VPN的基础介绍

VPN即虚拟专用 ，用于在公用 络上构建私人专用虚拟 络，并在此虚拟 络中传输私 流量。VPN把现有的物理 络分解成逻辑上隔离的 络，在不改变 络现状的情况下实现安全、可靠的连接。

VPN具有以下两个基本特征：

VPN常见技术

VPN的产生背景

在VPN（Virtual Private Network）出现之前，跨越Internet的数据传输只能依靠现有物理 络，具有很大的不安全因素。

如下图所示，某企业的总部和分支机构位于不同区域（比如位于不同的国家或城市），当分支机构员工需访问总部服务器的时候，数据传输要经过Internet。由于Internet中存在多种不安全因素，则当分支机构的员工向总部服务器发送访问请求时， 文容易被 络中的黑客窃取或篡改。最终造成数据泄密、重要数据被破坏等后果。

图1 VPN出现前的 文传输

为了防止信息泄露，可以在总部和分支机构之间搭建一条物理专 连接，但其费用会非常昂贵，此时可以考虑采用VPN的方案进行解决。

VPN封装原理

VPN的基本原理是利用隧道（Tunnel）技术，对传输 文进行封装，利用VPN骨干 建立专用数据传输通道，实现 文的安全传输。

隧道技术使用一种协议封装另外一种协议 文（通常是IP 文），而封装后的 文也可以再次被其他封装协议所封装。

在上图中展示的 络中，如果存在VPN隧道，则数据传输如下图所示。当分支机构员工访问总部服务器时， 文封装过程如下：

图2 经过VPN封装后的 文传输

1. 文发送到 关1时， 关1识别出该用户为VPN用户后，发起与总部 关即 关2的隧道连接，从而 关1和 关2之间建立VPN隧道。
2. 关1将数据封装在VPN隧道中，发送给 关2。
3. 关2收到 文后进行解封装，并将原始数据发送给最终接收者，即服务器。
4. 反向的处理也一样。VPN 关在封装时可以对 文进行加密处理，使Internet上的非法用户无法读取 文内容，因而通信是安全可靠的。

VPN的优势

VPN和传统的数据专 相比具有如下优势：

VPN的应用场景及选择

VPN适用于以下基本场景，以及从以下场景中衍生的复杂场景。通过对比各种VPN的特点，可选择适合的VPN类型。

site-to-site VPN

site-to-site VPN即两个局域 之间通过VPN隧道建立连接。

如下图所示，企业的分支和总部分别通过 关1和 关2连接到Internet。出于业务需要，企业分支和总部间经常相互发送内部机密数据。为了保护这些数据在Interner中安全传输，在 关1和 关2之间建立VPN隧道。

图3 site-to-site VPN组 图

这种场景的特点为：两端 络均通过固定的 关连接到Internet，组 相对固定。且访问是双向的，即分支和总部都有可能向对端发起访问。适用于比如连锁超市、政府机关、银行等的业务通信。

此场景可以使用以下几种VPN实现：IPSec、L2TP、L2TP over IPSec、GRE over IPSec、IPSec over GRE。

client-to-site VPN

client-to-site VPN即客户端与企业内 之间通过VPN隧道建立连接。

如下图所示，外出差员工（客户端）跨越Internet访问企业总部内 ，完成向总部传送数据、访问内部服务器等需求。为确保数据安全传输，可在客户端和企业 关之间建立VPN隧道。

图4 client-to-site VPN组 图

这种场景的特点为：客户端的地址不固定。且访问是单向的，即只有客户端向内 服务器发起访问。适用于企业出差员工或临时办事处员工通过手机、电脑等接入总部远程办公。

此场景可以使用以下几种VPN实现：SSL、IPSec（IKEv2）、L2TP、L2TP over IPSec。

BGP/MPLS IP VPN

BGP/MPLS IP VPN主要用于解决跨域企业互连等问题。当前企业越来越区域化和国际化，同一企业的不同区域员工之间需要通过服务提供商 络来进行互访。服务提供商 络往往比较庞大和复杂，为严格控制用户的访问，确保数据安全传输，需在骨干 上配置BGP/MPLS IP VPN功能，实现不同区域用户之间的访问需求。

BGP/MPLS IP VPN为全 状VPN，即每个PE和其他PE之间均建立BGP/MPLS IP VPN连接。服务提供商骨干 的所有PE设备都必须支持BGP/MPLS IP VPN功能。

图5 BGP/MPLS IP VPN组 图