北京航宇峰度数码科技有限公司

虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。

虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。通过将数据流转移到低成本的压网络上，一个企业的虚拟专用网解决方案将大幅度地减少用户花费在城域网和远程网络连接上的费用。同时，这将简化网络的设计和管理，加速连接新的用户和网站。另外，虚拟专用网还可以保护现有的网络投资。随着用户的商业服务不断发展，企业的虚拟专用网解决方案可以使用户将精力集中到自己的生意上，而不是网络上。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。

虚拟专用网至少应能提供如下功能：

·加密数据，以保证通过公网传输的信息即使被他人截获也不会泄露。

·信息认证和身份认证，保证信息的完整性、合法性，并能鉴别用户的身份。

·提供访问控制，不同的用户有不同的访问权限。

根据VPN所起的作用，可以将VPN分为三类：VPDN、Intranet VPN和Extranet VPN。

1. VPDN（Virtual Private Dial Network）

在远程用户或移动雇员和公司内部网之间的VPN，称为VPDN。实现过程如下：用户拨号NSP（网络服务提供商）的网络访问服务器NAS（Network Access Server），发出PPP连接请求，NAS收到呼叫后，在用户和NAS之间建立PPP链路，然后，NAS对用户进行身份验证，确定是合法用户，就启动VPDN功能，与公司总部内部连接，访问其内部资源。

在公司远程分支机构的LAN和公司总部LAN之间的VPN。通过Internet这一公共网络将公司在各地分支机构的LAN连到公司总部的LAN，以便公司内部的资源共享、文件传递等，可节省DDN等专线所带来的高额费用。

在供应商、商业合作伙伴的LAN和公司的LAN之间的VPN。由于不同公司网络环境的差异性，该产品必须能兼容不同的操作平台和协议。由于用户的多样性，公司的网络管理员还应该设置特定的访问控制表ACL（Access Control List），根据访问者的身份、网络地址等参数来确定他所相应的访问权限，开放部分资源而非全部资源给外联网的用户。

IPSec（Internet Protocol Security）是IETF（Internet Engineer Task Force）正在完善的安全标准，它把几种安全技术结合在一起形成一个较为完整的体系，受到了众多厂商的关注和支持。通过对数据加密、认证、完整性检查来保证数据传输的可靠性、私有性和保密性。IPSec由IP认证头AH（Authentication Header）、IP安全载荷封载ESP（Encapsulated Security Payload）和密钥管理协议组成。

IPSec协议是一个范围广泛、开放的虚拟专用网安全协议。IPSec适应向IP v6迁移，它提供所有在网络层上的数据保护，提供透明的安全通信。IPSec用密码技术从三个方面来保证数据的安全。即：

·认证。用于对主机和端点进行身份鉴别。
·完整性检查。用于保证数据在通过网络传输时没有被修改。
·加密。加密IP地址和数据以保证私有性。

IPSec协议可以设置成在两种模式下运行：一种是隧道模式，一种是传输模式。在隧道模式下，IPSec把IP v4数据包封装在安全的IP帧中，这样保护从一个防火墙到另一个防火墙时的安全性。在隧道模式下，信息封装是为了保护端到端的安全性，即在这种模式下不会隐藏路由信息。隧道模式是最安全的，但会带来较大的系统开销。IPSec现在还不完全成熟，但它得到了一些路由器厂商和硬件厂商的大力支持。预计它今后将成为虚拟专用网的主要标准。IPSec有扩展能力以适应未来商业的需要。在1997年底，IETF安全工作组完成了IPSec的扩展，在IPSec协议中加上ISAKMP（Internet Security Association and Key Management Protocol）协议，其中还包括一个密钥分配协议Oakley。ISAKMP/Oakley支持自动建立加密信道，密钥的自动安全分发和更新。IPSec也可用于连接其他层已存在的通信协议，如支持安全电子交易（SET：Secure Electronic Transaction）协议和SSL（Secure Socket layer）协议。即使不用SET或SSL，IPSec都能提供认证和加密手段以保证信息的传输。

优点：它定义了一套用于认证、保护私有性和完整性的标准协议。 IPSec支持一系列加密算法如DES、三重DES、IDEA。它检查传输的数据包的完整性，以确保数据没有被修改。IPSec用来在多个防火墙和服务器之间提供安全性。IPSec可确保运行在TCP/IP协议上的VPNs之间的互操作性。

缺点：IPSec在客户机/服务器模式下实现有一些问题，在实际应用中，需要公钥来完成。IPSec需要已知范围的IP地址或固定范围的IP地址，因此在动态分配IP地址时不太适合于IPSec。除了TCP/IP协议外，IPSec不支持其他协议。除了包过滤之外，它没有指定其他访问控制方法。可能它的最大缺点是微软公司对IPSec的支持不够。

IPSec最适合可信的LAN到LAN之间的虚拟专用网，即内部网虚拟专用网。

随着应用的不断深入，MPSL VPN技术开始受到国内企业用户、特别是金融用户的重视。例如，银行正在大力开展信贷业务，迫切需要MPSL VPN技术的支持。其实，许多企业都可以利用该技术实现安全的远程通信。目前，实现这一技术的产品已经比较成熟，并形成了完善的解决方案。

一、提供IP增值服务

全球的商业和政府机构都采用了基于IP的企业专网和公共网络来为他们的应用服务。IP技术提供灵活、独特的技术对用户、供应商、分支机构以及商业伙伴进行信息分发、传送。很多企业出于经济及管理方面的考虑，把网络给专门的网络服务商管理，这些网络管理商可以提供可靠的、全方位的服务。通过租用网络服务商的设备及经验技术，使得用户可以把精力集中在自己的主要业务上。

网络服务商正在努力去满足用户的需求，建立完备的服务商级的网络。除了基本的网络传输要求，用户希望在与私网用户和外部的商业伙伴进行信息传递时，可扩展服务，同样可以享受到局域网上的保密性。他们占统治地位的基于IP的上层应用，需要网络特殊的支持，包括保密性、服务、端到端的任意连接，商业团体希望网络服务商提供增值的IP服务，包括多服务级别和选择性，并且能够与现有的IP网络无缝地连接，花费也要比用户自己建设及管理要少，这样在短期内虚拟专用网会有很大的潜在市场，从长远来看，IP的增值服务可以包括内容托管、VoIP和多媒体服务等。因此，很多服务商正在准备去提供IP增值服务，并不是只提供简单的传输。

目前很多网络服务商的收入来自于帧中继（FR）、ATM和专用线路和租用，都是基于ATM骨干网，在未来对FR和Internet接入的需求会继续增长，服务商怎样才能做到发展现有传输服务的同时来积极准备明日的IP增值服务？

一套新的IP服务将会缩小FR和Internet接入之间的间隙，开发一个大的商业市场和提供IP服务上的机会，架起FR与Internet接入的桥梁，这就是Cisco系统公司推出的多协议标记交换服务（MPLS）。它能够提供给服务商去建设易于扩展的、先进的IP端到端的服务，并且对于服务商及用户而言，设置与管理也比较简单。使用MPLS，服务商可基于他们交换和路由式的网络提供商业所需的IP服务。MPLS可以保护现有的投资(FR和多服务ATM)，同时也为将来的可扩展的IP增值服务铺平道路。

二、MPLS的工作原理

MPLS是由Cisco标记交换演变而来的IETF的标准协议。标记表示路径和服务的属性，在入口的边缘、流入的数据包被处理做上标记，位于核心的设备仅仅读这些标记，赋于适当的服务，然后根据标记转发这些数据包，对这些数据包的分析、分类和过滤只发生一次，在进入边缘设备时，经过出口的边缘设备时，标记被移去，数据包转发到最终目的地。

下面说明数据怎样在具有MPLS功能的服务商网络中传递，见图1。

网络可自动生成路由表，因为Cisco路由器或ATM交换机可参与内部网关协议如OSPF信息交换。标记交换路由器（LDR）使用路由表中的信息去建立相邻设备的标记值，创建标记交换路径（LSP），预先设置了与最终目的地之间的对应关系，不像ATM永久虚电路，需要人工设置VPI/VCI，MPLS的标签是自动分配的。

一个数据包进入边缘LSR时，它会被处理，决定需要哪种第三层的服务，例如QoS和带宽管理。基于路由和策略的需求，边缘LSR有选择地放入一个标签到数据包头中，然后转发。

位于网络核心的LSR读每一个数据包的标记，并根据交换表替换一个新的，然后，这个动作将会在所有中心设备中重复。

在出口边缘的LSR除去标记，读数据包头，将其转发到最终目的地。

对于新增加的IP商业服务，MPLS最显著的益处在于能够分配标签，这有非常特殊的意义，不同的标签可以区分路由信息、应用类型和服务级别。

三、MPLS的智能服务

MPLS增加了扩展性，在一个大的网络中增加了第三层的智能服务，而很多服务商拥有庞大的ATM网络结构，工作在网络第二层。这似乎会出现矛盾，但实际上没有。服务商在ATM网络中可用MPLS的IP技术提供商业的IP服务。因为所有的路由决定都被预先计算，MPLS加速了IP在大型ATM网络中的转发能力，并在第二层的核心通过Cisco IOS技术提供丰富的三层服务。这种模式有很多好处。

ATM和IP技术各自具有优势，ATM与IP的完美结合可以比任一项单独技术更优越。ATM是多服务网络的基础，它可提供保密性、QoS保障来满足用户的服务要求（SLA）。IP是一个传统的面向非连接的技术，网络具有很好的扩展性并且独立于任何介质，网络第三层的服务可应用于端到端。

Cisco应用MPLS的IP+ATM解决方案，给ATM网络提供了智能的IP应用服务，这是与ATM/FR的传输服务有区别的。如果在IP over ATM的解决方案中，将IP数据流和ATM数据流作同等处理，就限制了实现端到端IP服务的能力。MPLS使服务提供商通过利用IP和ATM的属性，维持目前的ATM和FR服务。同时，在同一网络上提供商业IP服务，如Internet和Extranet VPN来增加产值和利润。

Cisco的IP+ATM的MPLS解决方案使Cisco IOS的丰富功能与服务提供商的ATM网有效结合起来。由于LSP是由网络的拓扑结构决定的，任何MPLS的实施依赖于路由协议。Cisco IOS的软件可与任何系统兼容，无论使用什么样的技术、接口和介质，MPLS给服务商带来了丰富的第三层网络服务。

MPLS只是多服务ATM网络的一项技术，服务商仍旧可以提供现有的FR，语音和多服务的ATM传输服务。通过IP+ATM平台，多种网络服务如IP、FR和ATM可以利用虚拟交换端口技术通过一个单一网络支持。虚拟交换端口(VSI)机制可以明确控制分配给每种服务的网络资源，因此每一个虚拟网络彼此独立。VSI可同时支持MPLS和PNNI以及其他控制平台，因为它允许在同一个IP+ATM交换机上同时运行不同的协议栈。

没有MPLS，IP经由ATM的传输就需要一个复杂的协议翻译过程，MPLS省略了把IP地址和路由映射到ATM交换表上的复杂性，MPLS标记交换与ATM交换机交换信元机制相同。因此，一个IP+ATM交换机能够实现在一台交换机上提供最好的ATM和IP的协议和服务。

MPLS可以使QoS应用于庞大的路由和交换的网络中，因为服务商可以指定不同的标签具有特定的含义，如表示服务类别。传统的ATM和FR网络所实施的服务分类是基于点到点的虚电路，但对于IP网络而言扩展性不好。把数据流在边缘设备进行分类，使得服务商能够管理和控制整个网络的服务分类。

如果服务提供商是根据服务级别来管理网络，而不是基于点到点的连接，他们可提高有效性并保持功能性。与基于每个电路的管理相比，基于MPLS的CoS有效性更高，复杂性更小。

利用MPLS来建立CoS可减少对每条电路的配置。整个网络更易于应用和控制。在MPLS流中有两个地方可以标识服务级别。第一处是IP优先级，可以提供8个服务级别。这个标识被复制到MPLS数据头的CoS字段，它将在路由核心得到应用。另外，MPLS可以使用不同的标签来指定服务级别，这样交换机可自动了解哪种信息流需要分配到优先级队列。这种机制被用于IP+ATM的网络中，但也可用于路由器网络。目前，MPLS支持多达8个服务级别，与IP优先级数量相同。将来MPLS会有更多的服务级别。使用标签，服务级别的数量实际上不受限制。

Cisco IOS软件为服务提供商在IP+ATM网络中使用IPQoS提供了很多选择，在这里，有两个具有代表性的模型，第一个使用了ATM论坛的可用比特率（ABR），另一个使用多标签虚电路（LVC）。

MPLS实现了一种完美的交换引擎（Traffic Engineering）机制。该机制能够控制一个网络中的路由，减少拥塞并提高有效性。IP网络中有多条路径可到达目的地，仅仅依赖路由协议如OSPF，某些路径会发生拥塞，而同时某些路径没有得到充分利用。MPLS可以使管理者明确地配置静态的LSP，在特定的路径上传送数据，将来MPLS将自动建立明确路径来对流量进行均衡传送。

五、基于MPLS的IP VPN

VPN已经被企业应用。服务提供商也面临挑战: 用户要求建立网络，可以将专用Intranet扩展到分支办公室。这些基于IP的应用要求保密性、QoS和点到点的连接性。用户要求易于使用的服务与局域Intranet无缝结合。服务提供商提供的VPN服务必须具有高扩展性、性价比高、满足用户广泛的需求，他们必须提供低耗费的、可管理的服务来吸引新的市场，为增值服务奠定基础。

FR和提供多服务的ATM可提供保密性和CoS，而IP可以带来端到端的连接性。用于Cisco ATM交换机中的MPLS，使得网络供应商能为运作于ATM结构上的IP服务带来好处。服务供应商能够利用MPLS来建立一套完全崭新的级别。基于MPLS的IPVPN是面向非连接的IP网络，同样可以像帧中继和提供IP服务级别一样具有保密性。因为基于MPLS的VPN使运行更为有效，提供商能够为用户提供低耗费、可管理的IP服务。

IPVPN具有丰富的特性可以应用，服务提供商需要一些特性来区分不同类型的IP应用，用以提供保密性和IPQoS，与普通VPN（即Overlay VPN）、FR或ATM相比，更为简单。

与普通VPN相比，基于MPLS的网络能够将数据流分开，无须建立隧道或加密即可提供保密性，基于MPLS的网络以网络到网络的方式提供保密性，如同FR以连接到连接的方式提供保密性。基于MPLS的网络为用户提供服务，而FR VPN提供数据的传输，这将支持服务提供商实现从面向传输的模式到面向服务的模的转变。

在基于MPLS的VPN中，服务提供商为每个VPN分配了一个标识符，称作路由标识符(RD)，这个标识符在服务提供商的网络中是独一无二的。转发表中包括一个独一无二的地址，即VPN-IP地址，是由RD和用户的IP地址连接形成。VPN-IP地址在网络中是独一无二的，地址表存储在转发表中。

BGP是一个路由信息分布协议，它利用多协议扩展和共有属性来定义VPN的连接性。在基于MPLS的VPN中，BGP只对同一个VPN的成员发布信息，通过流量分离来提供基本的安全性。因为数据是通过使用LSP来转发的，LSP定义一条特定的路径，不可以被改变，这样对安全性也有保证。这种基于标签的模式可与帧中继和ATM一样提供保密性。服务提供商，而不是用户，应用VPN时将一个特定的VPN与接口联系起来，数据包的转发是由用于入口的标签决定的。既然不可能Spoof端口，MPLSVPN就不易受到Spoof的攻击。

VPN转发表中包括与VPN-IP地址相对应的标签。通过这个标签将数据传送到相应地点。既然标签代替了IP地址，用户可以保持他们的专用地址结构，无须进行网络地址翻译(NAT)来传送数据。根据数据入口，交换机选择一特定的转发表，该表中只包括在VPN中有效的目的地址。为了创建Extranet，服务提供商在VPN之间要明确配置可达性。

这种解决方案的优势在于服务提供商可以通过相同的网络结构来支持许多种VPN，并不需要为每一个用户建立单独的网络。而且，这种方案将IPVPN的能力内置于网络本身，所以，服务提供商可以为所有租用者配置一个网络来提供专用的IP网服务，如Intranet和Extranet，而无须复杂的管理、隧道或VCmesh。QoS可为每个VPN提供特有的业务政策，QoS服务可与基于MPLS的VPN无缝结合，因为两者都是基于标记的技术。

基于MPLS的IPVPN网络可以很容易地与基于IP的用户网络结合起来。租用者可与供应商提供的服务无缝结合，不必改变Intranet应用，因为这些网络具有应用通晓性、保密性和QoS内置于网络中。用户能够使用他们专有的IP地址而无须NAT。

因此，同一种网络结构可支持许多种VPN，可减轻为每一个新网络实施工程的负担。这种方案易于进行VPN的添加、移动和改变。如果某个公司需要在自己的VPN中增加一站点，服务提供商只需告诉客户端设备的路由器如何与网络连接，并配置LSR来识别来自于CPE的VPN成员。BGP会自动更新VPN成员。与增加一台设备需要大量操作的普通VPN相比，这种方案要简单、迅速和便宜的多。在一个普通VPN中增加一台新设备要涉及到更新流量矩阵，从新站点建立VC到所有现存的站点，更新每个站点的OSPF设计，针对新的拓扑结构图重新配置每台CPE设备。

六、MPLS VPN提供增值服务

基于MPLS的IPVPN网络是下一代增值IP服务的基础，如多媒体/组播应用、VoIP和Intranet内容托管，这些服务都需要特殊的服务质量和保密性。既然QoS和保密性已内置于网络中，对于每种服务就无需单独实施工程。可从某个角度看，可设计多个VPN，每个VPN具有不同的服务，见图2。这种灵活的方案可以以更低的耗费提供更快更新的服务。这种将用户分为组提供特定服务的能力，对于提供增值服务至关重要。

这种低耗费、具有管理性的应用吸引了更多的用户。构建一个网络并对它多次销售，服务提供商可为更多的用户提供经济、可扩展的专用IP服务，增加市场份额和利润。在过去，由于对花费的限制以及缺少内部的专用技术，小型企业无法利用广域网的优势。而且，由于网络服务是基于第二层的结构，这种管理的复杂性不能为用户提供好的解决方案。基于MPLS的IPVPN网络降低了运行耗费，使得服务提供商以可担负的价格，为小型企业提供可被管理的服务。缺少网络和路由专门技术的用户可以选择被管理的IP服务，将即插即用的简易性用于Intranet和Extranet。大型企业发现内部技术人员不能满足服务需要，将网络资源交给服务提供商进行管理已成为一种具有吸引力的选择。

七、解决方案的选择

在企业确定采用MPLS VPN技术之后，必须选择适当的解决方案和产品供应商。对此，NCR公司环球客户服务部中国区总经理沙今先生发表了自己的看法。他认为，随着企业业务的发展，许多企业将陆续采用MPLS VPN技术，在中国，最先由银行开始。目前，银行正在大力开发信贷业务，对于被贷的用户需要做详细的调查，许多数据需要通过网络传输，而且保密性要求很高，因此，MPLS VPN技术受到欢迎。

实施的关键是选择网络服务提供商，应该在以下方面对其进行审查：（1）单个产品与服务来源; （2）工程师的覆盖范围（全球或全国）; （3）与当地服务供应商的关系; （4）很强的安全性技能; （5）是否拥有行之有效的文件编制与过程（配置方法）。

在安全性方面，主要包括远程访问的安全和Internet访问的安全，以及安全认证和授权等。

此外，正确选择产品供应商也是解决方案成功的关键，需要注意以下几点：（1）财务稳定性; （2）覆盖范围（全球或全国）; （3）是否拥有强大的合作伙伴——系统集成商，他们是否训练有素，可以和服务供应商一道进行决策审核。

目前，在MPLS VPN产品和技术方面，MPLS VPN比较好的是Cisco系统公司和北电网络公司。特别是Cisco公司，是MPLS技术的发起者，其产品和售后服务都比较好，他们开发了一系列的产品，比较全面，国内已经有用户采用。