第1章虛擬專用網概述
1.1 虛擬專用網的產生背景
隨著互聯網的飛速發展、網絡的普及，人們需要隨時、隨地以任意的接入方式聯入企業網、政府網，并進行移動辦公。另外，隨著企業的發展壯大，企業分支機構越來越多，合作伙伴越來越密集，企業與各分支機構、合作伙伴之間也需要隨時通信以保持業務往來。這都涉及遠程接入與網絡互聯問題。但是，在遠程接入、網絡互聯中，存在著身份假冒、信息竄改、信息泄露等安全威脅。
在傳統的廣域網互聯中，通常的做法是租用PSTN、X.25、FR或DDN等線路，為每個分支機構、合作伙伴建立*立的專用網絡（簡稱專網），組成企業或企業間的專用網絡，專用網絡的主要優點是安全性、帶寬及服務質量（QoS）都能得到保證；缺點是大量的*立專用網絡不僅存在著重復投資、資源利用率低等問題，而且增加了管理負擔，成本高。但隨著互聯網的發展，特別是寬帶IP技術的產生和發展，Internet（互聯網）的服務質量和帶寬已經有了明顯的改善，可靠性和可用性也大為增強，Internet已經提供了經濟、便利、快速、可靠和靈活的WAN通信，可是，互聯網仍不能提供與專用網相比的安全性。VPN技術就是在這樣的一個背景下提出來的，即依托于公共網絡（簡稱公網）實現專用網絡的功能，它兼備了兩者的優點，既能運行于互聯網或公共IP網絡之上，又能提供足夠的安全性。
1.2 虛擬專用網的概念
1.2.1 虛擬專用網概念演進
虛擬專用網概念由專網、最初的VPN概念，演進到今天的IP-VPN概念，共經歷了專用網絡、基于全數字接入的虛擬專用網和現代的虛擬專用網等三個階段。
1）專用網絡
**個階段是專用網絡。對于要求永久連接的情況，LAN通過租用的專用線路（簡稱專線，如DDN等）互聯而組成專網，遠程用戶通過PSTN直接撥入企業的訪問服務器。顯然，其可以獲得比較穩定的連接性能，企業網的安全性也容易得到保障，因為必須使用專用的設備，并能接觸到線路，才能獲取到租用線路上的數據。但是，從用戶的角度來說，它的通信費用高得驚人，企業需要自己去管理這樣一個遠程網絡。從服務提供商的角度，由于用戶*占的原因，即使線路沒有數據傳輸，或流量不大，其他用戶也無法利用，所以，線路的利用率不高。
2）基于全數字接入的虛擬專用網
第二個階段是基于全數字接入的虛擬專用網。上述原因促使數據通信行業人員和服務提供商設計并實現大量的統計復用方案，利用擁有的基礎設施，為用戶提供仿真的租用線路。這些仿真的租用線路稱為虛電路（Virtual Circuit，VC），虛電路可以是始終可用的永久虛電路（PVC），也可以是根據需要而建立的交換虛電路（SVC）。這里用戶將不同的LAN或節點通過如幀中繼（Frame Relay）或ATM提供的虛電路連接在一起，服務提供商利用虛擬環路技術將其他不相關的用戶隔離開。這些方案為用戶提供的服務幾乎與上述租用專線相同，但由于服務提供商可以從大量的客戶中獲得統計性效益，因此，這些服務的價格較專網便宜。
這兩個階段稱為永久性VPN。
3）現代的虛擬專用網
第三個階段是現代的虛擬專用網，即基于IP的虛擬專用網，稱為IP-VPN。在這個階段，VPN主要有以下三個主要特點。
一是基于公共IP網絡。
二是提供一種將公共IP網絡“化公為私”的組網手段，主要優勢是組網經濟。
三是保證在公網環境下所組建的網絡具有一定的“私有性、專用性”，即安全性。從提供組網服務的角度看，VPN技術有兩種實現方式：一是利用服務提供商的IP網絡基礎設施提供VPN服務；二是利用公共網絡資源構建VPN。特別是互聯網、3G/4G/5G網絡的發展，使得人們隨時隨地進行快速組網成為可能。
從網絡安全的角度來看，由于VPN技術，特別是基于IPsec安全協議的IP-VPN技術是一種包含加密、認證、訪問控制、網絡審計等多種安全機制的較為全面的網絡安全技術，能夠提供網絡安全整體解決方案，而且隨著互聯網的發展，其安全優勢越來越突出，為移動安全接入、安全互聯等提供了重要支撐，其也會不斷得到完善和發展。這也是出現“安全VPN”概念的原因，目的是同沒有采用密碼技術和訪問控制技術等網絡安全技術的某些服務提供商提供的VPN相區別。
1.2.2 VPN定義
人們對VPN定義的理解存在著不同的角度。
1）從組網的角度來看
RFC 2547 將VPN定義為：將連接在公共網絡設施上的站點集合，通過應用一些策略建立了許多由這些站點組成的子集，并且只有當兩個站點至少屬于某個子集時，它們之間才有可能通過公共網絡進行IP互聯，每個這樣的子集就是一個VPN。
該定義反映的是一種現象，強調的是站點之間的組網，它將VPN定義為兩個或多個站點的集合，比較通俗、形象、客觀。
2）從安全傳輸的角度來看
有學者將VPN定義為：利用不安全的公用互聯網作為信息傳輸媒介，通過附加的安全隧道、用戶認證等技術實現與專用網絡相類似的安全性能，從而實現對重要信息的安全傳輸。
該定義關注的是載體、技術和目標。
上述兩個定義從不同的觀點出發，對VPN進行了解釋，基本反映了VPN“基于公共IP網絡、組網、安全性”特點。但是，闡述都比較片面。VPN的概念不僅要反映VPN基本特征，還必須反映VPN的內涵，即“虛擬”“專用”“網絡”“安全”以及構建安全、*占、自治的虛擬網絡。
針對上述定義存在的問題，國內最具有代表性和確切的定義是由陳性元教授提出的。他將VPN定義為：利用公共IP網絡設施，將屬于同一安全域的站點，通過隧道技術等手段，并采用加密、認證、訪問控制等綜合安全機制，構建安全、*占、自治的虛擬網絡。該定義*先反映了VPN是一個虛擬的網絡，還是一個安全的，給用戶的感覺是*自占有，且具有傳統網絡功能的網絡；其次強調了這個虛擬網絡是構建在公共IP網絡之上的，構建方法是將同屬于一個安全域的站點，通過隧道技術互聯在一起。該網絡的安全性是由綜合的安全機制來保證的，如加密機制、認證機制、訪問控制機制、安全審計機制等。
1.3 虛擬專用網的基本特征
陳性元提出的IP-VPN的定義不僅反映了VPN的主要特征，更強調了安全性和組網的功能。IP-VPN的定義揭示了IP-VPN的四個本質特征。
�。�1）基于公共的IP網絡環境：在VPN前冠以IP的根本原因。由于像互聯網這樣的IP網絡環境建構在諸多的TCP/IP標準協議之上，有著工業界*廣泛的支持，所以，利用VPN技術組網便利、經濟、可靠、可用，同時組網靈活，具有良好的適應性和可擴展性。
�。�2）安全性：VPN“專用”的*主要內涵之一。由于其構建在公共IP網絡之上，所以要采用網絡安全技術，來保證同一“安全域”內網絡信息的機密性、完整性、可鑒別性和可用性，這樣才能實現IP-VPN真正意義上的“專用、私有”。這也是VPN的關鍵所在，所以說安全性是IP-VPN的生命。
�。�3）*占性：用戶使用VPN時的一種感覺，其實用戶是與其他用戶或其他單位共享該公共網絡設施的，*占性也是“專用、私有”的內涵之一。
（4）自治性：虛擬專用網盡管是公共網絡虛擬構建的，但同傳統的專用網絡一樣，它是一個自治網絡系統，必須具有網絡的一切功能，具備網絡的可用性、可管理性，所以VPN應該是自成一體的*立網絡系統，具有協議*立性，即具有多協議支持的能力，可以使用非IP協議（如IPX等）；具有地址*立性，即可以自行定義滿足自己需要的地址空間，并且允許不同的VPN之間地址空間重疊、VPN內的地址空間和公共網絡的地址空間重疊。因此，安全性、*占性及自治性，使得構建在公共IP網絡環境上的VPN能夠真正做到“虛擬、專用”。
1.4 虛擬專用網的工作原理
本節以傳統的VPN拓撲結構來對VPN基本工作原理進行講解，如圖1.1 所示。IP-VPN設備保護LAN1、LAN2，LAN1 和LAN2 之間的安全互聯依賴于兩個網絡邊界的IP-VPN構建的安全隧道。IP-VPN設備包括的基本功能有訪問控制、報文認證、報文加解密、IP隧道協議封裝/解封裝等。VPN基本工作過程主要包括發送、接收等。
圖1.1 VPN基本原理示意圖
1）發送過程
LAN1 中的IP數據包到達IP-VPN設備時：
**步為訪問控制，即安全策略的判斷。若允許外出，則直接按照路由進行轉發；若為拒絕，則釋放IP數據包；若為VPN安全策略，則查找安全關聯（SA），獲取安全服務參數，對IP數據包進行相應的處理。
第二步為IP封裝，依據安全隧道協議對IP數據報文進行封裝，封裝后的數據報文的IP地址為安全隧道兩端的地址，即IP-VPN設備A、B的外部IP地址。對新封裝的數據報文，加上認證摘要長度，重新計算數據報文長度、校驗和，并填充到數據報文*外部的IP頭中。
第三步為報文認證，按照安全隧道協議的認證要求，對封裝后的數據報文進行完整性認證處理，并將認證摘要附在報文末位。
第四步為報文加密，按照安全隧道協議的加密要求，對數據報文進行加密，用加密后的密文替換報文中相應的明文。
將安全處理后IP數據包交付給公共IP網絡，在IP安全隧道的保護下傳遞給LAN2 的邊界VPN網關。
2）接收過程
接收過程與發送過程相對應。接收方收到數據包后，對數據包進行裝配還原，即碎包組包，還原為大的數據包。
**步為報文解密。按照安全隧道協議要求，查找安全關聯，對數據報文進行解密處理，并替換密文部分。
第二步為報文認證。對數據報文進行完整性認證，判斷數據報文是否在傳輸過程中被竄改，若完整性不一致，則丟棄數據包。
第三步為IP解封裝。對數據報文進行解封裝，去掉安全隧道協議部分、IP封裝部分，還原出LAN1 到LAN2 的原始數據包。
第四步為訪問控制。對數據包進行訪問控制處理，判斷數據包的安全策略是否為VPN安全策略，若不是，則丟棄數據包。
被允許的將數據包交由路由處理，轉發到LAN2 中。
1.5 虛擬專用網的分類
依據不同的標準和觀點，VPN有不同的分類。本節重點從利于理解VPN的原則，對VPN分類進行了較為系統的總結。大致可以分為按VPN的構建者分類、按VPN隧道的邊界分類、按VPN應用模式分類以及按安全隧道協議分類等。
1）按VPN的構建者分類
按VPN的構建者分類，VPN可以分為由服務提供商提供的VPN和由客戶自行構建的VPN兩種類型。
（1）由服務提供商提供的VPN。
服務提供商（SP）提供專門的VPN，也就是說VPN的隧道構建和管理由服務提供商負責，優點是客戶的工作變得簡單，缺點是不利于客戶的網絡安全，服務提供商非常清楚客戶的VPN，也了解通過隧道傳輸的內容，因為隧道是由服務提供商的設備封裝的，所以安全要求較高的VPN不適合由服務提供商提供。
�。�2）由客戶自行構建的VPN。
服務提供商只需提供簡單的IP服務，VPN的構建、管理由客戶負責，所以經由提供商的IP骨干網利用VPN傳輸信息時，所傳輸的信息是服務提供商不知道的，對于VPN內部的網絡路由等信息，服務提供商也是不清楚的。因此這種組網VPN的方式從安全的角度說，是易于被人們所接受的，因為安全完全掌握在自己的手中，當然，客戶就多了VPN構建、管理的管理工作。
2）按VPN隧道的邊界分類
按VPN隧道的邊界（即隧道的端點的位置）分類，VPN可以分為基于PE的VPN和基于CE的VPN。
新書資訊