虛擬專用網(wǎng)絡(luò)詳解

1、虛擬專用網(wǎng)絡(luò)詳解虛擬專用網(wǎng)絡(luò)詳解虛擬專用網(wǎng)絡(luò)的基本概念專用網(wǎng)絡(luò)指的是企業(yè)內(nèi)部的局域和廣域網(wǎng)絡(luò)。在過去，大型企業(yè)為了網(wǎng)絡(luò)通訊的需求，往往必須投資人力、物力及財力，來建立企業(yè)專用的廣域網(wǎng)絡(luò)通訊管道，或采用長途電話甚至國際電話的昂貴撥接方式。在Inter蓬勃發(fā)展的現(xiàn)在，企業(yè)為了維持競爭力，通常需要將專用網(wǎng)絡(luò)與Inter間適當(dāng)?shù)卣显谝黄?，但是又必須花費一筆Inter連接的固定費用。基本上Inter是建立在公眾網(wǎng)絡(luò)的基礎(chǔ)之上，如果企業(yè)可以將專用

2、網(wǎng)絡(luò)中的廣域網(wǎng)絡(luò)連結(jié)與遠程撥號連接這兩部份，架構(gòu)在Inter這一類的公眾網(wǎng)絡(luò)之上，同時又可以維持原有的功能與安全需求的話，則將可以節(jié)省下一筆不算小的通訊費用支出。這個問題的解決方法，可以通過所謂的虛擬專用網(wǎng)絡(luò)(VirtualPrivatewkVPN)來達成。虛擬專用網(wǎng)絡(luò)的用途VPN技術(shù)可以讓公司員工在家或在公司外，通過公眾網(wǎng)絡(luò)(例如Inter)來和遠程的公司服務(wù)器建立連接。從遠程用戶的觀點來看，VPN是其計算機與公司服務(wù)器兩者之間的點對

3、點連接。VPN技術(shù)也可以讓公司通過公眾網(wǎng)絡(luò)(例如Inter)連接到分公司或其它公司。從公司網(wǎng)絡(luò)的觀點來看，VPN是兩個公司計算機網(wǎng)絡(luò)之間的廣域網(wǎng)絡(luò)連結(jié)。在這兩種狀況下，雖然通訊的過程事實上是通過公眾網(wǎng)絡(luò)進行的，但若經(jīng)過特別設(shè)計，其安全性就可以像專用網(wǎng)絡(luò)通訊一樣可以信賴，甚至更好。當(dāng)然，VPN技術(shù)也可以應(yīng)用在Intra之上，以便將在公司內(nèi)部中具備有極機密性質(zhì)的部門網(wǎng)絡(luò)，和公司內(nèi)其它網(wǎng)絡(luò)之間隔離開來。使用VPN技術(shù)，系統(tǒng)管理員可以確保只有在

4、公司網(wǎng)絡(luò)上具有適當(dāng)憑證的用戶，才能通過VPN服務(wù)器來建立和該機密部門網(wǎng)絡(luò)之間的VPN連接，并且獲得訪問該部門機密資料的權(quán)限。除此之外，通過VPN進行的所有通訊均可以加密。未具備適當(dāng)憑證的用戶，是無法查看這些資料與通訊的。虛擬專用網(wǎng)絡(luò)的基本需求VPN是ClientServer架構(gòu)的技術(shù)，一個VPN解決方案至少必須提供下列功能︰用戶驗證這個解決方案必須驗證用戶的身份，以及嚴(yán)格限制只有經(jīng)過授權(quán)的用戶才可以通過VPN訪問服務(wù)器端的資源和信息。另

5、外，這個解決方案也必須提供審核及記錄，以便顯示何人在何時訪問何種信息。地址管理這個解決方案必須指派一個專用網(wǎng)絡(luò)上的地址給客戶端，同時必須確保這些私人地址的機密性。資料加密在公眾網(wǎng)絡(luò)上傳送的資料，必須經(jīng)過處理，讓網(wǎng)絡(luò)上其它未經(jīng)授權(quán)的人無法訪問。鑰匙管理這個解決方案必須能夠產(chǎn)生及更新客戶端及服務(wù)器端的加密鑰匙。多重協(xié)議支持這個解決方案必須能夠處理公眾網(wǎng)絡(luò)上所常使用的通訊協(xié)議。這些協(xié)議包括InterProtocol(IP)、InterPack

6、etExchange(IPX)等等。在Windows2000中，提供了數(shù)種解決方案，其中以PointtoPointTunnelingProtocol(PPTP)或Layer2TunnelingProtocol(L2TP)為基礎(chǔ)的InterVPN解決方案，不但能符合以上所有基本需求，同時還可充分享受到Inter普及所帶來的好處。另外IPSecurityProtocol(IPSec)TunnelMode的解決方案，雖然只符合以上所說明的部份

7、需求，但在某些特定情況下，仍然是可以適用的。下面就為大家介紹其觀念。隧道(Tunneling)隧道的概念隧道就是使用網(wǎng)絡(luò)的基礎(chǔ)設(shè)施，將一個網(wǎng)絡(luò)上的資料通過另一個網(wǎng)絡(luò)傳送的方法。如前面所提到的虛擬專用網(wǎng)絡(luò)的不同應(yīng)用中，在兩端之間所建立起來的虛擬專用網(wǎng)絡(luò)，就是一種隧道技術(shù)的運用。舉例來說，若Ａ網(wǎng)絡(luò)在Ｂ網(wǎng)絡(luò)上建立一條隧道(tunnel)。Ａ網(wǎng)絡(luò)上在隧道兩端的計算機之間要互相傳遞資料，就必須有一致的通訊協(xié)議，但資料在通過隧道傳送的過程中，卻必須

8、使用Ｂ網(wǎng)絡(luò)所用的通訊協(xié)議。我們稱要傳送的資料為載量(payload)，對Ｂ網(wǎng)絡(luò)來說，載量可以是Ａ網(wǎng)絡(luò)所用通訊協(xié)議的幀(frame)或數(shù)據(jù)包(packet)。為了讓載量可以在Ｂ網(wǎng)絡(luò)上的隧道端點(tunnelendpoint)之間傳送，隧道協(xié)議上必須安裝適當(dāng)?shù)乃淼绤f(xié)議。在撥接的情況下，客戶端必須在建立隧道之前，先建立一個撥號連接到網(wǎng)絡(luò)。這是最常見的隧道類型。最佳的例子，就是撥接到Inter的用戶，他們必須先撥接到ISP連上Inter，才能建

9、立通過Inter的隧道。對于和LAN連接的計算機來說，客戶端已經(jīng)與網(wǎng)絡(luò)連接，而該網(wǎng)絡(luò)已提供將資料傳送到隧道服務(wù)器端的服務(wù)。這種情況通常發(fā)生在公司LAN上的用戶，公司LAN已連上Inter，因此他們不需要撥號連接，就能直接建立通過Inter的隧道。認為VPN需要撥號連接是很常見的錯誤觀念。事實上它只需要IP網(wǎng)絡(luò)，使用撥號連接到Inter，是準(zhǔn)備建立隧道的預(yù)備動作，但并不屬于隧道協(xié)議本身的一部份。義務(wù)型隧道(CompulsyTunnelin

10、g)某些具備VPN能力的遠程訪問服務(wù)器(RemoteAccessServer)，可以被設(shè)定作為隧道的客戶端，它與隧道服務(wù)器端間建立隧道，且義務(wù)為遠程撥接用戶服務(wù)，所以稱為義務(wù)型隧道。用戶的計算機不再是一個隧道端點，取而代之的是位于用戶計算機及隧道服務(wù)器之間的遠程訪問服務(wù)器。用戶計算機上不需要安裝隧道客戶端軟件，也不需要隧道協(xié)議，因此我們也可以說，用戶被迫(被迫與義務(wù)是同義的)使用遠程訪問服務(wù)器所代為建立的隧道。隨著支持隧道協(xié)議的不同，這

11、種設(shè)備也有不同的名稱，如PPTP的FrontEndProcess(FEP)、L2TP的L2TPAccessConcentrat(LAC)或IPSec的IPSecurityGateway。下圖是以Inter、PPTP為例。FEP可被設(shè)定成利用隧道來處理所有的撥接客戶端?；蛘撸現(xiàn)EP也可被設(shè)定成根據(jù)用戶名稱或目的地不同，利用隧道來處理個別的撥接客戶端。FEP與隧道服務(wù)器之間的隧道，可以被多個撥接客戶端所共享，因此該隧道會等到最后一位隧道用戶