企业VPN多种技术的方案比较的研究.docVIP

企业VPN多种技术的方案比较的研究 　　摘要 根据企业实际需求，对现有常用的3种VPN技术方案做分析比较，选择适合外服应用的方案，再在方案基础上考虑其它功能集合。 　　关键词 VPN；技术方案；比较 　　中图分类号TP39 文献标识码A 文章编号 1674-6708（2010）33-0224-02 　　VPN被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。我们根据企业实际需求，对现有常用的3种VPN技术方案做分析比较，选择适合外服应用的方案，再在方案基础上考虑其它功能集合。 　　1 IPSEC VPN方案 　　IPSEC是一套比较完整成为体系的VPN技术，它规定了一系列的协议标准。它为数据在通过公用网络(如因特网)在网络层进行传输时提供安全保障。IPSEC通过包封装包的方法，通过Internet建立了一个通讯的隧道，通过这个通讯的隧道，就可以建立起网络的连接。 　　IPSEC协议支持几种操作模式，通信双方要确定所要采用的安全策略和使用模式，这包括如加密运算法则和身份验证方法类型等。在IPSEC协议中，一旦IPSEC通道建立，所有在网络层之上的协议在通信双方都经过加密，如TCP、UDP、SNMP、HTTP、POP、AIM、KaZaa等，而不管这些通道构建时所采用的安全和加密方法如何。 　　我们设计IPSEC方案中，中心和分支机构分别采用IPSEC VPN网关设备，中心为每个节点分配一套密码，各个节点通过密码与中心交换机互相认证，建立IPSEC VPN虚拟通路，这条通路的特性，如带宽、何时可以建立等通过中心统一管理。还可以通过双密钥机制实现更加可靠的认证。 　　2 SSL VPN方案 　　SSL的英文全称是“Secure Sockets Layer，中文名为“安全套接层协议层”，它是网景(Netscape)公司提出的基于WEB应用的安全协议。SSL协议指定了一种在应用程序协议(如Http、Telenet、NMTP和FTP等)和TCP/IP协议之间提供数据安全性分层的机制，它为TCP/IP连接提供数据加密、服务器认证、消息完整性以及可选的客户机认证。 　　从简单而一言，SSLVPN一般的实现方式是在企业的防火墙后面放置一个SSL代理网关或接入服务器设备。如果用户希望安全地连接到公司网络上，那么当用户在浏览器上输入一个URL后，连接将被SSL代理服务器取得，并验证该用户的身份，然后SSL代理服务器将提供一个远程用户与各种不同的应用服务器之间连接。 　　几乎所有的主流商业浏览器都集成了SSL，实施SSLVPN不需要再安装额外的软件。绝大多数SSL VPN的生产厂商都通过“signed plugins”提供其他的功能，“signed plugins”可以跟随浏览器自动传输给客户端。 　　SSL实现了客户端零安装，零配置。但其功能和应用也受到限制。它适合B/S模式，移动用户通过浏览器访问WEB服务应用，有的SSL VPN还对其他非B/S等进行有限扩充，增强了其可用性，可是在通用性、兼容性方面还存在很多不确定性，在认证方式、应用程序类型上限制很多。 　　按照SSLVPN设计的外服网络方案，中心和各分支节点采用专用SSL VNP设备连接Internet，要求设备兼容外服各项专用应用，系统要求较高，没有统一的扩展应用标准，存在是否能支持今后业务发展各项新应用等相关问题。方案中移动用户和家庭用户无需客户端连接SSLVPN服务器，经安全认证后使用各项B/S模式应用，解决较为理想，基本不用考虑计算机维护和相关网络问题，也较安全的隔离了病毒传播和木马程序等问题。 　　3 MPLS VPN方案 　　MPLS VNP是一种基于MPLS技术的IPVPN，是在网络路由和交换设备上应用MPLS（Multi protocol Label Switching，多协议标记交换）技术，简化核心路由器的路由选择方式，利用结合传统路由技术的标记交换实现的IP虚拟专用网络（IPVPN）。 　　MPLS技术通过标签的引入，将IP路由网络中“数据报”的转发方式转变为类似于“虚电路”VC的转发方式。VC的方式在数据包转发只前先由IP网络建立一条从源端到目的端的唯一路径，一旦这条路径确定，所有的数据包将通过这条路径传输。在MPLS网络中，路径即是由“标签”来表示的。在路由器中，每个目的网络由一个标签表示，所有到此目的网络的数据包被打上此标签转发到目的地。MPLS类似“虚电路”的标签转发方式保证两个VNP节点之间的流量经过唯一路径，不会被转发到其它节点，保证了用户数据包的安全性。 　　MPLS VPN能够利用电信运营商公用骨干网络强大的传输能力，为企业构建内部Intranet，同时能够满