用戶端軟體。PPP支援多種網路協定，可把IP、IPX、AppleTalk或NetBEUI的數據包封裝在PPP包中，再將整個報文 封裝在PPTP隧道協議包中，最後，再嵌入IP報文或幀中繼或ATM中進行傳輸。PPTP提供流量控制，減少擁塞的可能性，避免由包丟棄而引發包重傳的數 量。PPTP的加密方法採用Microsoft點對點加密（MPPE:Microsoft Point-to-Point Encryption）演算法，可以選用較弱的40位密鑰或強度較大的128位密鑰。

1996年，Cisco提出L2F（Layer 2 Forwarding）隧道協議，它也支援多協定，但其主要用於Cisco的路由器和撥號訪問伺服器。1997年底，Micorosoft和Cisco公 司把PPTP協定和L2F協定的優點結合在一起，形成了L2TP協議。L2TP支援多協定，利用公共網路封裝PPP幀，可以實現和企業原有非IP網的兼 容。還繼承了PPTP的流量控制，支援MP（Multilink Protocol），把多個物理通道捆綁為單一邏輯通道。L2TP使用PPP可靠性發送（RFC1663）實現資料包的可靠發送。L2TP隧道在兩端的 VPN伺服器之間採用口令握手協議CHAP來驗證對方的身份。L2TP受到了許多大公司的支持。

●優點：PPTP/L2TP對用微軟作業系統的用戶來說很方便，因為微軟已把它作為路由軟體的一部分。PPTP/L2TP支援其他網路協定，如 Novell的IPX，NetBEUI和Apple Talk協定，還支援流量控制。它通過減少丟棄包來改善網路性能，這樣可減少重傳。

●缺點：PPTP和L2TP將不安全的IP包封裝在安全的IP包內，它們用IP幀在兩台電腦之間創建和打開資料通道，一旦通道打開，源和目的用戶身份就 不再需要，這樣可能帶來問題。它不對兩個節點間的資訊傳輸進行監視或控制。PPTP和L2TP限制同時最多只能連接255個用戶。端點用戶需要在連接前手 工建立加密通道。認證和加密受到限制，沒有強加密和認證支持。
PPTP和L2TP最適合用於遠端存取虛擬專用網。

2. IPSec（Internet Protocol Security）

IPSec是IETF（Internet Engineer Task Force）正在完善的安全標準，它把幾種安全技術結合在一起形成一個較為完整的體系，受到了眾多廠商的關注和支持。通過對資料加密、認證、完整性檢查來 保證資料傳輸的可靠性、私有性和保密性。IPSec由IP認證頭AH（Authentication Header）、IP安全載荷封載ESP（Encapsulated Security Payload）和密鑰管理協議組成。

IPSec協議是一個範圍廣泛、開放的虛擬專用網安全協議。IPSec適應向IP v6遷移，它提供所有在網路層上的資料保護，提供透明的安全通信。IPSec用密碼技術從三個方面來保證資料的安全。即：

·認證。用於對主機和端點進行身份鑒別。
·完整性檢查。用於保證資料在通過網路傳輸時沒有被修改。
·加密。加密IP位址和資料以保證私有性。

IPSec協定可以設置成在兩種模式下運行：一種是隧道模式，一種是傳輸模式。在隧道模式下，IPSec把IP v4資料包封裝在安全的IP幀中，這樣保護從一個防火牆到另一個防火牆時的安全性。在隧道模式下，資訊封裝是為了保護端到端的安全性，即在這種模式下不會 隱藏路由資訊。隧道模式是最安全的，但會帶來較大的系統開銷。IPSec現在還不完全成熟，但它得到了一些路由器廠商和硬體廠商的大力支持。預計它今後將 成為虛擬專用網的主要標準。IPSec有擴展能力以適應未來商業的需要。在1997年底，IETF安全工作組完成了IPSec的擴展，在IPSec協議中 加上ISAKMP（Internet Security Association and Key Management Protocol）協議，其中還包括一個密鑰分配協議Oakley。ISAKMP/Oakley支援自動建立加密通道，密鑰的自動安全分發和更新。 IPSec也可用於連接其他層已存在的通信協定，如支援安全電子交易（SET：Secure Electronic Transaction）協定和SSL（Secure Socket layer）協議。即使不用SET或SSL，IPSec都能提供認證和加密手段以保證資訊的傳輸。

●優點：它定義了一套用於認證、保護私有性和完整性的標準協定。 IPSec支援一系列加密演算法如DES、三重DES、IDEA。它檢查傳輸的資料包的完整性，以確保資料沒有被修改。IPSec用來在多個防火牆和伺服器 之間提供安全性。IPSec可確保運行在TCP/IP協議上的VPNs之間的互操作性。

●缺點：IPSec在客戶機/伺服器模式下實現有一些問題，在實際應用中，需要公鑰來完成。IPSec需要已知範圍的IP位址或固定範圍的IP位址，因此 在動態分配IP位址時不太適合於IPSec。除了TCP/IP協定外，IPSec不支援其他協定。除了包過濾之外，它沒有指定其他訪問控制方法。可能它的 最大缺點是微軟公司對IPSec的支持不夠。

IPSec最適合可信的LAN到LAN之間的虛擬專用網，即內部網虛擬專用網。

3. SOCKs v5

SOCKs v5由NEC公司開發，是建立在TCP層上安全協議，更容易為與特定TCP埠相連的應用建立特定的隧道，可協同IPSec、L2TP、PPTP等一起使用。SOCKs v5能對連接請求進行認證和授權。

SOCKS v5是一個需要認證的防火牆協定。當SOCKS同SSL協議配合使用時，可作為建立高度安全的虛擬專用網的基礎。SOCKS協議的優勢在訪問控制，因此適 合用於安全性較高的虛擬專用網。SOCKS現在被IETF建議作為建立虛擬專用網的標準，儘管還有一些其他協定，但SOCKS協定得到了一些著名的公司如 Microsoft，Netscape，IBM的支持。

SOCKS v5的優點：SOCKS v5在OSI模型的會話層控制資料流程，它定義了非常詳細的訪問控制。在網路層只能根據源和目的IP位址允許或拒絕資料包通過，在會話層控制手段要更多一 些。SOCKS v5在客戶機和主機之間建立了一條虛電路，可根據對用戶的認證進行監視和訪問控制。SOCKS v5和SSL工作在會話層，因此能向低層協議如IP v4，IPSec，PPTP，L2TP一起使用。它能提供非常複雜的方法來保證資訊安全傳輸。用SOCKS v5的代理伺服器可隱藏網路位址結構。如果SOCKS V5同防火牆結合起來使用，資料包經一個唯一的防火牆埠（缺省的是1080）到代理伺服器，再經代理伺服器過濾發往目的電腦的資料，這樣可以防止防火 牆上存在的漏洞。SOCKS v5能為認證、加密和密鑰管理提供“插件”模組，可讓用戶很自由地採用他們所需要的技術。SOCKS v5可根據規則過濾資料流程，包括Java Applet和ActiveX控制項。

●SOCKS v5的缺點：因為SOCKS v5通過代理伺服器來增加一層安全性，因此其性能往往比低層協定差。儘管比網路層和傳輸層的方案要更安全，但要制定比低層協議更為複雜的安全管理策略。

基於SOCKSv5的虛擬專用網最適合用於客戶機到伺服器的連接模式，適合用於外聯網虛擬專用網。