孔蕴藉
虚拟专用网络（ＶＰＮ：Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔ）可以实现不同网络的组件和资源之间的相互连接。虚拟专用网络能够利用Ｉｎｔｅｒｎｅｔ或其它公共互联网络的基础设施为用户创建隧道，并提供与专用网络一样的安全和功能保障。
纵观ＶＰＮ技术的发展，我们可以看到，安全与服务质量是ＶＰＮ的技术保障，企业用户的需求推动ＩＰＳｅｃ ＶＰＮ的广泛应用，运营商则大力建设ＭＰＬＳ ＶＰＮ，使得未来中国的ＶＰＮ技术发展更加具多样性、灵活性，技术服务与需求趋向紧密结合。
安全协议构筑ＶＰＮ的首要特性
随着因特网的快速发展，近几年不断出现了一些新的网络协议。其中ＰＰＴＰ协议允许对ＩＰ，ＩＰＸ或ＮｅｔＢＥＵＩ数据流进行加密，然后封装在ＩＰ包头中通过企业ＩＰ网络或公共互联网络发送；Ｌ２ＴＰ协议允许对ＩＰ，ＩＰＸ或ＮｅｔＢＥＵＩ数据流进行加密，然后通过支持点对点数据报传递的任意网络发送，如ＩＰ，Ｘ．２５，帧中继或ＡＴＭ；ＩＰＳｅｃ协议允许对ＩＰ负载数据进行加密，然后封装在ＩＰ包头中通过企业ＩＰ网络或公共ＩＰ互联网络如Ｉｎｔｅｒｎｅｔ发送。
ＶＰＮ利用各种安全协议，在公众网络中建立安全隧道，提供专用网络的功能和作用。ＶＰＮ隧道技术分别以第２层或第３层隧道协议为基础。第２层隧道协议对应ＯＳＩ模型中的数据链路层，使用帧作为数据交换单位。ＰＰＴＰ，Ｌ２ＴＰ和Ｌ２Ｆ都属于第２层隧道协议，都是将数据封装在点对点协议（ＰＰＰ）帧中通过互联网络发送。第３层隧道协议对应ＯＳＩ模型中的网络层，使用包作为数据交换单位。ＩＰｏｖｅｒＩＰ以及ＩＰＳｅｃ隧道模式都属于第３层隧道协议，都是将ＩＰ包封装在附加的ＩＰ包头中通过ＩＰ网络传送。
一个安全的ＶＰＮ方案必须能够验证用户身份并严格控制只有授权用户才能访问ＶＰＮ；必须能够提供审计和记费功能，显示何人在何时访问了何种信息；ＶＰＮ方案必须能够为用户分配专用网络上的地址并确保地址的安全性；对通过公共互联网络传递的数据必须经过加密，确保网络其他未授权的用户无法读取该信息；ＶＰＮ方案必须能够生成并更新客户端和服务器的加密密钥；ＶＰＮ方案必须支持公共互联网络上普遍使用的基本协议，包括ＩＰ，ＩＰＸ等。在保证服务质量的同时，安全是ＶＰＮ的首要特性。
ＩＰＳｅｃ ＶＰＮ方兴未艾
ＩＰＳｅｃ ＶＰＮ是基于ＩＰＳｅｃ协议的ＶＰＮ产品，由ＩＰＳｅｃ协议提供隧道安全保障。ＩＰＳｅｃ是一种由ＩＥＴＦ设计的端到端的确保基于ＩＰ通讯的数据安全性的机制。ＩＰＳＥＣ支持对数据加密，同时确保数据的完整性。按照ＩＥＴＦ的规定，不采用数据加密时，ＩＰＳＥＣ使用验证包头（ＡＨ）提供验证来源验证（ｓｏｕｒｃｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ），确保数据的完整性；ＩＰＳｅｃ使用封装安全负载（ＥＳＰ）与加密一道提供来源验证，确保数据完整性。在ＩＰＳｅｃ协议下，只有发送方和接受方知道秘密密钥。如果验证数据有效，接受方就可以知道数据来自发送方，并且在传输过程中没有受到破坏。
ＩＰＳｅｃ位于ＴＣＰ／ＩＰ协议栈的下层。该层由每台机器上的安全策略和发送、接受方协商的安全关联（ｓｅｃｕｒｉｔｙ ａｓｓｏｃｉａｔｉｏｎ进行控制。安全策略由一套过滤机制和关联的安全行为组成。如果一个数据包的ＩＰ地址，协议，和端口号满足一个过滤机制，那么这个数据包将要遵守关联的安全行为。
通过一个位于ＩＰ包头和传输包头之间的验证包头可以提供ＩＰ负载数据的完整性和数据验证。验证包头包括验证数据和一个序列号，共同用来验证发送方身份，确保数据在传输过程中没有被改动，防止受到第三方的攻击。ＩＰＳＥＣ验证包头不提供数据加密；信息将以明文方式发送。为了保证数据的保密性并防止数据被第３方窃取，封装安全负载（ＥＳＰ）提供了一种对ＩＰ负载进行加密的机制。另外，ＥＳＰ还可以提供数据验证和数据完整性服务；因此在ＩＰＳｅｃ包中可以用ＥＳＰ包头替代ＡＨ包头。
为实现在专用或公共ＩＰ网络上的安全传输，ＩＰＳｅｃ隧道模式使用的安全方式封装和加密整个ＩＰ包。然后对加密的负载再次封装在明文ＩＰ包头内通过网络发送到隧道服务器端。隧道服务器对收到的数据报进行处理，在去除明文ＩＰ包头，对内容进行解密之后，获的最初的负载ＩＰ包。负载ＩＰ包在经过正常处理之后被路由到位于目标网络的目的地。
ＩＰＳｅｃ隧道模式具有以下特点：只能支持ＩＰ数据流；工作在ＩＰ栈（ＩＰｓｔａｃｋ）的底层，因此，应用程序和高层协议可以继承ＩＰＳＥＣ的行为；由一个安全策略（一整套过滤机制）进行控制。
目前防火墙产品中集成的ＶＰＮ多为使用ＩＰＳｅｃ协议，在中国其发展处于蓬勃状态。
ＭＰＬＳ ＶＰＮ发展强劲
ＭＰＬＳ ＶＰＮ是一种基于ＭＰＬＳＭｕｌｔｉｐｒｏｔｏｃｏｌ Ｌａｂｅｌ Ｓｗｉｔｃｈｉｎｇ，多协议标记交换技术的ＩＰ－ＶＰＮ，是在网络路由和交换设备上应用ＭＰＬＳ技术，简化核心路由器的路由选择方式，利用结合传统路由技术的标记交换实现的ＩＰ虚拟专用网络（ＩＰ ＶＰＮ），可用来构造宽带的Ｉｎｔｒａｎｅｔ、Ｅｘｔｒａｎｅｔ，满足灵活的业务需求。
ＭＰＬＳ是一个网络层包转发的新兴标准，它主要基于ＩＥＴＦ提交的一系列信令协议。在这些协议里，最主要的有标记分配协议ＬＤＰ、资源预留协议ＲＳＶＰ以及限制路由的标签分配协议ＣＲ＿ＬＤＰ三种。这些协议都应用在分配标签和转发ＭＰＬＳ数据流上。
ＭＰＬＳ ＶＰＮ运行在ＩＰ＋ＡＴＭ或者ＩＰ环境下，对应用完全透明；服务激活只需要一次性地在用户边ＣＥ和服务供应商边（ＰＥ）设备进行配置准备就可以让站点成为某个ＭＰＬＳ ＶＰＮ组的成员；ＶＰＮ成员资格由服务供应商决定；对ＶＰＮ组未经过认证的访问被设备配置所拒绝。ＭＰＬＳ ＶＰＮ的安全性通过对不同用户间、用户与公网间的路由信息进行隔离实现的。
中国电信和中国网通在各自的宽带互联网上推出了基于多协议标记交换（ＭＰＬＳ）技术的ＩＰ－ＶＰＮ业务，使得ＭＰＬＳ ＶＰＮ的发展势头愈加强劲。
ＶＰＮ管理有待加强
企业在选择ＶＰＮ技术时，一定要考虑到管理上的要求。一些大型网络都需要把每个用户的目录信息存放在一台中央数据存储设备中（目录服务）便于管理人员和应用程序对信息进行添加，修改和查询。每一台接入或隧道服务器都应当能够维护自己的内部数据库，存储每一名用户的信息，包括用户名，口令，以及拨号接入的属性等。但是，这种由多台服务器维护多个用户帐号的作法难以实现及时的更新，给管理带来很大的困难。
为有效的管理ＶＰＮ系统，网络管理人员应当能够随时跟踪和掌握以下情况：系统的使用者，连接数目，异常活动，出错情况，以及其它可能预示出现设备故障或网络受到攻击的现象。日志记录和实时信息对记费，审计和报警或其它错误提示具有很大帮助。
随着市场应用的扩大，ＶＰＮ的管理有待进一步加强。
结论
ＶＰＮ的发展代表了互联网络今后的发展趋势，它综合了传统数据网络的安全和服务质量，以及共享数据网络结构的简单和低成本，建立安全的数据通道。ＶＰＮ在降低成本的同时满足了用户对网络带宽、接入和服务不断增加的需求，因此，ＶＰＮ必将成为未来网络发展的主要方向。
ＶＰＮ技术的发展将促进业务市场的繁荣。ＶＰＮ上传输的数据流是经过加密处理的，这条安全通道的协议必须保证数据的真实性、数据的完整性、通道的机密性，提供动态密匙交换功能，提供安全防护措施和访问控制，抵抗黑客通过ＶＰＮ通道攻击企业网络的能力，并且可以对ＶＰＮ通道进行访问控制。
随着市场的扩大，用户需求将成为ＶＰＮ技术发展的动力，多形式、多用途、灵活易用、功能强大、服务优异的ＶＰＮ产品将适用于不同的用户群，部署在宽带、窄带、拨号或者移动通信网络上。
----《通信世界报》
|
