企业虚拟专用网络构建方案的设计论文.docVIP

企业虚拟专用网络构建方案的设计 第1章 VPN技术理论概述 1.1 VPN 技术理论概述 虚拟专用网VPN(Virtual Private Network)是一种利用公共网络构建的专用网络技术，“虚拟”的概念是相对传统私网络的构建方式而言的，VPN通过公网实现远程广域连接，以低廉的成本连接企业远程分支机构，或者在公共骨干网络承载不同的专网。下面我们从技术层面和业务层面对VPN技术进行分析，因为所有的技术都是因为有了应用才变得有分析和研究的意义。VPN是依靠ISP(Internet服务提供商)和其他NSP(网络服务提供商)在公用网络中利用隧道、加密等技术，构建一个专门给企业使用的虚拟网络。该虚拟专用网负责将地理上分布的用户的各个网络结点连接起来。 在虚拟专用网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。通过虚拟专用网络的连接，用户可以根据自己的意愿，分配各个结点上的地址空间，可以自己安排各个结点之间的路由关系，它给用户一种直接连接到私人局域网的感觉。因此虚拟专用网，顾名思义，不是真的专用网络，但却能够实现专用网络的功能。从网络空间来看，虚拟专用网络在中间，用户的网络结点在边缘。所谓虚拟，是指用户不再需要拥有实际的长途数据线路，而是使用Internet公众数据网络的长途数据线路。所谓专用网络，是指用户可以为自己制定一个最符合自己需求的网络。与虚拟专用网相对应的，传统专用线路(如DDN)的高昂成本和长期的使用费用，使企业承担了很大的负担，很多企业无法利用这种方式来建立自己的专网。 越来越多的用户认识到，Internet和电子商务的蓬勃发展，经济全球化的最佳途径是发展基于Internet的商务应用。随着商务活动的日益频繁，各企业开始允许其生意伙伴、供应商也能够访问本企业的局域网，从而大大简化信息交流的途径，增加信息交换的速度。这些合作和联系是动态的，并依靠网络来维持和加强，于是各企业发现，这样的信息交流，不但带来了网络的复杂性，而且还带来了管理和安全性的问题，因为Internet是一个全球性和开放性的、基于TCP/IP技术的、难以管理的国际互联网络，因此，基于Internet的商务活动就面临着信息威胁和安全隐患。还有一类用户，随着自身的发展壮大，以及跨国企业的分支机构不仅越来越多，而且相互间的网络基础设施互不兼容也更为普遍。因此，用户的信息技术部门，在连接分支机构方面也感到日益棘手。虚拟专用网技术能很好地解决上述难题，而且无需高昂的专用网络及设备，大大降低了成本。这使得虚拟专用网技术，不但成为了近来网络界的新热点，更成为了一种不可抗拒的趋势。.2 IP Sec技术浅析 IP Sec是一组开放协议的总称，它是在特定的通信方之间通过在IP层加密和数据源验证等手段，保证数据包在Internet网上的私有性、完整性和真实性。IPSec采用AH(Authentication Header)和ESP(Encapsulating Security Payload)安全协议，不会对用户、主机或其它Internet组件造成影响，用户可以选择不同的硬件或软件加密算法，不影响其它部分的实现。 IPSec提供以下网络安全服务：私有性：在传输数据包之前进行加密，保证数据的私有性；完整性：在目的地验证数据包，保证数据包在传输过程中不被修改；真实性：IP Sec端验证所有受IP Sec保护的数据包；防重放：防止数据包被捕捉后重新投放上网，即目的地拒绝旧的或重复的数据包，这一过程是通过报文的序列号来实现的。 IP Sec在两个端点之间通过建立安全联盟(SA，Security Association)进行数据传输，该安全联盟定义了数据保护使用的协议、算法和安全联盟的有效时间等属性。IP Sec在转发加密数据时新产生的All和/或ESP附加报头，可用于保证IP数据包的安全性。IP Sec包括隧道和传输两种工作方式：在隧道方式，用户的整个IP数据包用于计算附加报头且被加密，附加报头和加密用户数据封装在一个新的IP数据包中；在传输方式，仅传输层(如TCP、UDP)数据用于计算附加报头，附加报头和被加密的传输层数据放置在原口报头的后面。 通过IP Sec协议，数据可安全地在公网传输，不必担心数据被监视、修改或伪造。IP Sec提供两个主机间、两个安全网关间或主机与安全网关之间的数据保护。.3 SSL技术浅析 近年来，移动办公已成为趋势，移动用户接入公司内部专网的需求不断增加，使得IPSec VPN的使用也逐渐增加。但由于IPSec VPN的维护困难，造成企业IT成本过高；另一方面，企业对于内网资源的保护的要求也不断提高，IPSec VPN由于开放了整网的资源给接入用户，企业内网安全方面的问题逐渐暴露。 鉴于IPSec