1、VPN 解决方案集锦针对不同的用户要求，VPN 有三种解决方案：远程访问虚拟网（Access VPN） 、企业内部虚拟网（Intranet VPN）和企业扩展虚拟网（Extranet VPN） ，这三种类型的 VPN 分别与传统的远程访问网络、企业内部的 Intranet 以及企业网和相关合作伙伴的企业网所构成的 Extranet相对应。 Access VPN Access VPN，通过一个拥有与专用网络相同策略的共享基础设施，提供对企业内部网或外部网的远程访问。Access VPN 能使用户随时、随地以其所需的方式访问企业资源。 Access VPN 包括模拟、拨号、ISDN 、数字用户线路
2、 (xDSL)、移动 IP 和电缆技术，能够安全地连接移动用户、远程工作者或分支机构。如图 1 所示。 Access VPN 最适用于公司内部经常有流动人员远程办公的情况。出差员工利用当地 ISP提供的 VPN 服务，就可以和公司的 VPN 网关建立私有的隧道连接。RADIUS 服务器可对员工进行验证和授权，保证连接的安全，同时负担的电话费用大大降低。 Access VPN 的优点如下：减少用于相关的调制解调器和终端服务设备的资金及费用，简化网络。 实现本地拨号接入的功能来取代远距离接入或 800 电话接入，这样能显著降低远距离通信的费用。 极大的可扩展性，简便地对加入网络的新用户进行调度。远
3、端验证拨入用户服务（RADIUS）基于标准，基于策略功能的安全服务。 将工作重心从管理和保留运作拨号网络的工作人员转到公司的核心业务上来。Intranet VPN 越来越多的企业需要在全国乃至世界范围内建立各种办事机构、分公司、研究所等，各个分公司之间传统的网络连接方式一般是租用专线。显然，在分公司增多、业务开展越来越广泛时，网络结构趋于复杂，费用昂贵。利用 VPN 特性可以在 Internet 上组建世界范围内的 Intranet VPN。利用 Internet 的线路保证网络的互联性，而利用隧道、加密等 VPN 特性可以保证信息在整个 Intranet VPN 上安全传输。Intranet
4、 VPN 通过一个使用专用连接的共享基础设施，连接企业总部、远程办事处和分支机构。企业拥有与专用网络的相同政策，包括安全、服务质量 (QoS)、可管理性和可靠性。如图 2 所示。 Intranet VPN 的优点如下：减少 WAN 带宽的费用。 能使用灵活的拓扑结构，包括全网孔连接。新的站点能更快、更容易地被连接。通过设备供应商 WAN 的连接冗余，可以延长网络的可用时间。 Extranet VPN 随着信息时代的到来，各个企业越来越重视各种信息的处理。希望可以提供给客户最快捷方便的信息服务，通过各种方式了解客户的需要，同时各个企业之间的合作关系也越来越多，信息交换日益频繁。Internet
5、为这样的一种发展趋势提供了良好的基础，而如何利用 Internet 进行有效的信息管理，是企业发展中不可避免的一个关键问题。利用 VPN 技术可以组建安全的 Extranet，既可以向客户、合作伙伴提供有效的信息服务，又可以保证自身的内部网络的安全。 图 1 Access VPN 应用示意图 Extranet VPN 通过一个使用专用连接的共享基础设施，将客户、供应商、合作伙伴或兴趣群体连接到企业内部网。企业拥有与专用网络的相同政策，包括安全、服务质量(QoS)、可管理性和可靠性。如图 3 所示。 Extranet VPN 结构的主要好处是，能容易地对外部网进行部署和管理，外部网的连接可以使用
6、与部署内部网和远端访问 VPN 相同的架构和协议进行部署。主要的不同是接入许可，外部网的用户被许可只有一次机会连接到其合作人的网络。 各厂商 VPN 方案 目前大型网络厂商都把虚拟专用网络作为重要市场目标。诸如 3Com、Cisco、Nortel Networks、Lucent 和 Shiva 公司等公司纷纷出击，提供各具特色的 VPN 解决方案。 3Com VPN 解决方案 3Com 为企业和 NSP 提供多种端对端的 VPN 解决方案。所有的 3Com VPN 产品彼此兼容，还配备了 TranscendWare 软件，使用户可以对常规网络和 VPN 执行统一的策略。TranscendWar
7、e 软件使边界设备可以与终端设备通信，进而强制执行网络策略。这些设备通过监视 VPN 隧道，可以更好地管理拨号端口、带宽分配、网络负载等，对 VPN 环境进行有效的控制。已配备 NETBuilder或 SuperStack桥接器/路由器的企业，可以在这些设备上增加 VPN 服务器能力(隧道终止器功能)。这样的一个设备，可以通过利用线路、帧中继、ISDN、SMDS 或 Switched 56 连接到 NSP，又可以通过 Ethernet、Token Ring 和 ATM 提供LAN 连接。 图 2 Intranet VPN 应用示意图 3Com 公司的 VPN 解决方案的优点在于，能够很容易地集
8、成到多厂商产品的网络中，且支持多种环境：移动用户和居家工作者；通过虚拟租用线路连接分支机构办公室；通过安全的 Extranet 连接商业伙伴。3Com 公司推出的基于 L2TP(Layer2 Tunneling Protocol)和扩展型 IPsec(Internet Protocol Security)的最新强化软件，从而进一步为用户扩展了 VPN 解决方案。 3Com 的隧道交换机提高了 VPN 的安全性和灵活性，可以带来以下好处： 很容易区别对待远程职工的信息流和合作伙伴与客户的信息流。 各部门可以共用一个 Internet 接口。 可以最终利用 IP 地址空间。 使远程用户很容易成为
9、VLAN(虚拟 LAN)的成员。 Lucent VPNWorX Lucent VPN 解决方案将电路交换式语音 VPN 和智能网络功能的优良传统，与原 Ascend通讯公司的 VPN 体系-以数据为中心的 MultiVPN 创新技术结合起来，创建了语音和数据相融合的新型 VPN 服务。 图 3 extrant VPN 应用示意图 Lucent VPNWorX，对企业来讲具有无需牺牲类似专用网的控制能力，可以获得 VPN 的所有好处。VPNWorX 解决方案中的产品，涵盖了供应商/用户环境，包括 Lucent 完善的产品方案，如电信级接入平台 MAX 和 MAX TNT；多业务交换机 GBX50
10、0、GX550、B-STDX8000/9000 和 Nexabit NX64000。IP Navigator MPLS 使服务供应商能够建立一个可以提供全新 IP 服务-Quality IP 的基础设施。Internet 安全产品包括 VPN Gateway 和SecureConnect。Pipeline 和远程接入产品提供了集成化 VPN 路由和防火墙保护功能。并且，该方案具有通过 QoS 和 SLA 保障，提供关键型性能、策略化联网能力、端到端服务和网络管理及智能网络等增值功能。 Cisco EVPN Cisco 推出的企业级虚拟专用网（EVPN）全面解决方案，在可扩展的平台、安全性、服务
11、、应用和管理五大 VPN 实施要素方面具有基于标准的开放式体系结构、可扩充的和端到端的网络互联能力。 和专用网络一样，Cisco 为 VPN 提供了有保障的带宽和差别控制的服务与应用。在Cisco IOS 软件 12.0 版中，丰富了 QoS 功能和机制，甚至支持 IP QoS，使企业用户能够在不同应用和用户之间强制实现优先级和带宽分配，并内置了一个专门用来检测服务水平的响应时间报告器（RTR） 。图 4 Netbuilder 系列产品 Cisco 提供了一系列的 VPN 安全功能来实现安全保障。基于硬件的集成式 IPsec 加密，不仅可以实现高速加密，还提高了 WAN 的可用带宽。PIX 防
12、火墙、NetRanger 入侵检测系统和 NetSonar 安全扫描程序三者配合，保证企业 VPN 的可靠性和安全性。而这些功能都是被集成进 Cisco IOS 软件中的，用户可以通过简单的软件升级，透明地保护网络安全。目前，所有的 Cisco 路由器平台都可以方便地实现 VPN，经过优化的 Cisco 路由器集成了 VPN 功能、高速加密、安全、带宽管理和与 WAN 连接的能力，降低了 VPN 的复杂度和成本。该产品系列包括用于企业和地区办公环境的 Cisco7500、7200VXR 和 7200 高端路由器，以及用于小型地区、分支机构及远程个人的 Cisco3600、2600、1720 和
13、 800 路由器。所有的 Cisco VPN 路由器都完全可以互操作，为从园区到广域网 ISP，以窄带或宽带速率进行多媒体通讯提供了一条可扩展的端到端链路。 华为 VPN 方案 华为提供了各种有效的 VPN 解决方案，包括：Access VPN、Intranet VPN、Extranet VPN及结合防火墙的 VPN 解决方案。各方案中，Quidway 系列路由器具有 VPN 网关功能，是组建 VPN 的重要设备之一。Quidway 系列路由器支持各种 VPN 技术，包括隧道技术、IPsec、密钥交换技术、防火墙技术、QoS 与配置管理等，并可继续发展，支持越来越多的先进技术。 图 5 Cisco 3600 系列路由器 其中，VPN 与防火墙的结合使用，可以利用防火墙的许多安全特性在 VPN 上建立更加安全的网络环境，增强抵御黑客攻击、禁止非法访问的能力。公司内部特定的用户可以访问 Internet 网络，但是 Internet 网络内的主机不能通过防火墙访问公司的内部网络，只允许访问位于 DMZ（非军事化区）的内部服务器主机，公司的外地办事处机构可以利用 VPN和总部建立安全的私有隧道，以访问总部的资源。
