虛擬專用網(wǎng)VPN類型與如何選購

VPN既是一種組網(wǎng)技術(shù)，又是一種網(wǎng)絡(luò)安全技術(shù)。VPN涉及的技術(shù)和概念比較多，應(yīng)用的形式也很豐富，其分類方式也很多，令人眼花繚亂。在技術(shù)篇中我們介紹了按實現(xiàn)技術(shù)將VPN分成基于隧道的VPN、基于虛電路的VPN和MPLS VPN等，這里再介紹幾種主要的劃分方式，供下一篇選擇VPN解決方案時參考。
一、VPN的類型
1、按應(yīng)用范圍劃分
這是最常用的分類方法，大致可以劃分為遠程接入VPN（Accesss VPN）、Intranet VPN和Extranet VPN等3種應(yīng)用模式。遠程接入VPN用于實現(xiàn)移動用戶或遠程辦公室安全訪問企業(yè)網(wǎng)絡(luò)；Intranet VPN用于組建跨地區(qū)的企業(yè)內(nèi)部互聯(lián)網(wǎng)絡(luò)；Extranet VPN用于企業(yè)與客戶、合作伙伴之間建立互聯(lián)網(wǎng)絡(luò)。
2、按VPN網(wǎng)絡(luò)結(jié)構(gòu)劃分
VPN可分為以下3種類型。
① 基于VPN的遠程訪問
即單機連接到網(wǎng)絡(luò)，又稱點到站點，桌面到網(wǎng)絡(luò)。用于提供遠程移動用戶對公司內(nèi)部網(wǎng)的安全訪問。
② 基于VPN的網(wǎng)絡(luò)互聯(lián)
即網(wǎng)絡(luò)連接到網(wǎng)絡(luò)，又稱站點到站點，網(wǎng)關(guān)（路由器）到網(wǎng)關(guān)（路由器）或網(wǎng)絡(luò)到網(wǎng)絡(luò)。用于企業(yè)總部網(wǎng)絡(luò)和分支機構(gòu)網(wǎng)絡(luò)的內(nèi)部主機之間的安全通信時，還可用于企業(yè)的內(nèi)部網(wǎng)與企業(yè)合作伙伴網(wǎng)絡(luò)之間的信息交流，并提供一定程度的安全保護，防止對內(nèi)部信息的非法訪問。
③ 基于VPN的點對點通信
即單機到單機，又稱端對端，用于企業(yè)內(nèi)部網(wǎng)的兩臺主機之間的安全通信。
3、按接入方式劃分
在Internet上組建VPN，用戶計算機或網(wǎng)絡(luò)需要建立到ISP的連接。與用戶上網(wǎng)接入方式相似，根據(jù)連接方式，可分為兩種類型。
① 專線VPN通過固定的線路連接到ISP，如DDN、幀中繼等都是專線連接。
② 撥號接入VPN簡稱VPDN，使用撥號連接（如模擬電話、ISDN和ADSL等）連接到ISP，是典型的按需連接方式。這是—種非固定線路的VPN。
4、按隧道協(xié)議劃分
按隧道協(xié)議的網(wǎng)絡(luò)分層，VPN可劃分為第2層隧道協(xié)議和第3層隧道協(xié)議。PPTP、L2P和L2TP都屬于第2層隧道協(xié)議，IPSec屬于第3層隧道協(xié)議，MPLS跨越第2層和第3層。VPN的實現(xiàn)往往將第2層和第3層協(xié)議配合使用，如L2TP/IPSec。當然，還可根據(jù)具體的協(xié)議來進一步劃分VPN類型，如PPTP VPN、L2TP VPN、IPSec VPN和MPLS VPN等。
第2層和第3層隧道協(xié)議的區(qū)別主要在于用戶數(shù)據(jù)在網(wǎng)絡(luò)協(xié)議棧的第幾層被封裝。第2層隧道協(xié)議可以支持多種路由協(xié)議，如IP、IPX和AppleTalk，也可以支持多種廣域網(wǎng)技術(shù)，如幀中繼、ATM、X.25或SDH/SONET，還可以支持任意局域網(wǎng)技術(shù)，如以太網(wǎng)、令牌環(huán)網(wǎng)和FDDI網(wǎng)等。 另外，還有第4層隧道協(xié)議，如SSL VPN。
5、按隧道建立方式劃分
根據(jù)VPN隧道建立方式，可分為兩種類型。
① 自愿隧道（Voluntary tunnel）
指客戶計算機或路由器可以通過發(fā)送VPN請求配置和創(chuàng)建的隧道。這種方式也稱為基于用戶設(shè)備的VPN。VPN的技術(shù)實現(xiàn)集中在VPN用戶端，VPN隧道的起始點和終止點都位于VPN用戶端，隧道的建立、管理和維護都由用戶負責。ISP只提供通信線路，不承擔建立隧道的業(yè)務(wù)。這種方式技術(shù)實現(xiàn)容易，不過對用戶的要求較高。不管怎樣，這仍然是目前最普遍使用的VPN組網(wǎng)類型。
② 強制隧道（Compulsory tunnel）
指由VPN服務(wù)提供商配置和創(chuàng)建的隧道。這種方式也稱為基于網(wǎng)絡(luò)的VPN。VPN的技術(shù)實現(xiàn)集中在ISP，VPN隧道的起始點和終止點都位于ISP，隧道的建立、管理和維護都由ISP負責。VPN用戶不承擔隧道業(yè)務(wù)，客戶端無需安裝VPN軟件。這種方式便于用戶使用，增加了靈活性和擴展性，不過技術(shù)實現(xiàn)比較復(fù)雜，一般由電信運營商提供，或由用戶委托電信運營商實現(xiàn)。
6、按路由管理方式劃分
按路由管理方式劃分，VPN分為兩種模式。
① 疊加模式（Overlay Model）
也譯為“覆蓋模式”。目前大多數(shù)VPN技術(shù)，如IPSec、GRE都基于疊加模式。采用疊加模式，各站點都有一個路由器通過點到點連接（IPSec、GRE等）到其他站點的路由器上，不妨將這個由點到點的連接以及相關(guān)的路由器組成的網(wǎng)絡(luò)稱為“虛擬骨干網(wǎng)”。疊加模式難以支持大規(guī)模的VPN，可擴展性差。如果一個VPN用戶有許多站點，而且站點間需要全交叉網(wǎng)狀連接，則一個站點上的骨干路由器必須與其他所有站點建立點對點的路由關(guān)系。站點數(shù)的增加受到單個路由器處理能力的限制。另外，增加新站點時，網(wǎng)絡(luò)配置變化也會很大，網(wǎng)狀連接上的每一個站點都必須對路由器重新配置。
② 對等模式（Peer Model）
對等模式是針對疊加模式固有的缺點推出的。它通過限制路由信息的傳播來實現(xiàn)VPN。這種模式能夠支持大規(guī)模的VPN業(yè)務(wù)，如一個VPN服務(wù)提供商可支持成百上千個VPN。采用這種模式，相關(guān)的路由設(shè)備很復(fù)雜，但實際配置卻非常簡單；容易實現(xiàn)QoS服務(wù)；擴展更加方便，因為新增一個站點，不需與其他站點建立連接。這對于網(wǎng)狀結(jié)構(gòu)的大型復(fù)雜網(wǎng)絡(luò)非常有用。MPLS技術(shù)是當前主流的對等模式VPN技術(shù)。
二、如何選擇VPN產(chǎn)品
如果單位自建VPN需要選購相關(guān)的產(chǎn)品。 一套完整的VPN產(chǎn)品一般包括3個部分即① VPN網(wǎng)關(guān)：用于實現(xiàn)LAN到LAN。② VPN客戶端：與VPN網(wǎng)關(guān)一起可實現(xiàn)客戶到LAN的VPN方案。③ VPN管理中心：對VPN網(wǎng)關(guān)和VPN客戶端的安全策略進行配置和遠程管理。 在選擇VPN產(chǎn)品時，我們可從以下幾個方面來考慮：
1、產(chǎn)品定位
首先應(yīng)考察產(chǎn)品定位問題。像其他網(wǎng)絡(luò)產(chǎn)品一樣，不同的VPN產(chǎn)品有不同的定位，按從高端到低端的順序，依次為電信級、企業(yè)級、中小企業(yè)、辦公室或SOHO。當然，中小企業(yè)只能選擇中小企業(yè)及以下級別的產(chǎn)品。
2、支持的應(yīng)用類型
VPN有3種應(yīng)用類型：LAN到LAN、客戶到LAN、客戶到客戶。這里的客戶指的是VPN網(wǎng)絡(luò)中的移動用戶和遠程辦公用戶。目前多數(shù)VPN產(chǎn)品都支持LAN到LAN和客戶到LAN，而支持客戶到客戶的產(chǎn)品不多。這一點在有些應(yīng)用場合很重要，例如企業(yè)的遠程辦公用戶之間需要交流保密信息，客戶到客戶的VPN方案是一種很好的解決手段。

3、支持的協(xié)議
自建VPN應(yīng)根據(jù)需要選擇隧道協(xié)議，目前PPTP、L2TP和IPSec是比較常用的協(xié)議。一般遠程訪問VPN（即客戶到LAN）多選擇L2TP協(xié)議，為安全起見，還需選擇IPSec來提供加密。網(wǎng)絡(luò)互聯(lián)（LAN到LAN）和端到端連接多選擇IPSec協(xié)議。PPTP由于簡單易用，而且支持NAT路由，因此在有些場合下也使用。總之，IPSec是最安全的隧道協(xié)議，多數(shù)VPN產(chǎn)品都支持該協(xié)議。當然越來越多的VPN產(chǎn)品開始支持PPTP和L2TP協(xié)議。
除隧道協(xié)議之外，還要考察VPN可承載協(xié)議、NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）以及路由協(xié)議的支持情況。許多VPN產(chǎn)品的可承載協(xié)議除IP協(xié)議之外，還支持IPX、NetBIOS等網(wǎng)絡(luò)協(xié)議。對NAT的支持對于一些網(wǎng)絡(luò)共享的應(yīng)用非常重要，IPSec本身并不支持NAT，但可在VPN產(chǎn)品中加進這一功能。與IPSec產(chǎn)生直接沖突的是網(wǎng)絡(luò)地址端口轉(zhuǎn)換（NAPT）和網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）。
NAT和NAPT在寬帶網(wǎng)絡(luò)中應(yīng)用很廣，許多網(wǎng)絡(luò)服務(wù)供應(yīng)商都使用這種技術(shù)。IPSec VPN方案如果不支持NAPT，在這些場合就沒有意義了。

4、是否集成防火墻功能
VPN將IP數(shù)據(jù)包加密封裝，往往會影響防火墻的性能，甚至影響安全策略的定義。一般來說，獨立的VPN產(chǎn)品與防火墻難以協(xié)同工作，特別是來自不同廠家的產(chǎn)品。最好選擇集成防火墻功能的VPN產(chǎn)品。

5、產(chǎn)品的基本配置
VPN的基本配置參數(shù)如下：
① 可支持的最大連接數(shù)。即使是小型網(wǎng)絡(luò)，最少應(yīng)不低于100，高端產(chǎn)品能支持數(shù)萬個連接。 ② VPN實現(xiàn)機制。有純軟件、純硬件、軟硬結(jié)合以及專用設(shè)備等方式。 ③ 可提供的網(wǎng)絡(luò)接口。常見的是以太網(wǎng)口，還有E1、T1等接口。 ④ 操作系統(tǒng)平臺，指VPN產(chǎn)品本身所采用的操作系統(tǒng)，許多產(chǎn)品都采用專有的操作系統(tǒng)。

6、VPN的管理性
提供專用的VPN管理軟件或平臺對于一個復(fù)雜的VPN網(wǎng)絡(luò)很重要，可簡化管理，減輕了系統(tǒng)管理員的負擔。

7、VPN的開放性和擴展性
VPN產(chǎn)品應(yīng)提供與第三方安全產(chǎn)品協(xié)同工作的能力，應(yīng)適應(yīng)多種平臺。便于擴展，以適應(yīng)VPN網(wǎng)絡(luò)的擴展和升級。

8、產(chǎn)品的其他功能
其他功能包括硬件加速功能（純硬件處理、加密卡、加速卡）、流量均衡、安全策略（安全網(wǎng)關(guān)、防火墻、集中管理、日志、加密）、安全機制（包過濾、加密、認證、日志、審核等）、認證機制（RADIUS、數(shù)字證書）和密鑰管理等。
另外，在選擇VPN方案和產(chǎn)品的時候，不要單純從組網(wǎng)和安全的技術(shù)角度考慮，還要考慮VPN的具體用途和所需成本。對于中小型VPN網(wǎng)絡(luò)來說，經(jīng)濟實用才是最重要的。

服務(wù)器租用/服務(wù)器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]