虚拟专用网络

虚拟专用网络在公用络上建立专用络，进行加密通讯01简介工作过程工作原理分类标准目录03020405实现方式相关法律法规及政策面临的问题目录0706基本信息虚拟专用络(VPN)的功能是：在公用络上建立专用络，进行加密通讯。在企业络中有广泛应用。VPN关通过对数据包的加密和数据包目标的转换实现远程访问。VPN可通过服务器、硬件、软件等多种方式实现。简介简介VPN属于远程访问技术，简单地说就是利用公用络架设专用络。例如某公司员工出差到外地，他想访问企业内的服务器资源，这种访问就属于远程访问。

在传统的企业络配置中，要进行远程访问，传统的方法是租用DDN（数字数据）专线或帧中继，这样的通讯方案必然导致高昂的络通讯和维护费用。对于移动用户（移动办公人员）与远端个人用户而言，一般会通过拨号线路（Internet）进入企业的局域，但这样必然带来安全上的隐患。

让外地员工访问到内资源，利用VPN的解决方法就是在内中架设一台VPN服务器。外地员工在当地连上互联后，通过互联连接VPN服务器，然后通过VPN服务器进入企业内。为了保证数据安全，VPN服务器和客户机之间的通讯数据都进行了加密处理。有了数据加密，就可以认为数据是在一条专用的数据链路上进行安全传输，就如同专门架设了一个专用络一样，但实际上VPN使用的是互联上的公用链路，因此VPN称为虚拟专用络，其实质上就是利用加密技术在公上封装出一个数据通讯隧道。有了VPN技术，用户无论是在外地出差还是在家中办公，只要能上互联就能利用VPN访问内资源，这就是VPN在企业中应用得如此广泛的原因。

工作原理工作原理通过上述说明可以发现，在VPN关对数据包进行处理时，有两个参数对于VPN通讯十分重要：原始数据包的目标（VPN目标）和远程VPN关。根据VPN目标，VPN关能够判断对哪些数据包进行VPN处理，对于不需要处理的数据包通常情况下可直接转发到上级路由；远程VPN关则指定了处理后的VPN数据包发送的目标，即VPN隧道的另一端VPN关。由于络通讯是双向的，在进行VPN通讯时，隧道两端的VPN关都必须知道VPN目标和与此对应的远端VPN关。

工作过程工作过程VPN的基本处理过程如下：①要保护主机发送明文信息到其他VPN设备。

②VPN设备根据络管理员设置的规则，确定是对数据进行加密还是直接传输。

③对需要加密的数据，VPN设备将其整个数据包（包括要传输的数据、源IP和目的lP）进行加密并附上数据签名，加上新的数据报头（包括目的地VPN设备需要的安全信息和一些初始化参数）重新封装。

④将封装后的数据包通过隧道在公共络上传输。

⑤数据包到达目的VPN设备后，将其解封，核对数字签名无误后，对数据包解密。

分类标准按VPN的协议分类按VPN的应用分类按所用的设备类型进行分类按照实现原理划分分类标准按VPN的协议分类VPN的隧道协议主要有三种，PPTP、L2TP和IPSec，其中PPTP和L2TP协议工作在OSI模型的第二层，又称为二层隧道协议；IPSec是第三层隧道协议。

按VPN的应用分类（1）AccessVPN（远程接入VPN）：客户端到关，使用公作为骨干在设备之间传输VPN数据流量；

（2）IntranetVPN（内联VPN）：关到关，通过公司的络架构连接来自同公司的资源；

（3）ExtranetVPN（外联VPN）：与合作伙伴企业构成Extranet，将一个公司与另一个公司的资源进行连接。

按所用的设备类型进行分类络设备提供商针对不同客户的需求，开发出不同的VPN络设备，主要为交换机、路由器和防火墙：

（1）路由器式VPN：路由器式VPN部署较容易，只要在路由器上添加VPN服务即可；

（2）交换机式VPN：主要应用于连接用户较少的VPN络；

按照实现原理划分（1）重叠VPN：此VPN需要用户自己建立端节点之间的VPN链路，主要包括：GRE、L2TP、IPSec等众多技术。

（2）对等VPN：由络运营商在主干上完成VPN通道的建立，主要包括MPLS、VPN技术。

实现方式实现方式VPN的实现有很多种方法，常用的有以下四种：

1．VPN服务器：在大型局域中，可以通过在络中心搭建VPN服务器的方法实现VPN。

2．软件VPN：可以通过专用的软件实现VPN。

3．硬件VPN：可以通过专用的硬件实现VPN。

4．集成VPN：某些硬件设备，如路由器、防火墙等，都含有VPN功能，但是一般拥有VPN功能的硬件设备通常都比没有这一功能的要贵。

面临的问题面临的问题(1)VPN域名/IP公开透明，受众面太广;

(2)外相对固定，缺少变化;

(3)域名几乎一成不变，长时间暴露在外，容易被攻击;

(4)任何人都可以根据域名IP打开登录页面;

(5)VPN容易导致账号共享;

(6)VPN默认登录时间到达后强制退出，用户体验不好;

(7)无白名单管控;

(8)无VPN退出失效机制。

相关法律法规及政策相关法律法规及政策2003年4月，信息产业部颁发了《电信业务分类目录》，取消了国际电信业务的分类，同时将虚拟专用业务自基础电信业务中分离出来，成为独立的增值电信业务分类。但是此处的“虚拟专用”概念与行业内的VPN业务是不一样的。新的《电信业务分类目录》中对该分类的解释是：国内因特虚拟专用业务（IP-VPN）是指经营者利用自有的或租用公用因特络资源，采用TCP/IP协议，为国内用户定制因特闭合用户群络的服务。这种分类的解释强调了两个特点，一个是利用因特络资源，一个是采用TCP/IP协议。这种解释是与当时的市场状况所对应的，当时的是基于互连的IPSecVPN，虽然该解释可以基本涵盖后出现的SSLVPN模式，但并没有MPLSVPN。

2006年1月，信息产业部发布《关于两项增值电信业务及国内多方通信服务的通告》，正式开放“国内因特虚拟专用业务”和“在线数据处理与交易处理业务”两项增值电信业务，上述两项增值电信业务由商用试验转为正式商用。

2013年，工业与信息化部