XX采购中心VP方案设计080630.docVIP

XX采购中心VPN方案设计 V1.0 2008年6月30日 文档控制 文档名称 文档管理编号 保密级别 商密 文档版本号 1.0 制作人 制作日期 2008-6- 复审人 复审日期 扩散范围 扩散批准人 文档说明 本文档是（北京）有限公司（以下简称）为的，仅供相关项目负责人进行参考版本变更记录 时间 版本 说明 修改人 2008-6-2  目 录 1 VPN技术概述 4 1.1 VPN的概念和功能 4 1.2 VPN的现状和优势 5 2 需求分析 6 3 方案设计 7 4 IPSec简介 8 4.1 IPSec技术优势 8 4.2 IPSec技术原理 8 4.3 IPSec实现方式 10 4.4 IPSec与NAT协同工作 10 5 方案选型产品介绍 12 5.1 产品概述 12 5.2 产品特点 12 5.3 主要功能 13 5.4 产品资质 16 VPN技术概述 VPN的概念和功能 虚拟私有网络（VPN，Virtual Private Network）是一种利用公共网络来构建私人专用网络的技术，用于构建VPN的公共网络包括Internet、帧中继、ATM等，我们通常将利用帧中继、ATM等网络技术组建的VPN归为专线网络，而在Internet上构建的VPN则是基于IPSec技术提供的一系列加密认证技术以及密钥交换方案，使得在公共网络上组建的VPN具有和本地私有网络一样的安全性、可靠性和可管理性等特点。在本文中如果没有特别的说明，VPN就是特指这种建立在Internet上的利用IPSec技术的VPN。 “虚拟”的概念是相对传统私有网络的构建方式而言的。对于广域网连接，传统的组网方式是通过远程拨号连接来实现的，而VPN是利用服务提供商所提供的公共网络来实现远程的广域连接。通过VPN，企业可以以更低的成本连接它们的远程办事机构、出差工作人员以及业务合作伙伴，如下页图1.1所示。 图1.1 关键业务网络系统的典型架构 由图可知，关键业务网络系统的典型架构是由企业或政府部门的机构设置所决定。一般而言，一个典型的关键业务网络系统由一个总部、若干分支机构、数量不等的合作伙伴及移动远程用户所组成。除远程用户外，其余各部分均为规模不等的局域网所组成，其中总部局域网是整个网络系统的核心，为企业各类中心服务器所在地，同时也是网络管理中心。各部分之间的连接方式多种多样，包括远程拨号、专线、Internet等。从互联方式来看，VPN则可分为三种模式： 远程访问VPN（Access VPN）：远程访问可以使得移动用户访问公司的电子信箱和其他商业资源。通常这需要用户拨号到企业的modem池中，但是公司需要支付昂贵的长话费用；现在授权用户只需接入本地ISP的POP（Point Of Presence，接入服务提供点），就可以建立基于IPSec的VPN连接，远程访问总部的网络资源。 企业内部VPN（Intranet VPN）：Intranet将企业的各个分支机构连接在一起，共享应用程序和文件。虽然帧中继、ATM以及MPLS等技术也能完成这样的功能，但是它们都有缺陷，尤其是当企业业务遍及世界时，这些技术都不足以满足企业不断发展的需求，而且其昂贵的线路费用也是企业沉重的负担。现在VPN使用廉价的Internet网络资源，加上IPSec技术就可以组建Intranet，安全便捷的为企业提供信息共享服务。 企业外延VPN（Extranet VPN）：Extranet是多个企业之间的安全商业连接，企业通常利用Extranet与客户及供应商发展合作关系。由于连接费用、时间延迟以及访问可靠性等方面的制约，仅仅依靠传统的网络技术是很难完成这些任务的。VPN技术则是Extranet应用的理想解决方案，可以为企业提供快速、便宜而且安全的Internet连接，协助企业完成即定的商业目标。 VPN的现状和优势 在经济全球化的今天，越来越多的公司、企业开始在各地建立分支机构，开展业务，移动办公人员也随之剧增。在这样的背景下，这些 Telecomputer（在家办公或下班后继续工作的人员）和移动办公人员、远程办公室、总部以及客户之间必须建立连接通道。 传统的企业网组网方案中，要进行远程 LAN 到 LAN 互连，除了租用 DDN 专线或帧中继之外，并无更好的解决方法；对于移动用户与远端用户而言，只能通过拨号线路进入企业各自独立的内部网；这样的方案必然导致高昂的长途线路租用费及长途电话费。于是，VPN（Virtual Private Network）虚拟专用网的概念与市场随之出现。 VPN的优势： VPN技术的安全性：利用对称密码和非对称密码技术，VPN可以为用户提供身份