虛擬專用網VPN類型與如何選購

VPN既是一種組網技術，又是一種網絡安全技術。VPN涉及的技術和概念比較多，應用的形式也很豐富，其分類方式也很多，令人眼花繚亂。在技術篇中我們介紹了按實現技術將VPN分成基于隧道的VPN、基于虛電路的VPN和MPLS VPN等，這里再介紹幾種主要的劃分方式，供下一篇選擇VPN解決方案時參考。
一、VPN的類型
1、按應用范圍劃分
這是最常用的分類方法，大致可以劃分為遠程接入VPN（Accesss VPN）、Intranet VPN和Extranet VPN等3種應用模式。遠程接入VPN用于實現移動用戶或遠程辦公室安全訪問企業網絡；Intranet VPN用于組建跨地區的企業內部互聯網絡；Extranet VPN用于企業與客戶、合作伙伴之間建立互聯網絡。
2、按VPN網絡結構劃分
VPN可分為以下3種類型。
① 基于VPN的遠程訪問
即單機連接到網絡，又稱點到站點，桌面到網絡。用于提供遠程移動用戶對公司內部網的安全訪問。
② 基于VPN的網絡互聯
即網絡連接到網絡，又稱站點到站點，網關（路由器）到網關（路由器）或網絡到網絡。用于企業總部網絡和分支機構網絡的內部主機之間的安全通信時，還可用于企業的內部網與企業合作伙伴網絡之間的信息交流，并提供一定程度的安全保護，防止對內部信息的非法訪問。
③ 基于VPN的點對點通信
即單機到單機，又稱端對端，用于企業內部網的兩臺主機之間的安全通信。
3、按接入方式劃分
在Internet上組建VPN，用戶計算機或網絡需要建立到ISP的連接。與用戶上網接入方式相似，根據連接方式，可分為兩種類型。
① 專線VPN通過固定的線路連接到ISP，如DDN、幀中繼等都是專線連接。
② 撥號接入VPN簡稱VPDN，使用撥號連接（如模擬電話、ISDN和ADSL等）連接到ISP，是典型的按需連接方式。這是—種非固定線路的VPN。
4、按隧道協議劃分
按隧道協議的網絡分層，VPN可劃分為第2層隧道協議和第3層隧道協議。PPTP、L2P和L2TP都屬于第2層隧道協議，IPSec屬于第3層隧道協議，MPLS跨越第2層和第3層。VPN的實現往往將第2層和第3層協議配合使用，如L2TP/IPSec。當然，還可根據具體的協議來進一步劃分VPN類型，如PPTP VPN、L2TP VPN、IPSec VPN和MPLS VPN等。
第2層和第3層隧道協議的區別主要在于用戶數據在網絡協議棧的第幾層被封裝。第2層隧道協議可以支持多種路由協議，如IP、IPX和AppleTalk，也可以支持多種廣域網技術，如幀中繼、ATM、X.25或SDH/SONET，還可以支持任意局域網技術，如以太網、令牌環網和FDDI網等。 另外，還有第4層隧道協議，如SSL VPN。
5、按隧道建立方式劃分
根據VPN隧道建立方式，可分為兩種類型。
① 自愿隧道（Voluntary tunnel）
指客戶計算機或路由器可以通過發送VPN請求配置和創建的隧道。這種方式也稱為基于用戶設備的VPN。VPN的技術實現集中在VPN用戶端，VPN隧道的起始點和終止點都位于VPN用戶端，隧道的建立、管理和維護都由用戶負責。ISP只提供通信線路，不承擔建立隧道的業務。這種方式技術實現容易，不過對用戶的要求較高。不管怎樣，這仍然是目前最普遍使用的VPN組網類型。
② 強制隧道（Compulsory tunnel）
指由VPN服務提供商配置和創建的隧道。這種方式也稱為基于網絡的VPN。VPN的技術實現集中在ISP，VPN隧道的起始點和終止點都位于ISP，隧道的建立、管理和維護都由ISP負責。VPN用戶不承擔隧道業務，客戶端無需安裝VPN軟件。這種方式便于用戶使用，增加了靈活性和擴展性，不過技術實現比較復雜，一般由電信運營商提供，或由用戶委托電信運營商實現。
6、按路由管理方式劃分
按路由管理方式劃分，VPN分為兩種模式。
① 疊加模式（Overlay Model）
也譯為“覆蓋模式”。目前大多數VPN技術，如IPSec、GRE都基于疊加模式。采用疊加模式，各站點都有一個路由器通過點到點連接（IPSec、GRE等）到其他站點的路由器上，不妨將這個由點到點的連接以及相關的路由器組成的網絡稱為“虛擬骨干網”。疊加模式難以支持大規模的VPN，可擴展性差。如果一個VPN用戶有許多站點，而且站點間需要全交叉網狀連接，則一個站點上的骨干路由器必須與其他所有站點建立點對點的路由關系。站點數的增加受到單個路由器處理能力的限制。另外，增加新站點時，網絡配置變化也會很大，網狀連接上的每一個站點都必須對路由器重新配置。
② 對等模式（Peer Model）
對等模式是針對疊加模式固有的缺點推出的。它通過限制路由信息的傳播來實現VPN。這種模式能夠支持大規模的VPN業務，如一個VPN服務提供商可支持成百上千個VPN。采用這種模式，相關的路由設備很復雜，但實際配置卻非常簡單；容易實現QoS服務；擴展更加方便，因為新增一個站點，不需與其他站點建立連接。這對于網狀結構的大型復雜網絡非常有用。MPLS技術是當前主流的對等模式VPN技術。
二、如何選擇VPN產品
如果單位自建VPN需要選購相關的產品。 一套完整的VPN產品一般包括3個部分即① VPN網關：用于實現LAN到LAN。② VPN客戶端：與VPN網關一起可實現客戶到LAN的VPN方案。③ VPN管理中心：對VPN網關和VPN客戶端的安全策略進行配置和遠程管理。 在選擇VPN產品時，我們可從以下幾個方面來考慮：
1、產品定位
首先應考察產品定位問題。像其他網絡產品一樣，不同的VPN產品有不同的定位，按從高端到低端的順序，依次為電信級、企業級、中小企業、辦公室或SOHO。當然，中小企業只能選擇中小企業及以下級別的產品。
2、支持的應用類型
VPN有3種應用類型：LAN到LAN、客戶到LAN、客戶到客戶。這里的客戶指的是VPN網絡中的移動用戶和遠程辦公用戶。目前多數VPN產品都支持LAN到LAN和客戶到LAN，而支持客戶到客戶的產品不多。這一點在有些應用場合很重要，例如企業的遠程辦公用戶之間需要交流保密信息，客戶到客戶的VPN方案是一種很好的解決手段。

3、支持的協議
自建VPN應根據需要選擇隧道協議，目前PPTP、L2TP和IPSec是比較常用的協議。一般遠程訪問VPN（即客戶到LAN）多選擇L2TP協議，為安全起見，還需選擇IPSec來提供加密。網絡互聯（LAN到LAN）和端到端連接多選擇IPSec協議。PPTP由于簡單易用，而且支持NAT路由，因此在有些場合下也使用。總之，IPSec是最安全的隧道協議，多數VPN產品都支持該協議。當然越來越多的VPN產品開始支持PPTP和L2TP協議。
除隧道協議之外，還要考察VPN可承載協議、NAT（網絡地址轉換）以及路由協議的支持情況。許多VPN產品的可承載協議除IP協議之外，還支持IPX、NetBIOS等網絡協議。對NAT的支持對于一些網絡共享的應用非常重要，IPSec本身并不支持NAT，但可在VPN產品中加進這一功能。與IPSec產生直接沖突的是網絡地址端口轉換（NAPT）和網絡地址轉換（NAT）。
NAT和NAPT在寬帶網絡中應用很廣，許多網絡服務供應商都使用這種技術。IPSec VPN方案如果不支持NAPT，在這些場合就沒有意義了。

4、是否集成防火墻功能
VPN將IP數據包加密封裝，往往會影響防火墻的性能，甚至影響安全策略的定義。一般來說，獨立的VPN產品與防火墻難以協同工作，特別是來自不同廠家的產品。最好選擇集成防火墻功能的VPN產品。

5、產品的基本配置
VPN的基本配置參數如下：
① 可支持的最大連接數。即使是小型網絡，最少應不低于100，高端產品能支持數萬個連接。 ② VPN實現機制。有純軟件、純硬件、軟硬結合以及專用設備等方式。 ③ 可提供的網絡接口。常見的是以太網口，還有E1、T1等接口。 ④ 操作系統平臺，指VPN產品本身所采用的操作系統，許多產品都采用專有的操作系統。

6、VPN的管理性
提供專用的VPN管理軟件或平臺對于一個復雜的VPN網絡很重要，可簡化管理，減輕了系統管理員的負擔。

7、VPN的開放性和擴展性
VPN產品應提供與第三方安全產品協同工作的能力，應適應多種平臺。便于擴展，以適應VPN網絡的擴展和升級。

8、產品的其他功能
其他功能包括硬件加速功能（純硬件處理、加密卡、加速卡）、流量均衡、安全策略（安全網關、防火墻、集中管理、日志、加密）、安全機制（包過濾、加密、認證、日志、審核等）、認證機制（RADIUS、數字證書）和密鑰管理等。
另外，在選擇VPN方案和產品的時候，不要單純從組網和安全的技術角度考慮，還要考慮VPN的具體用途和所需成本。對于中小型VPN網絡來說，經濟實用才是最重要的。

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]