IPSec,VPN技术_

　　摘要 本文简述了IPSec VPN的概念、工作原理、特点及应用，以便发挥其重要的作用。 　　关键词 VPN；原理；特点；应用 　　中图分类号TP393 文献标识码A 文章编号 1674-6708（2011）35-0182-01
　　1 VPN的概念
　　所谓VPN（Virtual Private Network，虚拟私有网络）是指将物理上分布在不同地点的网络通过公用骨干网联接而成逻辑上的虚拟子网，这里的公用网主要指Interet。为了保障信息在Internet上传输的安全性，VPN通过建立隧道机制实现，隧道机制可以提供一定的安全性，并且使VPN中分组的封装方式、地址信息与承载网络的封装方式、地址信息无关。VPN技术采用了认证、存取控制、机密性、数据完整性等措施，以保证信息在传输中不被偷看、篡改、复制。
　　2 IPSec是VPN最常用技术之一
　　IPSec VPN是基于IPSec（Internet Protocol Security）规范的VPN技术或网络的统称。IPSec即Intenet安全协议，是IETF提供Internet安全通信的一系列规范，它提供私有信息通过公用网的安全保障。IPSec规范相当复杂，规范中包含大量的文档。IPSec在TCP/IP协议的核心层―IP层实现，可以有效地保护各种上层协议，并为各种安全服务提供一个统一的平台。
　　3 IPSec VPN工作原理
　　设想甲、乙两个异地局域网需要进行通讯，因为是局域网内网IP地址不能通过INTERNET公网进行安全通讯。只有通过IPSec包封装技术，利用Internet公网IP地址，封装内部私网的IP数据，实现异地网络的互通：如果甲私网IP发信给乙私网IP地址，甲局域网IP数据经甲私网IP地址传至出口处甲地IPSec VPN网关进行加密封装，通过INTERNET公网传送至乙地IPSec VPN网关进行解密拆封装后，交给乙局域网私网IP地址。相反乙私网IP地址回信给甲私网IP也是一样过程，这样就实现异地局域网对局域网的通讯。IPSEC引进了完整的安全机制，包括加密、认证和数据防篡改功能，保证数据通信安全正确。IPSec安全协议对数据封装加密及身份认证使用同一密钥，既用于加密又用于解密。私钥加密算法非常快，特别适用于对较大的数据流执行加密转换。IPSEC通讯的数据认证使用md5算法计算包文特征，报文还原以后，检查这个特征码，看看是否匹配，证明数据传输过程是否被篡改。
　　4 IPSec VPN特点
　　1）经济：用户不再承担昂贵的固定线路的租费。DDN、帧中继、SDH的异地租费很高，而Internet的接入费用则只承担本地的宽带费用，费用很低。此外VPN网关设备功能强劲但造价低廉；2）灵活： 接入灵活，不受互联网接入运营商的限制，支持动态IP地址和NAT穿越。连接Internet 的方式可以是10M 、100M 端口，也可以是2M 或更低速的端口，XDSL 或拨号都可以连接Internet。一个IPSec VPN网络可以连接任意地点的分支，即使跨越大洋也毫不受限制。支持多分支多端口，扩展性好；3）安全： IPSec VPN最显著特点就是它的安全性，这是它保证内部数据安全的根本。通过领先的通道协议、数据加密、过滤/防火墙、通过RADIUS、LDAP和 SecurID实现授权等多种方式保证安全。同时，VPN 设备内置专业防火墙功能，对数据包采用多维策略过滤，最大可能地防止黑客攻击；4）可靠： VPN 设备可提供冗余机制，保证链路和设备的可靠性。在中心节点VPN 核心设备提供冗余CPU 、冗余电源的硬件设计。而在链路发生故障时，VPN交换机支持静态隧道故障恢复功能，隧道定时巡检机制，快速自动修复功能，确保互联数据的安全可靠；5）方便： 技术人员可以通过管理软件，实现远程配置节点设备，方便管理及故障处理；
　　6）多业务： 通过IPSec VPN网络可以传送IP话音、视频业务、数据业务，运行ERP软件，为现代化办公提供便利条件。
　　5 IPSec VPN应用
　　由于使用VPN传输数据相对于租用专线来说，费用极为低廉，所以VPN的出现使企业通过Internet既安全又经济地传输私有的机密信息成为首选。VPN主要目标客户为连锁企业或具有分支机构的大中型企业，也可以是对专线资费敏感的小型商户。许多世界500 强的企业已经把VPN作为远端分支和移动用户连接的主要渠道和手段，构建企业虚拟业务网络。IPSec VPN既可以用于构建企业的Intranet，也可以用于构建Extranet。在经济全球化的今天，随着电子商务的兴起，办公OA的普及，IPSec VPN应用必将越来越广泛。