VPN技术是什么？

　　当今，随着互联网的高速发展，国内公共信息网页得到不断的进步，已经遍布全国各地，但是由于很多公众信息网是对社会开放的，如果企业的信息通过公众信息网进行传输，网络安全逐渐成为一个潜在的巨大问题。网络的安全性、保密性、可靠稳定性，对于企业和一些跨区域专门从事特定业务的部门，从经济实用性、网络安全性、数据传输可靠性上来，看VPN技术无疑是一种不错的选择。

　　VPN，Virtual Private Network(虚拟专用网络)，是指利用公共网络建立私有专用网络，通过安全的“加密隧道”在公共网络中传播，连接再Interfnet上的位于不同地方的两个或对个企业内部之间建立一条专有的通信线路，就好比是架设一条专线一样。虚拟专用网是对企业内部网的扩展,它可以帮助异地用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。使用VPN有节省成本、提供远程访问、扩展性强、便于管理和实现安全控制等好处，是目前和今后企业网络发展的趋势。

　　TEIE组织对基于IP的VPN的解释为：通过专门的隧道加密技术在公共数据网络上仿真一条点到点的专线技术。所谓虚拟，是指用户不再需要拥有实际的长途数据线路，而是使用Internet公众数据网络的长途数据线路。所谓专用网络，是指用户可以为自己制定一个最符合自己需求的网络。

　　VPN被定义为通过一个公用互联网络建立一个临时的、安全的连接，是一条穿过混乱的公用网络的、安全、稳定隧道，使用这条隧道可以根据进行几倍加密达到安全使用互联网的目的，广泛使用企业办公当中，虚拟专用网也可以是针对企业内部网的扩展，虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网，因此很多办公一族在自己电脑中也需要建立VPN连接，方便远程办公等等。

　　由于VPN是在Internet上临时建立的安全专用虚拟网络，用户就节省了租用专线的费用，在运行的资金支出上，除了购买VPN设备，企业所付出的仅仅是向企业所在地的ISP支付一定的上网费用，也节省了长途电话费。这就是VPN价格低廉的原因。

　　虚拟专用网络是专用网络的延伸，它包含了类似 Internet 的共享或公共网络链接。通过VPN可以以模拟点对点专用链接的方式通过共享或公共网络在两台计算机之间发送数据。那"虚拟专用网络"的VPN到底是什么?

　　举个例子来说：从北京到广州的航班，VPN就如机场在众多的的主干班机上辟出的一条临时专用班机来供贵宾直通到广州。并且，VPN的存在不会影响其它信息照常传递，又能像传统的专网一样保障内部信息在公共信道上传输时的机密性、完整性和可用性。

　　再说的通俗些，VPN就如同“线路中的线路”就像公交BRT线，由VPN组成的“线路”因为是通过及时手段模拟出来的，因此就是“虚拟”的。不过，这种虚拟的专用网络技术却可以在一条公用线路中为两台计算机建立一个逻辑上的专用"通道"，它具有良好的保密和不受干扰性，使双方能进行自由而安全的点对点连接，因此被网络管理员们非常广泛地关注着。

　　以OSI模型参照标准，不同的VPN技术可以在不同的OSI协议层实现。如下图所示：

　　应用层VPN

　　SSL协议：

　　安全套接字层(Secure Socket Layer,SSL)是Netscape公司开发的网络安全协议，主要目的就是为网络通信应用进程间提供一个安全通道，是国际上最早应用于电子商务的一种安全协议，属于高层安全机制，广泛应用于Web 浏览程序和Web 服务器程序，提供对等的身份认证和应用数据的加密。

　　在SSL中，身份认证是基于证书的。服务器方向客户方的认证是必须的，而SSL 版本3中客户方向服务方的认证只是可选项，但是并没有得到广泛的应用。SSL 会话中包含一个握手阶段，在这个阶段通信双方交换证书，生成会话密钥，协商以后通信使用的加密算法。完成了握手以后，对于B/S的应用，应用程序就可以安全地传输数据而无需做很大修改，除了在传输数据时要调用SSL API而不是传统的套接字API，但是对于C/S结构的应用软件，其解决方案与会话层的VPN异曲同工。

　　SSL 是一个端到端协议，因而是在处于通信通路端点的机器上实现(通常是在客户机和服务器上)，而不需要在通信通路的中间节点(如路由器或防火墙)上实现。虽然理论上SSL可以用于保护TCP/IP 通信，但事实上SSL的应用几乎只限于HTTP。在SSL通信中，服务器方使用443端口，而客户方的端口是任选的。

　　SSL协议过程通过3个元素来完成：

　　(1)握手协议：这个协议负责配置用于客户机和服务器之间会话的加密参数。当一个SSL客户机和服务器第一次开始通信时，它们在一个协议版本上达成一致，选择加密算法和认证方式，并使用公钥来生成共享密钥。

　　(2)记录协议：这个协议用于交换应用数据。应用程序消息被分割成可管理的数据块，还可以压缩，并产生一个MAC(消息认证代码)，然后结果被加密并传输。接收方接收数据并对它解密，校验MAC，解压并重新组合，把结果提供给应用程序协议。

　　(3)警告协议：这个协议用于表示在什幺时候发生了错误或两个主机之间的会话在什幺时候终止。

　　会话层VPN

　　Socks协议是以一种应用层次的代理协议，它提供一张通用方案，能为应用程序提供基于TCP和UDP数据报文的代理服务，但它不能代理ICMP之类的底层通讯协议，Socks从协议的概念上来讲是介于应用层和传输层之间的“中介层(shim-layer)”,客户程序通过Socks客户端的1080端口透过防火墙发起连接，建立到Socks服务器的VPN隧道，然后代理应用程序的客户端与应用程序服务器进行通讯。在该框架中，协议能安全透明地穿过防火墙，并客户程序对目的主机是不可见的，从而很好地隐藏了目标主机。Socks 的关键技术是对客户端应用程序进行Socks化，加入对Socks协议的支持，然后服务器端再解析Socks化的结果。

　　Socks4协议：

　　Socks4协议为TELNET、FTP、HTTP、WAIS和GOPHER等基于TCP协议(不包括UDP)的客户/服务器程序提供了一个无需认证的防火墙，建立了一个没有加密认证的VPN隧道。

　　Socks5协议：

　　Socks5协议扩展了Socks4，以使其支持UDP、TCP框架规定的安全认证方案、地址解析方案中所规定的IPv4、域名解析和IPv6。为了实现这个Socks协议，通常需要重新编译或者重新链接基于TCP的客户端应用程序以使用Socks库中相应的加密函数，并且增加了对数据传输的完整性、数据包的压缩支持。

　　网络层VPN

　　IPSec协议：

　　IPSec(IP Security)产生于IPv6的制定之中，用于提供IP层的安全性。由于所有支持TCP/IP协议的主机进行通信时，都要经过IP层的处理，所以提供了IP层的安全性就相当于为整个网络提供了安全通信的基础。鉴于IPv4的应用仍然很广泛，所以后来在IPSec的制定中也增添了对IPv4的支持。

　　IPSec 也是IETF 支持的标准之一，它和前两种不同之处在于它是第三层即IP层的加密。 IPSec 不是某种特殊的加密算法或认证算法，也没有在它的数据结构中指定某种特殊的加密算法或认证算法，它只是一个开放的结构，定义在IP数据包格式中，不同的加密算法都可以利用IPSec定义的体系结构在网络数据传输过程中实施。

　　IPSec协议可以设置成在两种模式下运行：一种是隧道(tunnel)模式，一种是传输(transport)模式。在隧道模式下，IPSec 把IPv4 数据包封装在安全的IP帧中。传输模式是为了保护端到端的安全性，即在这种模式下不会隐藏路由信息。隧道模式是最安全的，但会带来较大的系统开销。

　　IPSec提供了两种安全机制：认证(采用ipsec的AH)和加密(采用ipsec的ESP)。

　　· 认证机制使IP通信的数据接收方能够确认数据发送方的真实身份，以及数据在传输过程中是否遭篡改。

　　· 加密机制通过对数据进行编码来保证数据的机密性，以防数据在传输过程中被窃听。

　　链路层VPN

　　PPTP协议：

　　PPTP(点到点隧道协议)是是一种支持多协议虚拟专用网络的网络技术，它工作在第二层。通过该协议，远程用户能够通过Microsoft Windows NT工作站、Windows 操作系统以及其它装有点对点协议的系统安全访问公司网络，并能拨号连入本地ISP,通过Internet安全链接到公司网络。

　　PPTP协议假定在PPTP客户机和PPTP服务器之间有连通并且可用的IP网络。因此如果PPTP客户机本身已经是IP网络的组成部分，那么即可通过该 IP网络与PPTP服务器取得连接;而如果PPTP客户机尚未连入网络，譬如在Internet拨号用户的情形下，PPTP客户机须首先拨打NAS以建 立IP连接。这里所说的PPTP客户机也就是使用PPTP协议的VPN客户机，而PPTP服务器亦即使用PPTP协议的VPN服务器。

　　PPTP 的最大优势是Microsoft 公司的支持，另外一个优势是它支持流量控制，可保证客户机与服务器间不拥塞，改善通信性能，最大限度地减少包丢失和重发现象。PPTP 把建立隧道的主动权交给了客户，但客户需要在其PC 机上配置PPTP，这样做既会增加用户的工作量，又会造成网络的安全隐患。另外，PPTP 仅工作于IP，不具有隧道终点的验证功能，需要依赖用户的验证。

　　PPP协议是目前广域网上应用最广泛的协议之一，它的优点在于简单、具备用户验证能力、可以解决IP分配等。

　　家庭拨号上网就是通过PPP在用户端和运营商的接入服务器之间建立通信链路。 目前，宽带接入正在成为取代拨号上网的趋势，在宽带接入技术日新月异的今天，PPP也衍生出新的应用。典型的应用是在ADSL(非对称数据用户环线，Asymmetrical Digital Subscriber Loop)接入方式当中，PPP与其他的协议共同派生出了符合宽带接入要求的新的协议，如PPPoE(PPP over Ethernet)，PPPoA(PPP over ATM)。

　　利用以太网(Ethernet)资源，在以太网上运行PPP来进行用户认证接入的方式称为PPPoE。PPPoE即保护了用户方的以太网资源，又完成了ADSL的接入要求，是目前ADSL接入方式中应用最广泛的技术标准。

　　同样，在ATM(异步传输模式，Asynchronous Transfer Mode)网络上运行PPP协议来管理用户认证的方式称为PPPoA。它与PPPoE的原理相同，作用相同;不同的是它是在ATM网络上，而PPPoE是在以太网网络上运行，所以要分别适应ATM标准和以太网标准。

　　PPP协议的简单完整使它得到了广泛的应用，相信在未来的网络技术发展中，它还可以发挥更大的作用。

　　L2F/L2TP 协议：

　　L2F(Layer 2 Forwarding)是由Cisco 公司提出的，可以在多种介质(如ATM、FR、IP)上建立多协议的安全VPN 的通信方式。它将链路层的协议(如HDLC、PPP、ASYNC等)封装起来传送，因此网络的链路层完全独立于用户的链路层协议。该协议1998 年提交给IETF，成为RFC2341。

　　L2F远端用户能够通过任何拨号方式接入公共IP网络。首先，按常规方式拨号到ISP 的接入服务器(NAS)，建立PPP 连接;NAS 根据用户名等信息发起第二次连接，呼叫用户网络的服务器，这种方式下，隧道的配置和建立对用户是完全透明的。L2F允许拨号服务器发送PPP帧，并通过WAN 连接到L2F 服务器。L2F 服务器将包去封装后，把它们接入到企业自己的网络中。与PPTP 所不同的是，L2F 没有定义客户。

　　L2F 的主要缺陷是没有把标准加密方法包括在内，因此它基本上已经成为一个过时的隧道协议。

　　L2TP协议提供了对PPP链路层数据包的通道(Tunnel)传输支持，允许二层链路端点和PPP会话点驻留在不同设备上并且采用包交换网络技术进行信 息交互，从而扩展了PPP模型。L2TP协议结合了L2F协议和PPTP协议的各自优点，成为IETF有关二层隧道协议的工业标准。功能大致和PPTP协议类似，比如同样可以对网络数据流进行加密。不过也有不同之处，比如PPTP要求 网络为IP网络，L2TP要求面向数据包的点对点连接;PPTP使用单一隧道，L2TP使用多隧道;L2TP提供包头压缩、隧道验证，而PPTP不支持。

　　好了，今天的VPN技术就讲到这了，你都明白了吗?喜欢我们的内容就点个赞呗!更多精彩内容尽在课课家教育，欢迎您的加入!