【大型企业VPN规划与实现研究10000字（论文）】

21大型企业VPN规划与实现研究目录摘要 前言本课程设计起点是信息安全，围绕信息安全展开的一系列信息加密技术，其中VPN应用广泛。现存VPN技术很多，其中IPSecVPN和SSLVPN应用最为广泛。但是，目前IPSecVPN和SSLVPN有各自的优缺点。其中，IPSecVPN为点对点隧道接入技术，外接服务器根据用户的IP地址，开放专用通道，用户可以安全有效的访问内网的web服务器、ftp服务器等，因此应用较为广泛。但是，也存在一些缺点。由于服务器是根据用户的ip地址识别是否允许访问内部数据，所以限制了用户的ip地址。也就是说，当用户的ip地址发生变化时，服务器的授权用户也需要跟着修改，这就限制了IPSecVPN的使用规模，当用户数量较大时，用户的ip地址一但发生变化，就需要对服务器授权访问地址进行大规模修改，费时费力。而SSLVPN采用的是账号认证的方式访问外部服务器，对外面出差的工作者尤为方便。因为出差时，到达不同的地方设备的IP地址通常会发生变化。设备想通过SSLVPN访问内网，只需要一个外部服务器授权访问的用户，一个账号就可以解决。也不需要安装软件，因为现在大多数浏览器都有了SSLVPN的功能。但与此同时，SSLVPN在安全方面就逊色一些，对防火墙的要求相对高一些。本课程设计意在将IPSecVPN和SSLVPN相结合，取长补短，搭建一个同时有IPSecVPN和SSLVPN的虚拟局域网。固定的机器通过IPSecVPN访问内网，而离开公司的员工可以通过SSLVPN访问内网，即保障了安全性，又方便了用户。1.绪论1.1研究背景网络技术的进步是产业不可或缺的一部分。在金融和电子商务领域，网络在公司的存在必不可少。网络促进员工之间的交流，对网络的信任对信息安全构成了威胁。当内部和财务信息，销售数据，技术解决方案以及其他公司机密和个人信息通过网络传输时，公司的内部文档，表格和其他数据都存储在计算机上。如果网络安全设置不够健全，黑客可以采取此类信息，甚至通过窃听，欺诈性获取企业机密信息导致恶意攻击，将对企业的发展产生严重影响，同时也会涉及公司的核心利益。1.2研究目的为了适应企业信息化的发展，满足网络稳定运行的需要，构建大规模企业网的必要条件比以更高。现代企业对网络的要求越来越高。计算机技术的多样性增加了各种应用程序的优势，今天的企业不断发展为多服务托管平台，并继续进行商务办公自动化。我们拥有与企业的生产和运营相关的各种业务应用程序以及诸如Web浏览之类的简单数据服务。根据需要高带宽和低延迟的数据流量和多媒体服务，例如IP电话和视频会议，核心网络中对数据交换功能的前所未有的需求将急剧增加。现代企业网络需要高可靠性和实时性，以确保生产和运营的正常运行。如果您的企业需要在计算机网络上运行多种业务，那么如何确保您的企业网络不会中断？这项工作已成为确保公司正常生产和经营的关键。网络方面必须实现完整的端到端QoS保证，以应对企业网络服务的需要。智能网络的无缝数据交换必须稳定，现代企业应考虑建立大型企业网络。企业网络承载业务增加了，只有大量增加带宽才能保护企业的数据交换安全。企业应该意识到视频，音频和数据流的紧迫性和重要性，确保网络资源的预留，优先级，及时性和无阻塞传输。合理及时的业务计划可确保大型企业网络提供高效，实质性的服务。并应防止可能的攻击，如病毒和黑客，从而提供更好的网络安全解决方案，以减少公司的经济损失。2.相关技术介绍2.1VPN技术原理简介VPN是一种虚拟专用网络，可以轻松地为未知的复杂网络建立临时安全虚拟专用数据连接。通过虚拟逻辑链路传输的数据是加密的，加密和解密功能只能在双方执行，以确保数据安全。工作原理是创建专用虚拟通道，以便计算机可以连接到两个不同的专用网络，并且两个专用网络上的两台计算机连接到公共网络。当通信内容在两个专用网络之间传输时，数据由VPN设备或计算机打包，在公共网络上形成专用虚拟信道，并且通信内容被转发到专用网络。VPN技术的优点是不需要进一步投资本地网络之间的网络接入，并且传输质量和传输速度不会受到影响。VPN虚拟专用网络实现了不同网络之间的园区网络的安全通信要求，并提供了资源和组件之间的安全连接。2.2VPN技术特点（1）可管理性：VPN需要一个完整的管理系统。管理目标是：经济，可扩展，可靠，低网络风险。在VPN技术管理内容方面，主要包括配置安全性设备，访问控制列表和服务质量QoS等管理方面。在便利性方面，可以非常快速、轻松地管理和维护操作员和用户。（2）安全性：为了实现网络传输的特殊性和安全性，公共网络平台上VPN技术传输的数据量通过公共IP网络的逻辑建立，数据点采用特定的方式加密算法。通信、接收器和发送器通过隧道技术传送加密算法和加密。（3）低成本：VPN技术具有低成本优势。最初，需要租用高成本的个人线路。各种规模的公司和企业现在都可以使用价格合理的公共网络。这种经济有效的技术被广泛用于传输私人信息。（4）可扩展性和灵活性：VPN技术提供高度的可扩展性和灵活性，支持从新节点（如内部网和外部网）上的多种网络类型访问数据流，并适应多种数据类型。如语音和图像，以及各种传输媒体，并能满足这些类型的高质量，高速传输要求。2.3VPN的关键技术VPN技术的实现需要多种技术共同实现的，其中包括下面几种技术。2.3.1隧道技术隧道技术包括隧道协议、旅客协议和运输协议。隧道协议实现不同的协议传输。隧道协议致力于隧道的建立、维护和卸载。其他协议由旅客协议完成。传输隧道协议。2.3.2用户认证技术用户认证技术是为了检测用户的身份，在隧道正式连接之前启动，实现用户访问权限，控制资源访问。通常采用认证协议。作为主要的技术方法，哈希函数将长消息的长度映射到函数变换以获得固定长度的摘要。2.3.3数据加密技术数据加密是数据分组传输的主要手段。VPN安全取决于互联网是否安全。因特网本身十分安全，如果因特网本身安全性强，则即使用户通过认证也能够确保安全的数据传输。通过隧道发送的数据必须由发送者加密并发送，接收机将解密身份证书并使用数据。分类可以基于关键类型的不同代码描述。加密系统：分为不对称加密和对称加密，区别上，对称加密一般针对数据庞大，非常有效，而非对称加密则用于加密密钥数据。在非公开密码中公钥密码是最常见的。2.3.4访问控制访问控制是非常重要的，尤其在网络安全中，主要通过访问用户权限管理来阻止对系统或数据资源的访问。2.4主流VPN技术概述VPN作为一种已经成熟的技术，广泛用于总部与分支机构之间的网络化。它使用组织的现有Internet导出来虚拟化“特殊线”以连接组织的分支机构和总部。一个庞大的局域网。VPN用户必须使用对应的UTM25的用户虚拟专用IP地址。SLVPN客户端用户应与局域网用户一样，成功访问内部网络资源。2.4.1IPSECVPNIPSecVPN是VPN技术，它是使用IPSEC协议来实现远程访问的。IPSEC称为Internet协议安全性。它是由Internet工程任务组定义的安全标准框架，用于提供端到端的公共和专用网络。加密和身份验证服务。IPSecVPN的类型：站到站点（LAN到LAN），简易VPN（远程访问VPN），DMVPN（动态多点VPN），GETVPN（组加密传输（GET）VPN）。查找节点的方法：如果是动态拨号的设备，则需要适当的静态第三方清除。那相当于经常行动的两个人。为了正确地找到彼此，需要一个谁都知道的朋友。这个朋友不动。他们两个都可以联系他。有以下三种方法。1）通过网络：这是一种通过网页解决IP地址的有说服力的公司发明的技术。因此，动态设备可以这样提交当前IP地址。你可以通过网页查询其他设备。这样可以通过网页找到彼此之间的设备。这种方法还可以解决分散集中认证的风险，还可以作为智能解决方案的备份。2)通过集中服务器：实现统一分辨率。每个VPN设备可以看到同一组内的其他设备，不仅可以在组之间进行访问，还可以在目录服务器中实现。这个大规模集中型VPN管理软件，在国内外很多厂家都有特别的设备和软件。除了动态IP地址解决之外，它还可以完成在线认证和其他功能。如果管理中心有比较功能的话，可以集中在沟通战略上。以下VPN设备配置参数相对较小。3)DDNS（动态域名）是比较平衡的技术。在VPN设备拨号后，它将在第一级域名服务器上注册其当前IP地址，并更新其第二级域名IP地址。互联网上的其他用户可以通过这个二次域名找到它。以上是日本国内一般厂商的3种动态IP地址解析方法。偏差技术多的话不是主流技术。2.4.2SSLVPN企业用户在远程访问公司敏感数据时SSLVPN往往是最简单安全的方式。SSLVPN相对于IPSecVPN更容易实现远程加密通信，传统的IPsecVPN需要安装客户端软件，而SSLVPN可以通过浏览器内置的方式来实现网页加密，保证数据的安全性，因此大多数计算机都支持SSLVPN。SSL协议是Internet上常用的安全协议，主要适用于应用层采用B/S架构，SSL协议采用公钥对传输数据进行加密，来保证数据的安全性。应用程序协议SSL和TCP/ip采用默认的安全机制，为数据传输提供加密，并且能够进行服务器客户机的验证。SSL协议为上层协议提供数据封装，压缩，加密等功能，依托于可靠的传输协议来实现。SSL握手协议具有身份验证和加密算法协商等功能。2.4.3SSLVPN应用优势实现SSLVPN只需配置中心网关，缩短了实施周期。在网络条件允许的情况下，安装与调试，可在1～2天内完成。SSLVPN很容易维护。如果遇到问题，只需维护网管。如果有两个备份，启动备份就可以。SLVPN是用于加密和传输数据的安全协议。此外，SSL网站还规定内部服务器脱离客户端，只设置网页浏览屏。大多数客户的木马不会感染内部服务器。IPSECVPN不同。支持IP级访问，远程网络和本地网络之间的区别不大通过局域网传播的病毒可以像VPN一样传播。3.企业VPN需求分析与设计3.1VPN设计需求VPN的设计主要将重点放在安全和方便上面。3.1.1安全保障VPN是在公共网络上设置的虚拟网络信道。网络实际上并不存在，并且是点对点逻辑连接。有许多方法可以实现VPN技术，但您必须确保通过公共网络平台跨所有VPN进行数据传输的安全性和有效性。考虑到安全性，VPN是建立在公共互联网上，因此公司应确保发送到VPN的数据不会被入侵者篡改或篡改，并且未经授权的用户无法访问网络资源或个人信息。外部服务器接口需要加装H3C防火墙，如图3.1图3.1H3C防火墙3.1.2服务质量保证（QoS）VPN网络必须提供企业数据服务质量保证的不同水平。不同的用户和服务，为了保证有不同的要求。网络优化的另一个重要因素是利用有限的WAN资源为数据提供理想的带宽。wan业务的不确定性导致非常低的带宽利用。当流达到最大流时，发生网络拥塞，并且数据不在时间内发送。在交通状况下，网络处于空闲状态。通过业务预测和业务控制方式，可以通过带宽管理的优先级设定来进行带宽管理，并且可以合理地传输各种数据。外接服务器要有超强的网络适应，安全可靠，这力采用华为VP9830标配八路服务器，如图3.1。图3.1服务器3.1.3灵活性和可扩充性VPN必须能够支持所有类型的数据流，其中包括语音，视频和高带宽数据的传输以及普遍可靠和安全的传输。例如，如果您在出差时需要及时处理某个公务，但无法到达现场，您可以通过公共网络有效使用VPN，并且可以关注进度随时。3.2企业网络需求分析对网络的需求主要体现在安全性和用户的体验上。3.2.1安全性单独的通用GRE隧道未加密且不安全，因此许多用户选择IPSECGRE模式。IPSEC可确保数据源身份验证和重播保护。SSL使用SSL安全套接字层为了确保数据安全性和完整性，SSL使用SSL安全套接字层。3.2.2用户可使用性GRE或IPSecVPN是点对点的，因此用户不需要安装客户端就可以访问其内部LAN，但它们不是移动的。SSLVPN无需安装客户端即可访问移动设备。在支持的应用程序方面，您可以根据不同的要求从各种部署类型中进行选择。3.2.3可伸缩性为了易于配置便于客户端拓展采用GRE无状态隧道协议。IPSEC和SSLVPN都可以在服务器端自由扩展，但是IPSEC在客户端上存在某些限制，和设备性能相关，并且在维护方面，IPSEC配置相对复杂，参数较多，后期管理困难，相对而言SSLVPN便于后期维护管理，GRE隧道对于后期维护更加简便，因此，从后期维护的角度来讲，GRE和SSL要比IPSEC适用性高。3.3VPN网络设计方案基于IPSec的VPN实施需要密钥安全生成，安全存储和安全交换，并对数据包执行策略查询处理，加密和解密处理以及身份验证。VPN支持自动密钥生成，交换或手动密钥交换。因此，本文实现的VPN主要包括管理模块，密钥交换模块，查询策略模块，数据包封装/解封装模块，加密/解密模块和认证模块。其整体结构如图3.1所示。图3.1VPN总体结构图4.企业网络VPN的实现4.1网络环境配置随着业务的发展，所有的信息模块都在开发中。面对越来越多的企业客户，公司的分支机构和越来越多的移动员工在增加。传统的网络组织模型成本高，安全低。公司使用完整的网关来提供数据加密，以确保安全套接字层（SSL）的应用程序在公共网络上的数据安全传输。SSL安装在几乎所有标准浏览器中，所以企业能够从所有的正规浏览器进行安全接入。SSLVPN和IPSecVPN是有着相似特点的网络安全接入技术。IPSecVPN是具备更可靠的个人网络连接的优先选择，兼有SSLVPN号“零客户端”架构尤其对应远程用户接入。各有利弊。实现两个完美组合和附录的方法是vpn技术开发的应用趋势。实现总公司到分部的数据共同，首先想到的是IPSecVPN。因为IPSecVPN在安全性方面的表现最突出。主要框架是在两端搭建外部服务器，两边用户通过交换机连到汇聚核心，然后再通过网关设备对数据解封装，识别出从默认路由出口发送的VPN数据时，对数据进行重新封装。并且发送到另一端网关，从而实现了对数据的加密传送。而实现用户或者家庭对内网的访问，要用到的就是SSLVPN。SSLVPN的实现需要在公司建立外部服务器，然后在服务器上创建用户。用户就可以在任何有网的地方先对外部服务器访问，然后通过外部服务器对用户的授权，用户就可以和内部设备建立数据的传输。两种VPN技术刚好可以实现站队站的链接和家庭到内网的链接，从而实现了公司的内网能满组任何情况下的安全访问。通过合并的技术，某一个使用SSL来远程接入的移动用户能够无延迟地访问虚拟网络内的应用资源，并且不必要担心访问该应用时有没有经过工PSEC隧道的需要。4.2实施过程主要安装外部服务器，然后进行配置，并且测试4.2.1远程用户本地管理配置IPSecVPN搭建，首先需要配置两个公网的路由器，用来对内网用户发出来的加密数据进行解封装和转发。具体思路为，总公司的外部路由器将地址设置为“”，默认传输地址设置为“”，分公司的外部路由器将地址设置为“”，默认传输地址为“”。两个路由器互相设置默认地址。当分公司某台设备想要访问总公司服务器时，首先将请求访问的数据包发送到分公司的外部交换机。分公司外部路由器网关收到内网用户发来的数据时，首先进行解封装，然后能够识别出来是VPN数据，便对数据进行重新封装。新封装的数据会把目标地址设置成默认目标IP地址，发送到总公司外部路由器。总公司的外部路由器收到来自分公司路由器的数据包时，能够识别发来的数据包目标地址就是本地，就会对数据包进行解封装。解封装之后分公司发出来的原始数据包就显现出来了，网关能够继续识别数据包的目标地址，目标地址为总公司的服务器，并且将数据包传送到内网服务器，从而实现了分公司到总公司的服务器的访问。在IPSecVPN网关中，能够在网关中操作VRC用户，并且能够使用TopPolicy和策略管理系统（TopPolicy系统）集中管理VPC用户。在本地管理模式下，客户端认证由IPSECVPN网关或其他认证服务器执行。在TP集中管理模式中，客户端身份验证由TopPolicy系统执行。本案例重点介绍如何使用IPSecVPN网关本地管理VRC用户。基本要求：VSC用户“test”由PSecVPN网关本地管理。IPSecVPN网关使用“本地密码证书身份验证”身份验证方法对VRC用户“test”进行身份验证，并使用该网关在本地向系统颁发用户证书。VNC用户“test”成功通过验证并建立隧道后，可以访问本地数据库（即内网FTP服务器“”）中的用户“test”访问权限，禁止访问其他Intranet资源。如图4.1所示。图4.1远程用户本地认证示意图4.2.2SSLVPN配置方案为了保护SSLVPN网关的安全，管理员通常将防火墙A的eth0端口区域的许可设定为“禁用访问”，然后构成访问控制规则以允许远程用户访问SSL。工配置步骤:添加用户。a）单击导航菜单用户验证>用户管理，然后激活用户管理选项卡，然后单击添加用户。b）分别添加使用的常规员工用户和管理员用户。添加用于禁用多重登录的常规员工用户。添加管理员用户设置为禁用多重登录。步骤图4.2到图4.6。图4.2新建用户组图4.3新建用户组文档图4.4用户组已建好图4.5新建用户图4.6用户已建好2.添加角色并向其添加成员。a）单击导航菜单“用户身份验证”>“角色管理”，激活“角色管理”选项卡，然后单击“添加角色”。b）添加一般员工级别角色：和经理角色管理员添加一般员工级别用户并将成员“used”添加到其中。添加管理员角色管理器并将成员“managed”添加到其中。3.配置授权资源。a）单击导航菜单SSLVPN>资源管理，然后单击资源列表左上角的“添加”以配置Web转发资源“webforward218”。b）单击导航菜单SSLVPN>资源管理，然后单击资源列表左上角的“添加”以配置Web转发资源“webforward_235”。步骤如图4.7，图4.8。图4.7新建资源管理图4.8新建资源组4.配置安全策略。在服务器上打开“管理工具”，然后打开“计算机管理”，单机“本地用户和组”。然后新建一个用户。设置用户名和密码，然后点击“完成”。并且需要对新创建的用户进行配置。右键用户“vpn”，选择属性，单机“拨入”，网络访问权限勾上允许访问。然后应用、确定。步骤如图4.9、4.10、4.11所示。图4.9创建新用户图4.10新建新用户图4.11配置用户属性5.配置虚拟门户网站。单击导航菜单SSLVPN>VirtualPortal。单击虚拟门户列表左上角的“添加”，自定义远程VPN用户的用户界面，以访问SSLVPN网关。自定义虚拟门户网站时，必须将参数“地址”配置为远程用户登录SSLVPN网关时的地址，即SSLVPN网关的外部工作IP“4”，并且必须将参数“AuthenticationServerName”配置为验证远程用户的服务器的名称。这种情况是本地身份验证服务器“localdb”，必须启用Web转发交换机。如图4.12所示。图4.12VPN接入测试6．单臂模式。基本要求：单臂模式用于在网络内部署SSLVPN网关。SSLVPN网关的外部工作P是““，内部网络工作者IP是”37“。使用“用户密码”身份验证方法对用户进行身份验证。允许角色“test”中的用户“testl”通过域名（域名“”）访问公司内部网Web服务器“35”，并允许用户访问公司内部网FTP服务器“20”，禁止其他访问为了保护SSLVPN网关的安全，管理员通常将防火墙A的eth0端口的权限设置为“禁用访问”，然后配置访问控制规则以仅允许远程用户访问SSLVPN上的特定端口网关。在防火墙A上打开TCP端口443，远程用户可以访问SSLVPN网关用户界面。配置主机地址，即SSLVPN网关“37”的实际地址和外部地址“”。配置双向地址转换（映射到SSLVPN网关）。4.2.3全网接入如果SSL，SSLVPN网关可以提供安全的路线，向远程组织或单个用户的虚拟连接到内部网络，该连接建立后，所述远程节点是在内部网上的一个节点。访问权限可以加入到SSLVPN网关，如果一样的，当你实际使用需要对远程用户的访问控制内部网络的访问控制规则。当配置整个网络的时候，AccessManager提供配置第一虚拟网络参数和访问内部网络向远程用户界面，分配一个IP地址给远程用户。用户或角色可以对符合访问控制规则，远程用户只能访问某些资源的访问控制规则，用户可以在同一时间访问，实现用户的细粒度访问控制，以执行访问控制。如图4.12所示。图4.12SSLVPN网关全网接入示意图5.测试与分析5.1SSLVPN测试主要测试网络质量和安全问题5.1.1测试家庭使用VPN个人电脑通过浏览器或者简单的客户端软件比如EasyConnect接入公司的内网，输入公司的VPN地址并登录账号实现公司内网的访问。步骤如图5.1、5.2所示。5.1通过软件实现内网接入5.2通过浏览器实现内网接入5.1.2对网速的测试通过在内网服务器下载文件的速度反应网速。如图5.3所示。图5.3网络质量检测5.2IPSecVPN测试主要测试信息的安全性5.2.1IPSecVPN的接入这里用到是深信服提供的VPN客户端。如图5.4所示。图5.4IPSecVPN的登录5.2.2IPSecVPN的安全性测试第一步：扫描VPN，这里用到的工具是IPSecScan。如图5.5所示。图5.5VPN端口扫描结果然后破解VPN客户端用户账户名及密码结果。结果如图5.6.图5.6VPN客户端账号破译结果5.3分析主要从安全和质量两个方面来分析5.3.1网络质量分析通过VPN接入内网在网速和延迟上面与直接访问外部网站相比，并没有明年的差距，前提是网络设备有足够的质量保证，单考上传和下载服务器文件，VPN的表现非常令人满意。5.3.2网络安全分析安全性方面

简单来说，VPN面临的安全隐患，除了漏洞级的，主要还是因为弱密码的存在。正如谈及密码设置技巧时常说到的，很多员工、管理员甚至是安全人员，密码并没有按照公司或者企业指定的保密要求规范来设定，绝大部分还是遵循了方便、好记等一般人记忆的普遍特性。而既然密码有规律，从攻击者角度而言，就意味着存在渗透成功的机会。VPN的安全性能够保障公司的敏感数据不被黑客盗取。但还不能达到万无一失的地步。总结来说，VPN满足了公司对信息分享和信息保护等方面的需求。结束语本文提出了一种基于企业网络中VPN的接入网构建方案。VPN技术用于解决不同地区不同用户的企业网络接入，打破了不同地理位置的限制，打破了信息资源无法共享的尴尬状况。还指出了可扩展性的方向性和网络整体的关联性。同时，VPN技术的使用，一定程度上解决现有网络中存在的问题，优化企业的网络管理和应用。目前，解决方案可应用于企业互联网接入技术。其中包括高速铁路、ADSL、城市宽带、网络有线宽带、当地宽带、普通电话等。同时，提供了最大的空间选择。无论用户是否有固定的IP地址。都是正常可以建立自己的VPN网络的。假设没有VPN这项技术，对于全国设立分公司的企业，想要实现总公司到分公司的服务器共享，我能想到的方法就是建立专线。目前我了解的租用专用网络线路。一公里一年的费用在两万块钱左右，想那种总公司和分公司直线距离在一百公里以上的企业。租用专线一年的费用在几百万甚至上千万，这可算一笔不小的费用。而VPN这项技术的发明，让总公司与分公司之间的数据共享用几台服务器和路由器就可以解决，这是大大降低了资金的需求。VPN技术已日益完善，但是正如本文所说，目前两个主流的VPN都有自己的缺点。我相信，在新技术的推断下，VPN的缺点会不断被完善。此文章是结合IPSecVPN和SSLVPN共同建立的虚拟局域网，虽然有自己的实用意义，但是在成本上也是比依赖一种VPN实现访问内网成本要高一些的，我也会继续专研，争取实现出一种最优的VPN规划方案。同时也要不断学习，做好老技术终将被新技术取代的准备。参考文献[1]邹洁,伍飞.IPSec-IKE的实现与应用场景分析[J].石家庄职业技术学院学报,2021,33(02):9-12.[2]李永芳.基于BGPMPLSVPN企业跨域组网仿真设计[J].实验室研究与探索,2021,40(03):121-128.[3]MichaelCooney.Juniperupgrade