中小企业Intranet及VPN技术的应用研究

中小企业Intranet及VPN技术的应用研究概述VPN技术以其简单管理、费用低廉的优点成为企业构建内部广域网络的首要选择。随着市场对VPN应用发展的需求，集成VPN的防火墙安全网关体现了灵活、高效、完整的安全解决方案优势。结合应用先进的基于ASIC的VPN防火墙，本文介绍典型的企业Intranet网VPN应用方案。一、VPN的主要技术虚拟专用网主要采用了两种技术：隧道技术与安全技术。隧道技术当前主要有三种协议支持：PPTP，L2TP和IPsec。隧道技术主要是完成IP数据包的二次封装，以实现企业私有地址在公网上的传输。为了保证传输的安全，需要一定的安全加密手段，以保证数据的私密性和完整性。安全技术主要有MPPE、IPsec等加密算法。在隧道和加密的技术上，IPsec已成为IP安全的一个应用广泛、开放的VPN安全协议，可确保运行在TCP/IP协议上的VPN之间的互操作性。IPsec定义了一套用于保护私有性和完整性的标准协议，支持一系列加密算法如DES、3DES。它检查传输的数据包的完整性，以确保数据没有被修改，具有数据源认证功能。IPsec适应向Ipv6迁移，它提供所有在网络层上的数据保护，进行透明的安全通信。IPsec用密码技术提供以下安全服务：接入控制，无连接完整性，数据源认证，防重放，加密，防传输流分析。IPsec协议可以设置成在两种模式下运行：一种是隧道（tunnel）模式，一种是传输(transport)模式。在隧道模式下，IPsec把IPv4数据包封装在安全的IP帧中。隧道模式是最安全的，但会带来较大的系统开销。传输模式是为了保护端到端的安全性，即在这种模式下不会隐藏路由信息。二、集成VPN的防火墙安全网关单独的VPN网关的主要功能是IPSec数据包的加密/解密处理和身份认证，但它没有很强的访问控制功能，例如状态包过滤、网络内容过滤、防DoS攻击等。在这种独立的防火墙和VPN布署方式下，防火墙无法对VPN的数据流量进行任何访问控制，由此带来安全性、性能、管理上的一系列问题。因此，在防火墙安全网关上集成VPN是当前安全产品的发展趋势，能提供一个灵活、高效、完整的安全方案。集成VPN的防火墙安全网关的优点是，它可以保证加密的流量在解密后，同样需要经过严格的访问控制策略的检查，保护VPN网关免受DoS攻击和入侵威胁；提供更好的处理性能，简化网络管理的任务，快速适应动态、变化的网络环境。因此，当前VPN技术已经成为安全网关产品的组成部分。典型产品如美国Fortinet公司的FortiGate，作为新一代内容级安全网关，以独特的硬件体系设计和贴近未来应用的设计理念，集成了防火墙、VPN、病毒防御、内容过滤四大安全模块。其VPN功能支持PPTP，L2TP和IPsec三种VPN协议，提供了方便和灵活的选择。对远程移动用户或企业的出差用户来说，既可以使用Windows98/2000等系统自带的PPTP/L2TP拨号软件，也可以使用客户端IPsec软件和企业建立VPN的连接。采用动态的密钥，可保证数据的安全。在企业本地网络和远程网络之间，可以采用IPsec协议来实现VPN的连接和数据的高度安全控制。三、企业Intranet网络VPN应用企业Intranet网络建设的VPN连接方案，利用IPsec安全协议的VPN和加密能力，实现两个或多个企业之间跨越因特网的企业内部网络连接，实现了安全的企业内部的数据通信。通过防火墙内部策略控制体系，对VPN的数据可以进行有效的控制和管理，使企业的内部网络通信具有良好的扩展性和管理性。1191Q35516011H1.jpg图:企业Intranet网VPN解决方案如上图示，原始的数据经过加密封装在另外一个IP通道内，通道头部地址就是防火墙外部端口的IP地址，以实现在公网链路上的传输。利用高强度的、动态变换的密钥来保证数据的安全，168位的3DES算法更提供了业界最高级别的安全防御体系，使企业的内部数据可以无忧地在公网上传输，以达到企业内部网络安全扩展的目的。虚拟专用网络(VPN)及多协议标签交换(MPSL)技术随着应用的不断深入，MPSLVPN技术开始受到国内企业用户、特别是金融用户的重视。例如，银行正在大力开展信贷业务，迫切需要MPSLVPN技术的支持。其实，许多企业都可以利用该技术实现安全的远程通信。目前，实现这一技术的产品已经比较成熟，并形成了完善的解决方案。三种MPLSVPN技术典型应用方式根据用户使用的情况和应用环境的不同特点，VPN技术大致可分为三种典型的应用方式，即：企业内联网VPN、企业外联网VPN和接入VPN业务。（1）内部VPN（IntranetVPN）IntranetVPN应用主要是实现用户内部网络各LAN的安全互联。（2）外部VPN（ExtranetVPN）ExtranetVPN应用主要是将Intranet在范围上向外扩展，将若干个企业的IntranetVPN结合起来构成一个大的虚拟企业内部网络，从而为企业与它的业务伙伴提供灵活、安全的连接。例如企业间发生的收购、兼并或企业的战略联盟，使不同企业通过CNCnet构建虚拟专用网。（3）接入VPN（AccessVPN）可以通过多种接入技术为企业的远程雇员提供与企业的连接。接入方法可以是用56k调制解调器，ISDN和XDSL。主要用于企业员工或企业的小分支机构通过远程拨号的方式构建的虚拟网。通常我们把AccessVPN又称为拨号VPN，即VPDN。提供IP增值服务全球的商业和政府机构都采用了基于IP的企业专网和公共网络来为他们的应用服务。IP技术提供灵活、独特的技术对用户、供应商、分支机构以及商业伙伴进行信息分发、传送。很多企业出于经济及管理方面的考虑，把网络给专门的网络服务商管理，这些网络管理商可以提供可靠的、全方位的服务。通过租用网络服务商的设备及经验技术，使得用户可以把精力集中在自己的主要业务上。网络服务商正在努力去满足用户的需求，建立完备的服务商级的网络。除了基本的网络传输要求，用户希望在与私网用户和外部的商业伙伴进行信息传递时，可扩展服务，同样可以享受到局域网上的保密性。他们占统治地位的基于IP的上层应用，需要网络特殊的支持，包括保密性、服务、端到端的任意连接，商业团体希望网络服务商提供增值的IP服务，包括多服务级别和选择性，并且能够与现有的IP网络无缝地连接，花费也要比用户自己建设及管理要少，这样在短期内虚拟专用网会有很大的潜在市场，从长远来看，IP的增值服务可以包括内容托管、VoIP和多媒体服务等。因此，很多服务商正在准备去提供IP增值服务，并不是只提供简单的传输。目前很多网络服务商的收入来自于帧中继（FR）、ATM和专用线路和租用，都是基于ATM骨干网，在未来对FR和Internet接入的需求会继续增长，服务商怎样才能做到发展现有传输服务的同时来积极准备明日的IP增值服务？一套新的IP服务将会缩小FR和Internet接入之间的间隙，开发一个大的商业市场和提供IP服务上的机会，架起FR与Internet接入的桥梁，这就是Cisco系统公司推出的多协议标记交换服务（MPLS）。它能够提供给服务商去建设易于扩展的、先进的IP端到端的服务，并且对于服务商及用户而言，设置与管理也比较简单。使用MPLS，服务商可基于他们交换和路由式的网络提供商业所需的IP服务。MPLS可以保护现有的投资(FR和多服务ATM)，同时也为将来的可扩展的IP增值服务铺平道路。MPLS的工作原理MPLS是由Cisco标记交换演变而来的IETF的标准协议。标记表示路径和服务的属性，在入口的边缘、流入的数据包被处理做上标记，位于核心的设备仅仅读这些标记，赋于适当的服务，然后根据标记转发这些数据包，对这些数据包的分析、分类和过滤只发生一次，在进入边缘设备时，经过出口的边缘设备时，标记被移去，数据包转发到最终目的地。下面说明数据怎样在具有MPLS功能的服务商网络中传递，见图1。步骤1网络可自动生成路由表，因为Cisco路由器或ATM交换机可参与内部网关协议如OSPF信息交换。标记交换路由器（LDR）使用路由表中的信息去建立相邻设备的标记值，创建标记交换路径（LSP），预先设置了与最终目的地之间的对应关系，不像ATM永久虚电路，需要人工设置VPI/VCI，MPLS的标签是自动分配的。步骤2一个数据包进入边缘LSR时，它会被处理，决定需要哪种第三层的服务，例如QoS和带宽管理。基于路由和策略的需求，边缘LSR有选择地放入一个标签到数据包头中，然后转发。步骤3位于网络核心的LSR读每一个数据包的标记，并根据交换表替换一个新的，然后，这个动作将会在所有中心设备中重复。步骤4在出口边缘的LSR除去标记，读数据包头，将其转发到最终目的地。对于新增加的IP商业服务，MPLS最显著的益处在于能够分配标签，这有非常特殊的意义，不同的标签可以区分路由信息、应用类型和服务级别。MPLS的智能服务MPLS增加了扩展性，在一个大的网络中增加了第三层的智能服务，而很多服务商拥有庞大的ATM网络结构，工作在网络第二层。这似乎会出现矛盾，但实际上没有。服务商在ATM网络中可用MPLS的IP技术提供商业的IP服务。因为所有的路由决定都被预先计算，MPLS加速了IP在大型ATM网络中的转发能力，并在第二层的核心通过CiscoIOS技术提供丰富的三层服务。这种模式有很多好处。ATM和IP技术各自具有优势，ATM与IP的完美结合可以比任一项单独技术更优越。ATM是多服务网络的基础，它可提供保密性、QoS保障来满足用户的服务要求（SLA）。IP是一个传统的面向非连接的技术，网络具有很好的扩展性并且独立于任何介质，网络第三层的服务可应用于端到端。Cisco应用MPLS的IP+ATM解决方案，给ATM网络提供了智能的IP应用服务，这是与ATM/FR的传输服务有区别的。如果在IPoverATM的解决方案中，将IP数据流和ATM数据流作同等处理，就限制了实现端到端IP服务的能力。MPLS使服务提供商通过利用IP和ATM的属性，维持目前的ATM和FR服务。同时，在同一网络上提供商业IP服务，如Internet和ExtranetVPN来增加产值和利润。Cisco的IP+ATM的MPLS解决方案使CiscoIOS的丰富功能与服务提供商的ATM网有效结合起来。由于LSP是由网络的拓扑结构决定的，任何MPLS的实施依赖于路由协议。CiscoIOS的软件可与任何系统兼容，无论使用什么样的技术、接口和介质，MPLS给服务商带来了丰富的第三层网络服务。MPLS只是多服务ATM网络的一项技术，服务商仍旧可以提供现有的FR，语音和多服务的ATM传输服务。通过IP+ATM平台，多种网络服务如IP、FR和ATM可以利用虚拟交换端口技术通过一个单一网络支持。虚拟交换端口(VSI)机制可以明确控制分配给每种服务的网络资源，因此每一个虚拟网络彼此独立。VSI可同时支持MPLS和PNNI以及其他控制平台，因为它允许在同一个IP+ATM交换机上同时运行不同的协议栈。没有MPLS，IP经由ATM的传输就需要一个复杂的协议翻译过程，MPLS省略了把IP地址和路由映射到ATM交换表上的复杂性，MPLS标记交换与ATM交换机交换信元机制相同。因此，一个IP+ATM交换机能够实现在一台交换机上提供最好的ATM和IP的协议和服务。MPLS的优势MPLS可以使QoS应用于庞大的路由和交换的网络中，因为服务商可以指定不同的标签具有特定的含义，如表示服务类别。传统的ATM和FR网络所实施的服务分类是基于点到点的虚电路，但对于IP网络而言扩展性不好。把数据流在边缘设备进行分类，使得服务商能够管理和控制整个网络的服务分类。如果服务提供商是根据服务级别来管理网络，而不是基于点到点的连接，他们可提高有效性并保持功能性。与基于每个电路的管理相比，基于MPLS的CoS有效性更高，复杂性更小。利用MPLS来建立CoS可减少对每条电路的配置。整个网络更易于应用和控制。在MPLS流中有两个地方可以标识服务级别。第一处是IP优先级，可以提供8个服务级别。这个标识被