_企业VPN多种技术方案比较研究

　　摘要 根据企业实际需求，对现有常用的3种VPN技术方案做分析比较，选择适合外服应用的方案，再在方案基础上考虑其它功能集合。 　　关键词 VPN；技术方案；比较
　　中图分类号TP39 文献标识码A 文章编号 1674-6708（2010）33-0224-02
　　VPN被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。我们根据企业实际需求，对现有常用的3种VPN技术方案做分析比较，选择适合外服应用的方案，再在方案基础上考虑其它功能集合。
　　1 IPSEC VPN方案
　　IPSEC是一套比较完整成为体系的VPN技术，它规定了一系列的协议标准。它为数据在通过公用网络(如因特网)在网络层进行传输时提供安全保障。IPSEC通过包封装包的方法，通过Internet建立了一个通讯的隧道，通过这个通讯的隧道，就可以建立起网络的连接。
　　IPSEC协议支持几种操作模式，通信双方要确定所要采用的安全策略和使用模式，这包括如加密运算法则和身份验证方法类型等。在IPSEC协议中，一旦IPSEC通道建立，所有在网络层之上的协议在通信双方都经过加密，如TCP、UDP、SNMP、HTTP、POP、AIM、KaZaa等，而不管这些通道构建时所采用的安全和加密方法如何。
　　我们设计IPSEC方案中，中心和分支机构分别采用IPSEC VPN网关设备，中心为每个节点分配一套密码，各个节点通过密码与中心交换机互相认证，建立IPSEC VPN虚拟通路，这条通路的特性，如带宽、何时可以建立等通过中心统一管理。还可以通过双密钥机制实现更加可靠的认证。
　　2 SSL VPN方案
　　SSL的英文全称是“Secure Sockets Layer，中文名为“安全套接层协议层”，它是网景(Netscape)公司提出的基于WEB应用的安全协议。SSL协议指定了一种在应用程序协议(如Http、Telenet、NMTP和FTP等)和TCP/IP协议之间提供数据安全性分层的机制，它为TCP/IP连接提供数据加密、服务器认证、消息完整性以及可选的客户机认证。
　　从简单而一言，SSLVPN一般的实现方式是在企业的防火墙后面放置一个SSL代理网关或接入服务器设备。如果用户希望安全地连接到公司网络上，那么当用户在浏览器上输入一个URL后，连接将被SSL代理服务器取得，并验证该用户的身份，然后SSL代理服务器将提供一个远程用户与各种不同的应用服务器之间连接。
　　几乎所有的主流商业浏览器都集成了SSL，实施SSLVPN不需要再安装额外的软件。绝大多数SSL VPN的生产厂商都通过“signed plugins”提供其他的功能，“signed plugins”可以跟随浏览器自动传输给客户端。
　　SSL实现了客户端零安装，零配置。但其功能和应用也受到限制。它适合B/S模式，移动用户通过浏览器访问WEB服务应用，有的SSL VPN还对其他非B/S等进行有限扩充，增强了其可用性，可是在通用性、兼容性方面还存在很多不确定性，在认证方式、应用程序类型上限制很多。
　　按照SSLVPN设计的外服网络方案，中心和各分支节点采用专用SSL VNP设备连接Internet，要求设备兼容外服各项专用应用，系统要求较高，没有统一的扩展应用标准，存在是否能支持今后业务发展各项新应用等相关问题。方案中移动用户和家庭用户无需客户端连接SSLVPN服务器，经安全认证后使用各项B/S模式应用，解决较为理想，基本不用考虑计算机维护和相关网络问题，也较安全的隔离了病毒传播和木马程序等问题。
　　3 MPLS VPN方案
　　MPLS VNP是一种基于MPLS技术的IPVPN，是在网络路由和交换设备上应用MPLS（Multi protocol Label Switching，多协议标记交换）技术，简化核心路由器的路由选择方式，利用结合传统路由技术的标记交换实现的IP虚拟专用网络（IPVPN）。
　　MPLS技术通过标签的引入，将IP路由网络中“数据报”的转发方式转变为类似于“虚电路”VC的转发方式。VC的方式在数据包转发只前先由IP网络建立一条从源端到目的端的唯一路径，一旦这条路径确定，所有的数据包将通过这条路径传输。在MPLS网络中，路径即是由“标签”来表示的。在路由器中，每个目的网络由一个标签表示，所有到此目的网络的数据包被打上此标签转发到目的地。MPLS类似“虚电路”的标签转发方式保证两个VNP节点之间的流量经过唯一路径，不会被转发到其它节点，保证了用户数据包的安全性。
　　MPLS VPN能够利用电信运营商公用骨干网络强大的传输能力，为企业构建内部Intranet，同时能够满足用户对信息传输安全性、实时性、宽频带和方便性的需要。
　　在基于IP的网络中，MPLS具有很多优点，也有明显的缺点：
　　1）相对降低了成本
　　MPLS VPN方式支持路由器方式连接，能保护用户的以前专线方式设备投资；其运营租金与专线相比下降很多，降低了一定成本，但国内电信运营商还处于相对垄断阶段，租金还相对偏高。
　　2）提高了资源利用率，提高了网络速度
　　由于在网内使用标签交换，用户各个点的局域网可以使用重复的IP地址，提高了IP资源利用率。由于使用标签交换，缩短了每一跳过程中地址搜索的时间，减少了数据在网络传输中的时间，提高了网络速度。
　　3）系统应用支持能力强
　　网络对C/S、B/S和其他应用支持较好，保障业务开展和新信息系统今后支持。
　　4）MPLS具有QOS保证
　　网络通过电信运营商骨干城域网络实现，并由运营商提供24小时网管监控服务，保证了网络的服务质量。相对于其优点，MPLS的缺点也是明显的：
　　1）价格高
　　相对于使用IPSec、SSL方式通过Intranet组网，MPLS的代价比较高。相当于一种准专线。
　　2）跨运营商不便
　　由于需支持全国网络，可能会跨越不同运营商，运营商之间还有很多协调工作没有完成，中国电信、网通等巨头之间，互联互通并不完美，网络堵塞时有发生。从以上总结可以看出，MPLS更适应比较高端的大型用户。
　　参考文献
　　[1]白木，周洁.浅谈VPDN与VPN技术[J].有线电视技术，2003(4).
　　[2]张金权.VPDN企业端解决方案[J].邮电设计技术，2002(7).
　　[3]王龙.VPN技术如何实现[J].信息系统工程，2006(9).