任务二 虚拟专用网络
知识点
1.VPN 是什么？
任务描述：虚拟专用网络是在公用网络上建立专用网络，进行加密数据通信。虚拟专用网络属于远程访问技术，可以简单理解为利用公用网络实现专用网络。
一句话定义（项目导读已给）：VPN 是一种利用公共网络（主要是互联网） 将多个私有网络或网络节点连接起来组成的私有专用网络。
两个关键词：
- "虚拟"——没有自己铺设的物理线路，借公用网（Internet）跑数据；
- "专用"——通过隧道 + 加密，让数据在公用网上只有自己人看得懂。
2.VPN 的工作原理
（1）问题的由来
一般情况下两台与互联网连接的计算机，只要知道对方的 IP 地址，就可以直接通信。但两台计算机所有的子网络可能不能直接互联，原因是两台计算机所在的子网络可能一个是私有网络，而另一个却是公用网络。
根本原因：私有网络和公用网络使用了不同的地址空间或协议，即私有网络与公用网络之间是不兼容的。
（2）VPN 怎么解决
VPN 就是在这两台与公用网络连接的计算机之间建立一条专用通道：
- 打包——两个私有网络之间的通信内容经过这两台计算机或设备打包；
- 传输——通过公用网络的专用通道进行传输；
- 解包——在目标端解包，还原成私有网络的通信内容；
- 转发——转发到私有网络中。
效果比喻（教材原话）：这样处理之后，对于两个私有网络来说，公用网络就像普通的通信电缆一样；而接在公用网络上的两台计算机或设备则相当于两个特殊的接头。
（3）为什么需要"协议"
根据 VPN 连接的特点，私有网络的通信内容会在公用网络上传输，出于安全和效率的考虑，一般通信内容需要进行加密或压缩。而通信内容的打包和解包工作必须通过一个双方协商好的协议进行——这样在两个私有网络之间建立 VPN 通道需要一个专门的过程，依赖于一系列不同的协议，这些相关的设备和协议就组成一个 VPN 系统。
（4）工作原理流程图
私有网 A 的报文
↓ 打包（封装 + 加密/压缩）
[隧道协议封装后的数据包]
↓ 在公用网（Internet）中传输——逻辑的专用通道
[隧道协议封装后的数据包]
↓ 解包（解密 + 解封装）
私有网 B 的报文
一句话总结：VPN = 封装 + 加密 + 隧道传输 + 解封装，让"公用网"看起来像"自家电缆"。
3.VPN 系统的三个组成部分
一个完整的 VPN 系统包括三部分：
| 组成部分 | 定义 | 作用 |
|---|---|---|
| ① VPN 服务器 | 一台计算机或设备 | 用来接收和验证 VPN 连接的请求，处理数据打包和解包工作 |
| ② VPN 客户端 | 一台计算机或设备 | 用来发起 VPN 连接的请求，处理数据的打包和解包工作 |
| ③ VPN 数据通道 | 一条建立在公用网络上的数据连接 | 承载隧道中的封装数据 |
特别注意（易错点）：所谓的服务器和客户端在 VPN 连接建立之后，在通信的角色是一样的，服务器和客户端的区别仅在于连接的发起者不同——这个概念对两个网络之间的连接尤其明显。
考点提示：题目问"VPN 服务器和客户端在通信中的地位"→ 答"建立连接后角色相同（对等），区别只是谁先发起"。
4.一个高效、性能优良的 VPN 应具备的四项特性
| 特性 | 具体内容 |
|---|---|
| ① 安全有保障 | 虽然实现 VPN 的技术和方式很多，但所有的 VPN 均应保证通过公用网络平台传输数据的专用性和安全性。做法是：在非面向连接的公用 IP 网络上建立一个逻辑的、点到点的连接，即建立一个"隧道"；可以利用加密技术对经过隧道传输的数据进行加密，以保证数据仅被指定的发送者和接收者了解，从而保证了数据的私有性和安全性 |
| ② 服务质量保证（QoS） | VPN 网应当为企业数据提供不同等级的服务质量保证，不同的用户和业务对服务质量保证的要求差别较大。在网络优化方面，构建 VPN 的另一重要需求是充分、有效地利用有限的广域网资源，为重要数据提供可靠的带宽。QoS 通过流量预测与流量控制策略可以按照优先级分配带宽资源，实现带宽管理，使得各类数据能够被合理地先后发送，并预防阻塞的发生 |
| ③ 灵活和可扩充性 | VPN 必须能够方便地增加新节点，支持多种类型的传输介质，可以满足同时传输语音、图像和数据等新应用对高质量传输以及带宽增加的需求 |
| ④ 可管理性 | 一个完善的 VPN 管理系统是必不可少的，VPN 管理的目标是减小网络风险，具有高扩展性、经济性、高可靠性等优点。VPN 管理主要包括安全管理、设备管理、配置管理、访问控制列表管理和 QoS 管理等内容 |
四项特性口诀：安全、QoS、灵活、可管。
5.VPN 的四项安全技术（重点）
安全问题是 VPN 的核心问题——由于传输的是保密信息，VPN 数据的安全性就显得比较重要。目前 VPN 主要采用 4 项技术来保证安全：
| 序号 | 技术 | 英文 |
|---|---|---|
| ① | 隧道技术 | Tunneling |
| ② | 加解密技术 | Encryption & Decryption |
| ③ | 密钥管理技术 | Key Management |
| ④ | 身份认证技术 | Authentication |
（1）隧道技术——VPN 的基本技术
定位：隧道技术是 VPN 的基本技术，类似于点到点连接技术，它可以在公用网上建立一条专用数据通道（隧道），让数据包通过这条隧道传输。
形象比喻（教材原话）：这就好像在高速公路上开通了一条隐形隧道，数据在这条隐形隧道中秘密传输。
隧道由隧道协议形成，分为第二层和第三层：
| 层次 | 封装方式 | 代表协议 | 要点 |
|---|---|---|---|
| 第二层隧道协议 | 先把各种网络协议封装到 PPP 中，再把整个数据包装入隧道协议中——这种双层封装方法形成的数据包靠第二层隧道协议进行传输 | L2F、PPTP、L2TP | L2TP 协议是目前 IETF 的标准，由 IETF 融合 PPTP 与 L2F 而形成 |
| 第三层隧道协议 | 把各种网络协议直接装入隧道协议中，形成的数据包依靠第三层协议进行传输 | VTP、IPSec 等 | IPSec（IP Security）定义了一个系统来提供安全协议选择、安全算法以及确定服务所使用密钥等服务，从而在 IP 层提供安全保障 |
二三层隧道的区别一句话：二层"套两层"（PPP 外套隧道协议），三层"直接装"（协议直接进隧道协议）。
教材表述提示：教材第三层隧道协议写作"VTP、IPSec"。业界常见的三层隧道协议还有 GRE，考试若按教材出题请填 VTP、IPSec；讲课时可补充说明"VTP 在本教材语境中指三层隧道协议，实际部署以 IPSec 与 GRE 为主"。
（2）数据加解密技术
数据加解密技术是数据通信中一项比较成熟的技术，VPN 可直接利用该项技术——把加密算法"拿来即用"，不必重新发明。
（3）密钥管理技术
作用：这项技术可保证在公用数据网上安全地传递密钥而不被窃取。
两种现行技术：
| 技术 | 密钥分发方式 |
|---|---|
| SKIP | 在网络上传输密钥 |
| ISAKMP/OAKLEY | 在 ISAKMP 技术中，双方都有两把密钥，分别用于公用和私用（即公钥/私钥体系，密钥本身不必在网络上明文传输） |
（4）身份认证技术
在网络和计算机领域，身份认证是最常用、最基本的一种认证方式，常使用用户名称、密码或卡片认证等方式。三种典型方式：
| 方式 | 说明 | 安全级别 |
|---|---|---|
| 密码认证 | 最基本的认证方法，进入系统或设备时通常都要输入密码，被广泛使用 | 低 |
| 智能卡认证 | 目前主要的认证方法，智能卡中的芯片存储了使用者的信息，通过智能读卡器将信息读取并识别，实现用户身份认证 | 中 |
| 生物认证 | 使用合法用户独有且不能被复制的生物生理特征，如指纹、面部扫描、视网膜血管分布图、语音识别等 | 高，通常使用在有高级别安全要求的环境 |
四项安全技术对照表：
| 技术 | 解决什么问题 | 关键词 |
|---|---|---|
| 隧道技术 | 数据走哪条路（建立专用通道） | L2TP、IPSec |
| 加解密技术 | 数据被看到也看不懂 | 成熟技术，直接用 |
| 密钥管理技术 | 钥匙怎么安全地交给对方 | SKIP、ISAKMP/OAKLEY |
| 身份认证技术 | 对方是不是自己人 | 密码、智能卡、生物 |
6.VPN 的应用与解决方案
（1）应用范围
随着公用网络带宽的不断增加、服务质量保证的提供，VPN 得到迅速发展，并逐步发展成为一种替代广域网技术的组网技术。目前 VPN 主要用于跨地域的企业和组织机构，如拥有异地分支机构的大中型企业、政府部门、教育机构、银行、证券公司和保险公司等。
（2）VPN 的三类应用
| 应用 | 内容 |
|---|---|
| ① 远程访问 | 主要实现在外出差、移动办公和在家中办公的人员访问企业内部网络 |
| ② 内部网络互联 | 在内部各分支机构网络与总部网络之间实现安全互联 |
| ③ 与合作伙伴建立安全通信 | 面向供应链上下游、合作单位的安全数据交换 |
（3）两种主流解决方案（按提供者划分）
| 方案 | 代表技术 | 提供者 | 适用范围 |
|---|---|---|---|
| 基于用户设备的 VPN 技术 | IPSec | 网络厂商提供 VPN 技术和解决方案 | 既可用于网络互联，又可用于远程访问 |
| 基于网络的 VPN 技术 | MPLS | 电信运营商提供 VPN 服务 | 主要用于网络远程互联 |
（4）第三种：SOHO 型 VPN 安全网关方案
还有一种安全的 VPN 解决方案，由 VPN 安全网关（SOHO 型——Small Office and Home Office，小型办公室、家庭办公室）+ VPN 客户端 + 安全管理中心组成（教材图 7-10）。
SOHO 型安全网关的特点：
- 专门针对中小型局域网的使用需求进行了优化设计，适应 PSTN 线路和 ADSL 等宽带线路；
- 通过 SOHO 型安全网关拨号接入企业内部网络之后，可以使整个局域网内的用户安全地接入企业内部网络，而无须在每个用户处进行配置——在保障性能的同时减少投资；
- 一般一个 SOHO 型安全网关可以支持 30 个以下的用户同时使用，在硬件设计上既保证接口够用，又兼顾了性能不会明显降低；
- 对于移动外出用户，可以通过 VPN 客户端套件来安全地接入企业内部网络。
对分支机构的价值：由于专业技术人员配备较少，因此对实施的方便性也有较高的要求。VPN 系统通过安全管理中心灵活的配置，而无须在客户端和 SOHO 型安全网关处做更多的设置，从而方便了分支机构的使用。
图 7-10 的地址示例：A office（w1.x1.y1.z1 一侧，内部网 192.168.100.1，域名 server.dipns.com）与 B office（w2.x2.y2.z2，内部网 192.168.100.x），两端经 VPN 隧道相连，中间经 Internet 与 881P 体系（教材图示标注）——这正说明 VPN 的两端内部地址可以完全相同（都是 192.168.100.x），因为隧道把两端的私有地址空间隔离开了。
（5）VPN 的四条发展趋势
| 趋势 | 内容 |
|---|---|
| ① 多种 VPN 技术集成 | 如在 MPLS VPN 网络的基础上再部署 IPSec VPN，以满足对保密性和可用性要求极高的如银行、证券公司等用户的需求 |
| ② 多种 VPN 业务整合与互补 | 如企业主干网络互联采用基于网络的 MPLS VPN（保证安全性、可靠性和高性能），远程访问采用基于用户设备的 IPSec VPN（保证灵活性和覆盖面）；比如 PSTN VPN 与无线 VPN 组合应用 |
| ③ 越来越高的 VPN 产品集成 | 除了集成传统的防火墙、路由器之外，许多面向中小企业的 VPN 产品集成打印服务器、无线接入点、多宽带接入端口等 |
| ④ SSL VPN 受到青睐 | VPN 技术不再局限于第二层和第三层，目前基于第四层的 SSL VPN 作为安全的远程访问技术也日益成熟 |
7.任务实施（教材要求的检索）
- 启动计算机，在搜索工具中以"虚拟专用网络"为关键词进行搜索；
- 浏览搜索结果中关于虚拟专用网络实现方法的叙述；
- 搜索目前 VPN 的专用设备，以国产品牌为例，明晰其功能与使用方法。
为什么 VPN 值得讲：VPN 技术发展很快，在发达国家已成为一项相当普及的网络业务，国内 VPN 的使用也呈现快速增长的趋势，在许多大中型企业中都已开始应用。VPN 的普及进一步推进了电子政务和电子商务，从而加快了政府和企业的信息化进程。
8.本任务速查表
| 考点 | 结论 |
|---|---|
| VPN 全称 | Virtual Private Network（虚拟专用网络） |
| VPN 的本质 | 在公用网络上建立专用网络，进行加密数据通信 |
| VPN 属于哪类技术 | 远程访问技术（也是替代广域网的组网技术） |
| 私有网与公用网不兼容的原因 | 地址空间或协议不同 |
| VPN 的处理流程 | 打包 → 隧道传输 → 解包 → 转发 |
| 公用网在 VPN 中像什么 | 像普通的通信电缆；两端设备像两个特殊的接头 |
| VPN 系统三要素 | VPN 服务器、VPN 客户端、VPN 数据通道 |
| 服务器与客户端的关系 | 连接建立后角色相同，区别仅在谁发起 |
| 高效 VPN 四特性 | 安全、QoS、灵活可扩充、可管理 |
| 保障安全的四项技术 | 隧道、加解密、密钥管理、身份认证 |
| VPN 的基本技术 | 隧道技术 |
| 二层隧道协议 | L2F、PPTP、L2TP（L2TP 是 IETF 标准，由 PPTP + L2F 融合） |
| 三层隧道协议 | VTP、IPSec（IPSec 在 IP 层提供安全保证） |
| 密钥管理两种技术 | SKIP（网上传密钥）、ISAKMP/OAKLEY（公私钥对） |
| 三种身份认证 | 密码、智能卡、生物特征 |
| 三类应用 | 远程访问、内部网络互联、与合作伙伴安全通信 |
| 两种主流方案 | IPSec（厂商提供，基于用户设备）、MPLS（运营商提供，基于网络） |
| SOHO 型方案组成 | 安全网关 + VPN 客户端 + 安全管理中心 |
| SOHO 网关用户数 | 30 个以下 |
| 四类发展趋势 | 技术集成、业务互补、产品集成、SSL VPN（第四层） |