深入探讨VPN技术概念和需求

随着安全应用的增多,VPN技术的部署也变得流行与普及,VPN是一个广义上的概念,可以通过多种技术来实现.或许常常会听到如站点到站点VPN,远程访问VPN,PPTP,L2TP,GRE,SSL等.接下来,我们主要探讨究竟主要是哪些技术,如何实现,如何配置.
% T/ D, q8 o; Q2 g2 t& Y
+ Z) ~( l7 @- G9 w7 k9 m" `由于在一篇文章内很难把所有的问题都说清楚,所以,一篇文章只会进行一种VPN技术原理与配置方式地描述.因此,将会推出关于各种VPN的多个专集,同时,本着交流中进步的原则,希望各位安全朋友参与提问和讨论,如果你的想法得到大多数人的支持,将会以专家积分的形式给予奖励!

% A3 o' j+ z& c- z+ K当然,在讨论这些技术前,我们必须先对VPN进行一个分类.

VPN的分类方式比较混乱.不同的生产厂家在销售它们的VPN产品时使用了不同的分类方式,它们主要是产品的角度来划分的.不同的ISP在开展VPN业务时也推出了不同的分类方式,他们主要是从业务开展的角度来划分的.而用户往往也有自己的划分方法,主要是根据自己的需求来进行的.下面简单介绍从不同的角度对VPN的分类.

7 t7 k; K2 t" R/ @. I一、按接入方式划分
2 g9 {: d; {: o* ~; w; a: o5 d
这是用户和运营商最关心的VPN划分方式.一般情况下,用户可能是专线上(因特)网的,也可能是拨号上网的,这要根据用户的具体情况而定.建立在IP网上的VPN也就对应的有两种接入方式:专线接入方式和拨号接入方式.bbs.vlan5.com
(1)专线VPN: 它是为已经通过专线接入ISP边缘路由器的用户提供的VPN解决方案.这是一种"永远在线"的VPN,可以节省传统长途专线费用.
, B' t( h: L/ v(2)拨号VPN(又称VPDN)它是向利用拨号PSTN或ISDN接入ISP的用户提供的VPN业务.这是一种"按需连接"的VPN,可以节省用户的长途电话费用.需要指出的是,因为用户一般是漫游用户,是"按需连接"的,因此VPDN通常需要做身份认证(比如利用CHAP和RADIUS)

二、按协议实现类型划分
) P+ X4 x- Z! U* M9 e
4 a2 k( E% `$ Q0 W) K这是VPN厂商和ISP最为关心的划分方式.根据分层模型,VPN可以在第二层建立,也可以在第三层建立(甚至有人把在更高层的一些安全协议也归入VPN协议.)
( J. l! \- p$ k* i4 x; w/ V(1)第二层隧道协议: 这包括点到点隧道协议(PPTP)、第二层转发协议(L2F)、第二层隧道协议(L2TP)、多协议标记交换(MPLS)等.
(2)第三层隧道协议: 这包括通用路由封装协议(GRE)、IP安全(IPSec),这是目前最流行的两种三层协议.
: K2 k1 s4 }# R; H: T7 X4 Z* l第二层和第三层隧道协议的区别主要在于用户数据在网络协议栈的第几层被封装,其中GRE、IPSec和MPLS主要用于实现专线VPN业务,L2TP主    要用于实现拨号VPN业务(但也可以用于实现专线VPN业务),当然这些协议之间本身不是冲突的,而是可以结合使用的.
0 d' S, h( @3 E. `$ |4 q
6 |% f' v+ g3 f2 u$ [/ {3 l三、按VPN的发起方式划分
; \& i3 E2 v, v7 Y
' V' x9 z0 Y! B2 y/ U这是客户和ISP最为关心的VPN分类.VPN业务可以是客户独立自主实现的,也可以是由ISP提供的.
" |5 m) i) W4 E; t0 |  f; s(1)发起(也称基于客户的): VPN服务提供的起始)方安装隧道软件.客户方的软件发起隧道,在公司隧道服务器处终止隧道.此时ISP不需要做    支持建立隧道的任何工作.经过对用户身份符(ID)和口令的验证,客户方和隧道服务器极易建立隧道.双方也可以用加密的方式通信.隧道一    经建立,用户就会感觉到ISP不在参与通信.
(2)服务器发起(也称客户透明方式或基于网络的): 在公司中心部门或ISP处(POP、Point of presence)安装VPN软件,客户无须安装任何特    殊软件.主要为ISP提供全面管理的VPN服务,服务提供的起始点和终止点是ISP的POP,其内部构成、实施和管理对VPN客户完全透明.
   
在上面介绍的隧道协议中,目前MPLS只能用于服务器发起的VPN方式.
1 @9 `% q' Y0 J8 ^; E6 W
四、按VPN的服务类型划分

. F- V0 m$ Q% {0 l; z; q: b; d- x根据服务类型,VPN业务大致分为三类: 接入VPN(Access VPN)、内联网VPN(Intranet VPN)和外联网VPN(Extranet VPN).通常情况下内联网VPN是专线VPN.
(1)接入VPN: 这是企业员工或企业的小分支机构通过公网远程访问企业内部网络的VPN方式.远程用户一般是一台计算机,而不是网络,因此    组成的VPN是一种主机到网络的拓扑模型.需要指出的是接入VPN不同于前面的拨号VPN,这是一个容易发生混淆的地方,因为远程接入可以是    专线方式接入的,也可以是拨号方式接入的.
(2)内联网VPN: 这是企业的总部与分支机构之间通过公网构筑的虚拟网,这是一种网络到网络以对等的方式连接起来所组成的VPN.
(3)外联网VPN: 这是企业在发生收购、兼并或企业间建立战略联盟后,使不同企业间通过公网来构筑的虚拟网.这是一种网络到网络以不对    等的方式连接起来所组成的VPN(主要在安全策略上有所不同).
2 Z1 c7 P6 w6 A3 ]
五、按承载主体划分
4 k+ d* o7 E8 ?' f+ E1 j" x
$ q1 b9 G0 }1 W; X营运VPN业务的企业,既可以自行建设他们的VPN网络,也可以把此业务外包给VPN商.这是客户和ISP最关心的问题.
(1)自建VPN: 这是一种客户发起的VPN.企业在驻地安装VPN的客户端软件,在企业网边缘安装VPN网关软件,完全独立于营运商建设自己的VPN    网络,运营商不需要做任何对VPN的支持工作.企业自建VPN的好处是它可以直接控制VPN网络,与运营商独立,并且VPN接入设备也是独立的.但    缺点是VPN技术非常复杂,这样组建的VPN成本很高,QoS也很难保证.
4 G  ~$ ~. u4 V7 R: N(2)外包VPN: 企业把VPN服务外包给运营商,运营商根据企业的要求规划、设计、实施和运维客户的VPN业务.企业可以因此降低组建和运维    VPN的费用,而运营商也可以因此开拓新的IP业务增值服务市场,获得更高的收益,并提高客户的保持力和忠诚度.笔者将目前的外包VPN划分    为两种: 基于网络的VPN和基于CE(用户边缘设备)的管理型VPN(Managed VPN).基于网络的VPN通常在运营商网络的呈现点(POP)安装电信级    VPN交换设备.基于CE的管理型VPN业务是一种受信的第三方负责设计企业所希望的VPN解决方案,并代表企业进行管理,所使用的安全网关(防    火墙、路由器等)位于用户一侧.
& m2 w2 i  [* c0 u' l7 ]
& P" P4 m9 O" a8 O% L, d六、按VPN业务层次模型划分
" k* T8 |  P$ z9 e+ ]9 w# Y
这是根据ISP向用户提供的VPN服务工作在第几层来划分的(注意不是根据隧道协议工作在哪一层划分的).
- S6 K$ H8 `$ y2 E+ A* a(1)拨号VPN业务(VPDN): 这是第一种划分方式中的VPDN(事实上是按接入方式划分的,因为很难明确VPDN究竟属于哪一层).
* P7 _7 v/ {% H6 V- x0 H! E(2)虚拟租用线(VLL): 这是对传统的租用线业务的仿真,用IP网络对租用线进行模拟,而从两端的用户看来这样一条虚拟租用线等价于过去      的租用线.
(3)虚拟专用路由网(VPRN)业务: 这是对第三层IP路由网络的一种仿真.可以把VPRN理解成第三层VPN技术.
2 p5 r7 r9 }8 E; }(4)虚拟专用局域网段(VPLS): 这是在IP广域网上仿真LAN的技术.可以把VPLS理解成一种第二层VPN技术.