3.VPN技术原理认知

VPN五虎将MPLS、GRE、IPSec、L2TP、SSL怎么选？课程导入·学习目标想一想同样是“凿隧道”，为什么有五种不同的凿法？运营商建的、企业出口建的、出差员工用的……各有各的活。上一课我们知道VPN靠隧道技术实现。这一课，认识五种主流的VPN技术。重点不是记全，而是会“对号入座”。本节课三个小目标01认识：五种VPN技术各自的特点02记住：MPLS的三种角色与两层标签03会用：按场景选择合适的VPN技术学习方法给五种技术贴标签：谁建的、封装在第几层、擅长什么场景——抓住这三点就够。先认全：VPN五虎将MPLSVPN运营商骨干网上的L3VPN，用标签转发GREVPN三层封装，能封装组播报文IPSecVPN部署在企业出口，主打加密与验证L2TPVPNVPDN拨号，服务远程办公SSLVPN应用层，保护特定数据五个名字先混个脸熟，下面逐一登场——重点是MPLS。MPLSVPN：运营商建的“标签快递网”MPLSVPN技术架构三种角色（记住这三个字母）PE：与用户端相连的公网路由器（骨干网边缘）CE：与PE直接相连的私网（公司内部）路由器P：其他非PE的公网路由器它是什么BGP/MPLSIPVPN，简称MPLSVPN，是常见的L3VPN。由运营商搭建，用户购买服务实现网络互通。用MP-BGP传递路由，用LDP建立隧道，用VRF管理VPN用户。两层标签（核心机制）外层（公网标签）：在MPLS网络中转发；内层（私网标签）：区分不同VPN和VPN内的不同目的地。到达PE后剥离标签，还原成原始IP包交付。GRE·IPSec·L2TP：各有各的绝活GREVPN（通用路由封装）三层封装技术，可对IPX、IPv4、IPv6等报文封装，使其在另一种网络中传输，解决跨异种网络传输问题；还能封装组播报文——这正是它“通用”的原因（动态路由协议会用组播）。IPSecVPN一般部署在企业出口设备之间，通过加密与验证，实现四大功能：①数据来源验证：验证发送方身份是否合法②数据加密：以密文形式在Internet上传送③数据完整性：判定报文是否被篡改④抗重放：拒绝旧的或重复的数据包L2TPVPNVPDN（虚拟私有拨号网）隧道协议的一种，扩展了PPP协议，为出差员工或企业分支远程访问内网提供接入服务。组网含两个角色：LAC（L2TP访问集中器）和LNS（L2TP网络服务器）；LAC负责和LNS建立L2TP隧道连接。一表定乾坤：五种VPN对比技术保护范围适用场景身份认证加密和验证BGP/MPLSIPVPNIP及以上数据IntranetVPN不支持不支持GREIP及以上数据IntranetVPN不支持支持简单关键字验证IPSecIP及以上数据Access/Intranet/Extranet预共享密钥/证书；IKEv2的EAP支持L2TPIP及以上数据Access/ExtranetPPP的CHAP/PAP/EAP不支持SSL应用层特定数据AccessVPN用户名密码/证书支持速记：MPLS什么认证都不支持（运营商保障）；SSL只护应用层数据；IPSec最全能。怎么选？看你要解决什么问题总部与多分支稳定互联MPLSVPN——运营商保障，路由自动传递，适合Intranet长期组网要传组播/跨异种网络GRE——三层通用封装，能封组播报文，常与其他技术叠加使用企业出口间高安全传输IPSec——数据来源验证、加密、完整性、抗重放，安全功能最全出差员工远程拨号接入L2TP——VPDN拨号，扩展PPP，专为远程办公接入设计免客户端、只护某些应用SSL——工作在应用层，浏览器即可接入一句话：谁建的、封在第几层、擅长什么场景——对号入座即可。课堂小结·课后思考这节课记住三句话五虎将MPLS、GRE、IPSec、L2TP、SSLMPLS核心PE/CE/P三角色+内外两层标签选型口诀谁建的、封第几层、擅长啥场景课后思考IPSec主打“加密和验证”，GRE主打“封装组播”。如果既要传组播路由、又要保证安全，你会怎么办？提示：两种技术