在广播电视监测网上组建ＶＰＮ专网 免费.docVIP

在广播电视监测网上组建ＶＰＮ专网 1 引言　　　　目前Internet的覆盖面相当广，对于光缆铺设不到的地方，可用VPN来扩大监测网覆盖范围。VPN（Virtual Private Network）即虚拟专用网络，就是两个具有VPN发起连接能力的设备（计算机或防火墙）通过Internet形成的一条安全隧道。在隧道发起端（即服务端），用户的私有数据通过封装和加密之后在Internet上传输，到了隧道的接收端（即客户端），接收到的数据经过拆封和解密之后安全地到达用户端。此种方式让远程遥测点和移动用户接入网络，能够远程使用内部服务器的应用系统，在非安全的互联网上安全地传送私有数据。与数据专线相比，VPN无需铺设线路，能够利用Internet资源建立安全、可靠、经济、高效的移动监测专网，大大地减少了花费在城域网和远程网络连接上的费用，易于增加新的远程遥测站点，也简化了网络的设计和管理，进一步扩大了广播电视监测在广电中的监督和管理范围。　　　　2 VPN技术特点　　　　随着互联网技术的发展及Internet接入方式的多样化，为VPN应用提供了条件，不同地区的远程遥测点可通过ADSL、小区宽带、GPRS、CDMA 1X或窄带拨号等各种网络连接方式连入Internet，无需固定公网IP地址，由中心的VPN网关为认证用户分配一个内部私网地址，通过远程认证，实现与监测内部网络的互连，从而组成一个高效统一的虚拟专用网络。　　目前VPN技术相当成熟，应用相当广泛，主要采用四种技术：隧道技术、加解密技术、密钥管理技术和使用者与设备身份认证技术。　　2.1 隧道技术（Tunneling）　　当VPN客户机访问VPN服务器时，并没有传统专网所需的端到端的物理链路，它们是通过一个虚拟的隧道进行访问。一个隧道实际上就是在公网上建立一条数据通道，让数据包通过这条隧道传输，完成数据封装、传输和解包。为创建隧道，隧道的客户机和服务器双方必须使用相同的隧道协议，隧道技术主要有三种协议支持：PPTP，L2TP和IPsec。　　（1）点对点隧道协议（PPTP: Point-to-Point Tunneling Protocol） 。　　PPTP协议工作在OSI/RM开放模型中的第二层，允许对IP、IPX或NetBEUI数据流进行加密，然后封装在IP包头中通过企业IP网络或互联网发送。通过PPTP，远程用户首先拨号到本地因特网服务提供商ISP（Internet Service Provider）的网络服务器NAS去访问总部的内部网络，并不需要直接拨号至总部的网络，这样大大减少了建立和维护专用远程线路的费用。PPTP协议通过身份验证后开始加密，身份验证的过程没有加密，安全性稍低，配置简单，在实现上存在着重大安全隐患。　　（2）第2层隧道协议（L2TP: Layer 2 Tunneling Protocol） 。　　L2TP协议是L2FP(Layer 2 Forwarding Protocol)与PPTP的结合，专门用来进行第二层数据的通道传送，允许对IP、IPX或NetBEUI数据流进行加密，然后通过支持点对点数据报传递的任意网络发送，如IP、X.25、桢中继或ATM。远程用户通过本地PSTN、ISDN或PLMN拨号，利用ISP提供的VPDN（Virtual Private Dial-Network）特服号，接入ISP在当地的NAS，通过当地的VPDN认证系统对用户身份进行认证，建立一个位于NAS和LNS(本地网络服务器)之间的虚拟专网来访问总部的内部网络。L2TP需要证书服务来验证计算机身份，身份验证过程是加密的，安全性较高，配置稍微复杂，但也不能完全保证数据传输过程中的安全。　　（3）安全IP（IPSec：IPSecurity)隧道模式。　　　　IPSEC协议工作在OSI/RM开放模型中的第三层，允许对IP负载数据进行加密，然后封装在IP包头中通过企业IP网络或互联网发送，具有认证包头AH（Authentication Header）和数据加密格式ESP （Encapsulating Security Payload）。IPSEC采取数据源验证、无连接数据的完整性验证、数据内容的机密性保护、抗重播保护等形式，有效保护IP数据报的安全。在传输数据包之前将其加密，接收端根据AH和ESP对所有受IPSec保护的数据包进行认证和解密，防止数据包被捕捉并重新投放到网上，安全性高，从而保证了数据包在Internet网上传输时的私有性、完整性和真实性。　　2．3 加解密技术（Encryption Decryption）　　加解密技术是数据通信中一项较成熟的技术，可直接利用。　　2．4 密钥管理技术（Key Man