王東海 劉陳

摘要：分析了VPN技術(shù)的特點及應用場合，然后實現(xiàn)了在企業(yè)中應用的3種模式。同時，針對在其應用中，隨著人數(shù)的增加和需求不斷增加，專線帶寬瓶頸越顯突出，導致分支用戶業(yè)務系統(tǒng)使用不便的問題，設計了一種優(yōu)化的方案。

關(guān)鍵詞：VPN技術(shù)；隧道；優(yōu)化

中圖分類號：TP393 文獻標識碼：A 文章編號：1009-3044（2015）06-0034-03

1概述

VPN（Virtual Private Network），即虛擬專用網(wǎng)，它是利用Internet或其它公共互聯(lián)網(wǎng)絡的基礎設施為用戶創(chuàng)建隧道，并能提供與專用網(wǎng)絡一樣的安全和功能保障。[1]由于通過VPN技術(shù)可以實現(xiàn)資源的傳輸和共享，并實現(xiàn)了網(wǎng)絡環(huán)境的穩(wěn)定和安全。因此，它得到了積極的推廣和應用。但其在應用過程中，隨著分支機構(gòu)辦公人員數(shù)量以及需求不斷增加，多帶寬使用率的要求也越來越高，導致分支用戶業(yè)務使用不便，同時專線vpn對于移動辦公人員和各辦事處人員訪問公司的系統(tǒng)不能更好的支持。因此，對其進行優(yōu)化也顯得十分必要。

2 VPN的應用

2.1 VPN的實現(xiàn)原理

VPN技術(shù)并不依靠物理上的端到端的專用連接，即沒有固定的物理連接，它是利用Internet、ATM等公用網(wǎng)絡設施，在兩臺直接與公網(wǎng)連接的計算機之間建立一條專用通道，建立起虛擬的專用通路，并利用隧道技術(shù)對數(shù)據(jù)進行封裝，使數(shù)據(jù)在具有認證和加密機制的隧道中穿越，從而實現(xiàn)點到點或端到端的安全連接。[2]通信過程的打包和解包工作則必須通過一個雙方協(xié)商好的協(xié)議進行，這樣在兩個私有網(wǎng)絡之間建立VPN通道將需要一個專門的過程，依賴于一系列不同的協(xié)議。這些設備和相關(guān)的設備及協(xié)議組成了一個VPN系統(tǒng)。一個完整的VPN系統(tǒng)一般包括3個單元：VPN服務器端、VPN客戶端機和VPN數(shù)據(jù)通道。

2.2 VPN 的實現(xiàn)

要實現(xiàn)VPN連接，企業(yè)內(nèi)部網(wǎng)絡中必需配置一臺VPN內(nèi)網(wǎng)接入設備，該設備有雙網(wǎng)卡，它一方面連接企業(yè)內(nèi)部網(wǎng)絡，另一方面連接到Internet，即VPN服務器必須有一個公用的IP地址。VPN 使用三個方面的技術(shù)保證了通信的安全性：隧道協(xié)議、身份驗證和數(shù)據(jù)加密。遠程用戶使用時根本無需關(guān)心隧道的建立、數(shù)據(jù)加密、用戶認證等過程。[3]遠程用戶采用TCP/IP 協(xié)議，選擇建立虛擬隧道，并保持原有的網(wǎng)絡結(jié)構(gòu)、網(wǎng)絡資源和應用模式不變，以便實現(xiàn)快捷、廉價、保密的通信。

2.3 VPN的應用場景

VPN的應用場景分可分為3種：

1）站點到站點或者網(wǎng)關(guān)到網(wǎng)關(guān)：在不同的地方分支，各使用一個網(wǎng)關(guān)相互建立VPN隧道，企業(yè)內(nèi)網(wǎng)（若干PC）之間的數(shù)據(jù)則通過這些網(wǎng)關(guān)建立的IPSec隧道實現(xiàn)安全互聯(lián)。

2）端到端或者PC到PC：兩臺PC之間的通信由兩臺PC之間的IPSec進行會話保護，而并不是網(wǎng)關(guān)。

3）端到站點或者PC到網(wǎng)關(guān)：兩臺PC之間的通信由網(wǎng)關(guān)和異地PC之間的IPSec進行保護。VPN只是IPSec的一種應用方式，它的目的是為IP提供高安全性特性，VPN則是在實現(xiàn)這種安全特性的方式下產(chǎn)生的解決方案。[4]

3 VPN的優(yōu)化

3.1 優(yōu)化方案設計

本方案主要是在總部和分支各部署一臺深信服（SANGFOR）加速設備，對現(xiàn)有專線數(shù)據(jù)傳輸進行優(yōu)化。SANGFOR VPN設備支持多種加密算法、硬件證書認證、移動客戶端專線功能，能保障用戶訪問安全和數(shù)據(jù)傳輸安全。

具體方案如下：

1）通過SANGFOR設備對專線線路重復冗余的數(shù)據(jù)進行刪減、壓縮，以減少數(shù)據(jù)傳輸量，提高分支機構(gòu)和總部之間響應速度；

2）對在通信信道中傳輸?shù)臄?shù)據(jù)進行加密傳輸，避免數(shù)據(jù)裸奔在互聯(lián)網(wǎng)上，遭受不法分子竊取和盜用；

3）對移動辦公、出差或辦事處的人員不需要添加任何設備，只需在總部的vpn設備上為之建立賬號和設置權(quán)限，便可以進行安全訪問。