{安全生产管理}清华版网络安全讲义第9章.pdfVIP

9.1VPN概述

9.1.1VPN的概念

VPN是VirtualPrivateNetwork的缩写，是将物理分

布在不同地点的网络通过公用骨干网，尤其是

Internet连接而成的逻辑上的虚拟子网。为了保障信

息的安全，VPN技术采用了鉴别、访问控制、保密

性、完整性等措施，以防止信息被泄露、篡改和复

制。

V即Virtual，是针对传统的企业“专用网络”而言的。

传统的专用网络往往需要建立自己的物理专用线路，

使用昂贵的长途拨号以及长途专线服务；而VPN则

是利用公共网络资源和设备建立一个逻辑上的专用

通道，尽管没有自己的专用线路，但是这个逻辑上

的专用通道却可以提供和专用网络同样的功能。换

言之，VPN虽然不是物理上真正的专用网络，但却

能够实现物理专用网络的功能。

P即Private，表示VPN是被特定企业或用户私有的，

并不是任何公共网络上的用户都能够使用已经建立

的VPN通道，而是只有经过授权的用户才可以使用。

在该通道内传输的数据经过了加密和认证，使得通

信内容既不能被第三者修改，又无法被第三者破解，

从而保证了传输内容的完整性和机密性。因此，只

有特定的企业和用户群体才能够利用该通道进行安

全的通信。

N即Network，表示这是一种专门的组网技术和服务，

企业为了建立和使用VPN必须购买和配备相应的网

络设备。

9.1.2VPN的类型

VPN有3种类型：AccessVPN（远程访问VPN）、

IntranetVPN（企业内部VPN）和ExtranetVPN

（企业扩展VPN），这3种类型的VPN分别对应于传

统的远程访问网络、企业内部的Intranet以及企业和

合作伙伴的网络所构成的Extranet。

1.AccessVPN

AccessVPN即所谓的移动VPN，适用于企业内部人

员流动频繁或远程办公的情况，出差员工或者在家

办公的员工利用当地ISP（InternetServiceProvider

，Internet服务提供商）就可以和企业的VPN网关建

立私有的隧道连接，如图9.1所示。

图9.1AccessVPN

AccessVPN对应于传统的远程访问内部网络。在传

统方式中，在企业网络内部需要架设一个拨号服务

器作为RAS（RemoteAccessServer），用户通过拨

号到该RAS来访问企业内部网。这种方式需要购买

专门的RAS设备，价格昂贵，用户只能进行拨号，

也不能保证通信安全，而且对于远程用户可能要支

付昂贵的长途拨号费用。

AccessVPN通过拨入当地的ISP进入Internet再连接

企业的VPN网关，在用户和VPN网关之间建立一个

安全的“隧道”，通过该隧道安全地访问远程的内

部网，这样既节省了通信费用，能保证安全性。

AccessVPN的拨入方式包括拨号、ISDN、数字用户

线路(xDSL)等，惟一的要求就是能够使用合法IP地

址访问Internet，具体何种方式没有关系。通过这些

灵活的拨入方式能够让移动用户、远程用户或分支

机构安全地接入到内部网络。

2.IntranetVPN

如果要进行企业内部异地分支机构的互联，可以使

用IntranetVPN方式，这是所谓的网关对网关VPN

，它对应于传统的Intranet解决方案，如图9.2所示。

IntranetVPN在异地两个网络的网关之间建立了一个

加密的VPN隧道，两端的内部网络可以通过该VPN

隧道安全地进行通信，就好像和本地网络通信一样。

IntranetVPN利用公共网络（如Internet）的基础设

施，连接企业总部、远程办事处和分支机构。企业

拥有与专用网络相同的策略，包括安全、服务质量

(QoS)、可管理性和可靠性。

图9.2IntranetVPN

3.ExtranetVPN

如果一个企业希望将客户、供应商、合作伙伴或兴

趣群体连接到企业内部网，可以使用ExtranetVPN

，它对应于传统的Extranet解决方案，如图9.3所示。

ExtranetVPN其实也是一种网关对网关的VPN，与

IntranetVPN不同的是，它需要在不同企业的内部网

络之间组建，需要有不同协议和设备之间的配合和

不同的安全配置。

图9.3ExtranetVPN

9.1.3VPN的优点

VPN具有以