VPN的基础介绍（VPN的基础介绍）

在VPN（Virtual Private Network）出现之前，跨越Internet的数据传输只能依靠现有物理网络，具有很大的不安全因素。

如下图所示，某企业的总部和分支机构位于不同区域（比如位于不同的国家或城市），当分支机构员工需访问总部服务器的时候，数据传输要经过Internet。由于Internet中存在多种不安全因素，则当分支机构的员工向总部服务器发送访问请求时，报文容易被网络中的黑客窃取或篡改。最终造成数据泄密、重要数据被破坏等后果。

图1 VPN出现前的报文传输

为了防止信息泄露，可以在总部和分支机构之间搭建一条物理专网连接，但其费用会非常昂贵，此时可以考虑采用VPN的方案进行解决。

VPN的基本原理是利用隧道（Tunnel）技术，对传输报文进行封装，利用VPN骨干网建立专用数据传输通道，实现报文的安全传输。

隧道技术使用一种协议封装另外一种协议报文（通常是IP报文），而封装后的报文也可以再次被其他封装协议所封装。

在上图中展示的网络中，如果存在VPN隧道，则数据传输如下图所示。当分支机构员工访问总部服务器时，报文封装过程如下：

图2 经过VPN封装后的报文传输

1. 报文发送到网关1时，网关1识别出该用户为VPN用户后，发起与总部网关即网关2的隧道连接，从而网关1和网关2之间建立VPN隧道。

2. 网关1将数据封装在VPN隧道中，发送给网关2。

3. 网关2收到报文后进行解封装，并将原始数据发送给最终接收者，即服务器。

4. 反向的处理也一样。VPN网关在封装时可以对报文进行加密处理，使Internet上的非法用户无法读取报文内容，因而通信是安全可靠的。

VPN和传统的数据专网相比具有如下优势：

VPN适用于以下基本场景，以及从以下场景中衍生的复杂场景。通过对比各种VPN的特点，可选择适合的VPN类型。

site-to-site VPN

site-to-site VPN即两个局域网之间通过VPN隧道建立连接。

如下图所示，企业的分支和总部分别通过网关1和网关2连接到Internet。出于业务需要，企业分支和总部间经常相互发送内部机密数据。为了保护这些数据在Interner中安全传输，在网关1和网关2之间建立VPN隧道。

图3 site-to-site VPN组网图

这种场景的特点为：两端网络均通过固定的网关连接到Internet，组网相对固定。且访问是双向的，即分支和总部都有可能向对端发起访问。适用于比如连锁超市、政府机关、银行等的业务通信。

此场景可以使用以下几种VPN实现：IPSec、L2TP、L2TP over IPSec、GRE over IPSec、IPSec over GRE。

client-to-site VPN

client-to-site VPN即客户端与企业内网之间通过VPN隧道建立连接。

如下图所示，外出差员工（客户端）跨越Internet访问企业总部内网，完成向总部传送数据、访问内部服务器等需求。为确保数据安全传输，可在客户端和企业网关之间建立VPN隧道。

图4 client-to-site VPN组网图

这种场景的特点为：客户端的地址不固定。且访问是单向的，即只有客户端向内网服务器发起访问。适用于企业出差员工或临时办事处员工通过手机、电脑等接入总部远程办公。

此场景可以使用以下几种VPN实现：SSL、IPSec（IKEv2）、L2TP、L2TP over IPSec。

BGP/MPLS IP VPN

BGP/MPLS IP VPN主要用于解决跨域企业互连等问题。当前企业越来越区域化和国际化，同一企业的不同区域员工之间需要通过服务提供商网络来进行互访。服务提供商网络往往比较庞大和复杂，为严格控制用户的访问，确保数据安全传输，需在骨干网上配置BGP/MPLS IP VPN功能，实现不同区域用户之间的访问需求。

BGP/MPLS IP VPN为全网状VPN，即每个PE和其他PE之间均建立BGP/MPLS IP VPN连接。服务提供商骨干网的所有PE设备都必须支持BGP/MPLS IP VPN功能。

图5 BGP/MPLS IP VPN组网图