全面认识VPN
2014-12-26 16:07:58 
阿炯
在国外，VPN已经迅速发展起来，2001年全球VPN市场将达到120亿美元。在中国，虽然人们对VPN的定义还有些模糊不清，对VPN的安全性、服务质量(QoS)等方面存有疑虑，但互联网和电子商务的快速发展使我们有理由相信，中国的VPN市场将逐渐热起来。对国内的用户来说，VPN(虚拟专用网，Virtual Private Network)最大的吸引力在哪里？是价格。据估算，如果企业放弃租用专线而采用VPN，其整个网络的成本可节约21%-45%，至于那些以电话拨号方式连网存取数据的公司，采用VPN则可以节约通讯成本50%-80%。为什么VPN可以节约这么多的成本？这就先要从VPN的概念谈起。
认识VPN
现在有很多连接都被称作VPN，用户经常分不清楚，那么一般所说的VPN到底是什么呢？顾名思义，虚拟专用网不是真的专用网络，但却能够实现专用网络的功能。虚拟专用网指的是依靠ISP(Internet服务提供商)和其它NSP(网络服务提供商)，在公用网络中建立专用的数据通信网络的技术。在虚拟专用网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。IETF草案理解基于IP的VPN为："使用IP机制仿真出一个私有的广域网"是通过私有的隧道技术在公共数据网络上仿真一条点到点的专线技术。所谓虚拟，是指用户不再需要拥有实际的长途数据线路，而是使用Internet公众数据网络的长途数据线路。所谓专用网络，是指用户可以为自己制定一个最符合自己需求的网络。
用户现在在电信部门租用的帧中继(Frame Relay)与ATM等数据网络提供固定虚拟线路(PVC-Permanent Virtual Circuit)来连接需要通讯的单位，所有的权限掌握在别人的手中。如果用户需要一些别的服务，需要填写许多的单据，再等上相当一段时间，才能享受到新的服务。更为重要的是两端的终端设备不但价格昂贵，而且管理也需要一定的专业技术人员，无疑增加了成本，而且帧中继、ATM数据网络也不会像Internet那样，可立即与世界上任何一个使用Internet网络的单位连接。而在Internet上，VPN使用者可以控制自己与其他使用者的联系，同时支持拨号的用户。
所以我们说的虚拟专用网一般指的是建筑在Internet上能够自我管理的专用网络，而不是Frame Relay或ATM等提供虚拟固定线路(PVC)服务的网络。以IP为主要通讯协议的VPN，也可称之为IP-VPN。由于VPN是在Internet上临时建立的安全专用虚拟网络，用户就节省了租用专线的费用，在运行的资金支出上，除了购买VPN设备，企业所付出的仅仅是向企业所在地的ISP支付一定的上网费用，也节省了长途电话费。这就是VPN价格低廉的原因。
越来越多的用户认识到，随着Internet和电子商务的蓬勃发展，经济全球化的最佳途径是发展基于Internet的商务应用。随着商务活动的日益频繁，各企业开始允许其生意伙伴、供应商也能够访问本企业的局域网，从而大大简化信息交流的途径，增加信息交换速度。这些合作和联系是动态的，并依靠网络来维持和加强，于是各企业发现，这样的信息交流不但带来了网络的复杂性，还带来了管理和安全性的问题，因为Internet是一个全球性和开放性的、基于TCP/IP 技术的、不可管理的国际互联网络，因此基于Internet的商务活动就面临非善意的信息威胁和安全隐患。
还有一类用户，随着自身的的发展壮大与跨国化，企业的分支机构不仅越来越多，而且相互间的网络基础设施互不兼容也更为普遍。因此，用户的信息技术部门在连接分支机构方面也感到日益棘手。用户的需求正是虚拟专用网技术诞生的直接原因。
用户需要的VPN
一、VPN的特点
在实际应用中，用户需要的是什么样的VPN呢？一般情况下，一个高效、成功的VPN应具备以下几个特点：
1．安全保障
虽然实现VPN的技术和方式很多，但所有的VPN均应保证通过公用网络平台传输数据的专用性和安全性。在非面向连接的公用IP网络上建立一个逻辑的、点对点的连接，称之为建立一个隧道，可以利用加密技术对经过隧道传输的数据进行加密，以保证数据仅被指定的发送者和接收者了解，从而保证了数据的私有性和安全性。在安全性方面，由于VPN直接构建在公用网上，实现简单、方便、灵活，但同时其安全问题也更为突出。企业必须确保其VPN上传送的数据不被攻击者窥视和篡改，并且要防止非法用户对网络资源或私有信息的访问。ExtranetVPN将企业网扩展到合作伙伴和客户，对安全性提出了更高的要求。
2．服务质量保证(QoS)
VPN网应当为企业数据提供不同等级的服务质量保证。不同的用户和业务对服务质量保证的要求差别较大。如移动办公用户，提供广泛的连接和覆盖性是保证VPN服务的一个主要因素；而对于拥有众多分支机构的专线VPN网络，交互式的内部企业网应用则要求网络能提供良好的稳定性；对于其它应用(如视频等)则对网络提出了更明确的要求，如网络时延及误码率等。所有以上网络应用均要求网络根据需要提供不同等级的服务质量。在网络优化方面，构建VPN的另一重要需求是充分有效地利用有限的广域网资源，为重要数据提供可靠的带宽。广域网流量的不确定性使其带宽的利用率很低，在流量高峰时引起网络阻塞，产生网络瓶颈，使实时性要求高的数据得不到及时发送；而在流量低谷时又造成大量的网络带宽空闲。QoS通过流量预测与流量控制策略，可以按照优先级分配带宽资源，实现带宽管理，使得各类数据能够被合理地先后发送，并预防阻塞的发生。
3．可扩充性和灵活性
VPN必须能够支持通过Intranet和Extranet的任何类型的数据流，方便增加新的节点，支持多种类型的传输媒介，可以满足同时传输语音、图像和数据等新应用对高质量传输以及带宽增加的需求。
4．可管理性
从用户角度和运营商角度应可方便地进行管理、维护。在VPN管理方面，VPN要求企业将其网络管理功能从局域网无缝地延伸到公用网，甚至是客户和合作伙伴。虽然可以将一些次要的网络管理任务交给服务提供商去完成，企业自己仍需要完成许多网络管理任务。所以，一个完善的VPN管理系统是必不可少的。VPN管理的目标为：减小网络风险、具有高扩展性、经济性、高可靠性等优点。事实上，VPN管理主要包括安全管理、设备管理、配置管理、访问控制列表管理、QoS管理等内容。
二、自建还是外包
由于VPN低廉的使用成本和良好的安全性，许多大型企业及其分布在各地的办事处或分支机构成了VPN顺理成章的用户群。对于那些最需要VPN业务的中小企业来说，一样有适合的VPN策略。当然，不论何种VPN策略，它们都有一个基本目标：在提供与现有专用网络基础设施相当或更高的可管理性、可扩展性以及简单性的基础之上，进一步扩展公司的网络连接。
1．大型企业自建VPN
大型企业用户由于有雄厚的资金投入做保证，可以自己建立VPN，将VPN设备安装在其总部和分支机构中，将各个机构低成本且安全地连接在一起。企业建立自己的VPN，最大的优势在于高控制性，尤其是基于安全基础之上的控制。一个内部VPN能使企业对所有的安全认证、网络系统以及网络访问情况进行控制，建立端到端的安全结构，集成和协调现有的内部安全技术。
企业还可以确保得到业内最好的技术以满足自身的特殊需要，这要优于ISP所提供的普通服务。而且，建立内部VPN能使企业有效节省VPN的运作费用。企业可以节省用于外包管理设备的额外费用，并且能将现有的远程访问和端到端的网络集成起来，以获取最佳性价比的VPN。
虽然VPN外包能避免技术过时，但并不意味着企业可以节省开支。因为，企业最终还要为高额产品支付费用，以作为使用新技术的代价。虽然VPN外包可以简化企业网络部署，但这同样降低了企业对公司网的控制等级。网络越大，企业就越依赖于外包VPN供应商。因此，自建VPN是大型企业的最好选择。
2．中小型企业外包VPN
虽然每个中小型企业都是相对集中和固定的，但是部门与部门之间、企业与其业务相关企业之间的联系依然需要廉价而安全的信息沟通，在这种情况下就用得上VPN。电信企业、IDC目前提供的VPN服务，更多的是面向中小企业，因为可以整合现有资源，包括网络优势、托管和技术力量来为中小企业提供整体的服务。中小型企业如果自己购买VPN设备，则财务成本较高，而且一般中小型企业的IT人员短缺、技能水平不足、资金能力有限，不足以支持VPN，所以外包VPN是较好的选择。
* 外包VPN比企业自己动手建立VPN要快得多，也更为容易。
* 外包VPN的可扩展性很强，易于企业管理。有统计表明，使用外包VPN方式的企业，可以支持多于2300名用户，而内部VPN平均只能支持大约150名用户。而且随着用户数目的增长，对用于监控、管理、提供IT资源和人力资源的要求也将呈指数增长。
* 企业VPN必须将安全和性能结合在一起，然而，实际情况中两者不能兼顾。例如，对安全加密级别的配置经常降低VPN的整体性能。而通过提供VPN外包业务的专业ISP的统一管理，可大大提高VPN的性能和安全。ISP的VPN专家还可帮助企业进行VPN决策。
* 对服务水平协议(SLA)的改进和服务质量(QoS)保证，为企业外包VPN方式提供了进一步的保证。
三、VPN安全技术
由于传输的是私有信息，VPN用户对数据的安全性都比较关心。
目前VPN主要采用四项技术来保证安全，这四项技术分别是隧道技术(Tunneling)、加解密技术(Encryption & Decryption)、密钥管理技术(Key Management)、使用者与设备身份认证技术(Authentication)。
1.隧道技术是VPN的基本技术，类似于点对点连接技术，它在公用网建立一条数据通道(隧道)，让数据包通过这条隧道传输。隧道是由隧道协议形成的，分为第二、三层隧道协议。第二层隧道协议是先把各种网络协议封装到PPP中，再把整个数据包装入隧道协议中。这种双层封装方法形成的数据包靠第二层协议进行传输。第二层隧道协议有L2F、PPTP、L2TP等。L2TP协议是目前IETF的标准，由IETF融合PPTP与L2F而形成。
第三层隧道协议是把各种网络协议直接装入隧道协议中，形成的数据包依靠第三层协议进行传输。第三层隧道协议有VTP、IPSec等。IPSec(IP Security)是由一组RFC文档组成，定义了一个系统来提供安全协议选择、安全算法，确定服务所使用密钥等服务，从而在IP层提供安全保障。
2.加解密技术是数据通信中一项较成熟的技术，VPN可直接利用现有技术。
3.密钥管理技术的主要任务是如何在公用数据网上安全地传递密钥而不被窃取。现行密钥管理技术又分为SKIP与ISAKMP/OAKLEY两种。SKIP主要是利用Diffie-Hellman的演算法则，在网络上传输密钥；在ISAKMP中，双方都有两把密钥，分别用于公用、私用。
4.身份认证技术最常用的是使用者名称与密码或卡片式认证等方式。
四、堵住安全漏洞
安全问题是VPN的核心问题。目前，VPN的安全保证主要是通过防火墙技术、路由器配以隧道技术、加密协议和安全密钥来实现的，可以保证企业员工安全地访问公司网络。
但是，如果一个企业的VPN需要扩展到远程访问时，就要注意，这些对公司网直接或始终在线的连接将会是黑客攻击的主要目标。因为，远程工作员工通过防火墙之外的个人计算机可以接触到公司预算、战略计划以及工程项目等核心内容，这就构成了公司安全防御系统中的弱点。虽然，员工可以双倍地提高工作效率，并减少在交通上所花费的时间，但同时也为黑客、竞争对手以及商业间谍提供了无数进入公司网络核心的机会。
但是，企业并没有对远距离工作的安全性予以足够的重视。大多数公司认为，公司网络处于一道网络防火墙之后是安全的，员工可以拨号进入系统，而防火墙会将一切非法请求拒之其外；还有一些网络管理员认为，为网络建立防火墙并为员工提供VPN，使他们可以通过一个加密的隧道拨号进入公司网络就是安全的。这些看法都是不对的。
在家办公是不错，但从安全的观点来看，它是一种极大的威胁，因为，公司使用的大多数安全软件并没有为家用计算机提供保护。一些员工所做的仅仅是进入一台家用计算机，跟随它通过一条授权的连接进入公司网络系统。虽然，公司的防火墙可以将侵入者隔离在外，并保证主要办公室和家庭办公室之间VPN的信息安全。但问题在于，侵入者可以通过一个被信任的用户进入网络。因此，加密的隧道是安全的，连接也是正确的，但这并不意味着家庭计算机是安全的。
黑客为了侵入员工的家用计算机，需要探测IP地址。有统计表明，使用拨号连接的IP地址几乎每天都受到黑客的扫描。因此，如果在家办公人员具有一条诸如DSL的不间断连接链路(通常这种连接具有一个固定的IP地址)，会使黑客的入侵更为容易。因为，拨号连接在每次接入时都被分配不同的IP地址，虽然它也能被侵入，但相对要困难一些。一旦黑客侵入了家庭计算机，他便能够远程运行员工的VPN客户端软件。因此，必须有相应的解决方案堵住远程访问VPN的安全漏洞，使员工与网络的连接既能充分体现VPN的优点，又不会成为安全的威胁。在个人计算机上安装个人防火墙是极为有效的解决方法，它可以使非法侵入者不能进入公司网络。当然，还有一些提供给远程工作人员的实际解决方法：
* 所有远程工作人员必须被批准使用VPN；
* 所有远程工作人员需要有个人防火墙，它不仅防止计算机被侵入，还能记录连接被扫描了多少次；
* 所有的远程工作人员应具有入侵检测系统，提供对黑客攻击信息的记录；
* 监控安装在远端系统中的软件，并将其限制只能在工作中使用；
* IT人员需要对这些系统进行与办公室系统同样的定期性预定检查；
* 外出工作人员应对敏感文件进行加密；
* 安装要求输入密码的访问控制程序，如果输入密码错误，则通过Modem向系统管理员发出警报；
* 当选择DSL供应商时，应选择能够提供安全防护功能的供应商。
VPN有以下几种实现方式
1．自行管理。企业拥有和全面管理基于Internet的VPN。这种方法为企业提供了灵活性，使其能够控制VPN的部署和管理。但是，存在着组网范围窄、扩充能力弱、基础设施必须支持全球电子商务以及需要企业一周七天、全天24小时的管理服务等问题，这些问题通常使企业不愿意投资采用。
2．全面外包。这是一种可以由一系列合作伙伴实现的管理服务，包括Internet服务供应商(ISP)和安全集成合作伙伴。通过这种方式，公司可以迅速部署、简便实现全球扩充，没有日常的网络管理问题。
3．混合或共享管理方法。合作伙伴负责基础设施部署和管理的主要部分，而企业则对策略定义和安全管理的关键方面保持控制能力。
选用VPN方案时应注意的问题
选用VPN方案时要注意基于用户端的VPN服务和基于网络的VPN服务之间的差别。前者包括CPE，实现真正的端到端安全和性能管理。后者则主要是使用服务供应商业务点(POP)中的设备开通，在最后一公里上不能提供同样的保障。
基于用户端的解决方案应注意以下几个关键问题：
1．集中化策略管理。这是构建大规模VPN解决方案的关键。通过全面分布VPN配置和安全策略实现集中控制，策略管理简化了VPN开通和管理工作。供应商网络成为一个一体化系统，而不是不同产品拼凑在一起的集合，它能够为网络上任何地方的任何灵活服务集中提供支持。
2．强大的安全和认证。VPN解决方案与防火墙一样关键。服务平台应能够紧密地与其他企业防火墙和入侵检测系统实现同步管理。平台中应包括一个紧密集成的经过ICSA认证的防火墙。为了实现用户认证功能，平台应支持SecurID令牌或X.509数字证书。应避免采用通用操作系统作为VPN设备的基础，因为这些操作系统可能充满了安全漏洞。
3．全面集成。由于VPN是保证商业合作伙伴和企业客户安全通信的网络，因此产品线中必须全面集成和管理一套互补的技术和设备。VPN可以使用专用VPN路由器构建，也可以把VPN网关附加连接在现有的路由器上。下一代VPN路由器将是专用的，提供紧密集成的IP路由、安全、防火墙和带宽管理功能。
VPN网关通常是一种低成本设备，它将在过去安装的IP网络之上，叠加提供隧道加密和防火墙服务等功能。
4．符合标准。安全VPN采用的标准是网际安全协议(IPSec)，这是一项Internet工程任务小组(IETF)标准，并不是所有供应商都部署了带有128位IPSec加密技术的管理型VPN服务。
5．多个认证中心(CA)支持。企业不应局限于专有的认证中心(CA)或认证注册协议，通过支持多个CA，如Entrust和VeriSign，网络管理员可以选择最优秀的公共密钥基础设施(PKI)技术。
6．硬件加速加密。执行加密和解密要求密集型处理能力，特别是在执行自动密钥交换时。对T-3之类的高速应用，服务平台应具有硬件加速加密功能。低速应用可以运行基于软件的加密功能。
7．扩充能力。大多数企业面临着不断变化的网络需求，包括更快速的连接和越来越多的连接位置。实现VPN解决方案后，不必更换所有硬件和软件。VPN体系结构至少应支持数十台VPN网关和数千个VPN客户端。
下表显示了拨号和 PPTP 与 IPSec 上的 L2TP VPN 连接加密类型的比较：
了解VPN数据包结构
PPTP 数据包结构
下图显示了通过隧道时 PPTP 数据包的结构。首先，通过将加密的 PPP 数据与 PPP 标头封装在一起来创建 PPP 帧。然后，将 PPP 帧与 GRE 标头封装在一起。再后，将生成的有效负载与 IP 标头封装在一起，IP 标头中包含源 IP 地址和目标 IP 地址的信息。最后，该 IP 数据文报与数据链路层标头和尾端封装在一起。视所使用技术的不同，数据链路层标头和尾端也有所不同。例如，当通过以太网发送 IP 数据文报时，它与以太网标头和尾端一起封装，当通过模拟电话线路发送时，它与 PPP 标头和尾端一起封装，等等。当数据包到达目的地时，各标头以相反的顺序剥离。首先，数据链路层标头和尾端被除去，然后 IP、GRE 和 PPP 标头被依次剥离。最后，PPP 数据被解密。
PPTP 数据包结构
L2TP 数据包结构
L2TP 的数据包结构与 PPTP 有些类似，也有一些标头添加到 PPP 数据中。图 6 显示了 L2TP 数据包的结构。请注意，UDP 标头和 IPSec 尾端间的所有数据均被加密。
L2TP 数据包结构
寻求适合的VPN方案
VPN有三种解决方案，用户可以根据自己的情况进行选择。这三种解决方案分别是：远程访问虚拟网(AccessVPN)、企业内部虚拟网(IntranetVPN)和企业扩展虚拟网(ExtranetVPN)，这三种类型的VPN分别与传统的远程访问网络、企业内部的Intranet以及企业网和相关合作伙伴的企业网所构成的Extranet相对应。
1．如果企业的内部人员移动或有远程办公需要，或者商家要提供B2C的安全访问服务，就可以考虑使用AccessVPN。
AccessVPN通过一个拥有与专用网络相同策略的共享基础设施，提供对企业内部网或外部网的远程访问。AccessVPN能使用户随时、随地以其所需的方式访问企业资源。AccessVPN包括模拟、拨号、ISDN、数字用户线路(xDSL)、移动IP和电缆技术，能够安全地连接移动用户、远程工作者或分支机构。如图1所示。
图1 AceessVPN结构图
AccessVPN最适用于公司内部经常有流动人员远程办公的情况。出差员工利用当地ISP提供的VPN服务，就可以和公司的VPN网关建立私有的隧道连接。RADIUS服务器可对员工进行验证和授权，保证连接的安全，同时负担的电话费用大大降低。
AccessVPN对用户的吸引力在于：
* 减少用于相关的调制解调器和终端服务设备的资金及费用，简化网络；
* 实现本地拨号接入的功能来取代远距离接入或800电话接入，这样能显著降低远距离通信的费用；
* 极大的可扩展性，简便地对加入网络的新用户进行调度；
* 远端验证拨入用户服务(RADIUS)基于标准，基于策略功能的安全服务；
* 将工作重心从管理和保留运作拨号网络的工作人员转到公司的核心业务上来。
2．如果要进行企业内部各分支机构的互联，使用IntranetVPN是很好的方式。
越来越多的企业需要在全国乃至世界范围内建立各种办事机构、分公司、研究所等，各个分公司之间传统的网络连接方式一般是租用专线。显然，在分公司增多、业务开展越来越广泛时，网络结构趋于复杂，费用昂贵。利用VPN特性可以在Internet上组建世界范围内的IntranetVPN。利用Internet的线路保证网络的互联性，而利用隧道、加密等VPN特性可以保证信息在整个IntranetVPN上安全传输。IntranetVPN通过一个使用专用连接的共享基础设施，连接企业总部、远程办事处和分支机构。企业拥有与专用网络的相同政策，包括安全、服务质量(QoS)、可管理性和可靠性。如图2所示。
图2 IntranetVPN结构图
IntranetVPN对用户的吸引力在于：
* 减少WAN带宽的费用；
* 能使用灵活的拓扑结构，包括全网络连接；
* 新的站点能更快、更容易地被连接；
* 通过设备供应商WAN的连接冗余，可以延长网络的可用时间。
3．如果是提供B2B之间的安全访问服务，则可以考虑ExtranetVPN。
随着信息时代的到来，各个企业越来越重视各种信息的处理。希望可以提供给客户最快捷方便的信息服务，通过各种方式了解客户的需要，同时各个企业之间的合作关系也越来越多，信息交换日益频繁。Internet为这样的一种发展趋势提供了良好的基础，而如何利用Internet进行有效的信息管理，是企业发展中不可避免的一个关键问题。利用VPN技术可以组建安全的Extranet，既可以向客户、合作伙伴提供有效的信息服务，又可以保证自身的内部网络的安全。
ExtranetVPN通过一个使用专用连接的共享基础设施，将客户、供应商、合作伙伴或兴趣群体连接到企业内部网。企业拥有与专用网络的相同政策，包括安全、服务质量(QoS)、可管理性和可靠性。如图3所示。
图3 ExtranetVPN结构图
ExtranetVPN对用户的吸引力在于：能容易地对外部网进行部署和管理，外部网的连接可以使用与部署内部网和远端访问VPN相同的架构和协议进行部署。主要的不同是接入许可，外部网的用户被许可只有一次机会连接到其合作人的网络。
VPN的益处
Internet服务提供商(ISP)和企业将是VPN的直接受益者。ISP将VPN作为一项增值业务推向企业，并从企业得到回报。因此，VPN的最终目的是服务于企业，为企业带来可观的经济效益，为现代化企业的信息共享提供安全可靠的途径。
1．ISP受益
对于ISP来说，VPN提供了巨大商机。世纪互联的薛滔先生介绍说：世纪互联使用的是基于网通的全国网络，有很好的硬件条件。面对IDC在2001年更加激烈的竞争状况，世纪互联希望在IDC基础之上找到新的增长点。因为网站缩水，所以世纪互联将目光转向大中型传统企业，分析他们对电信资源有哪些需求，结果觉得VPN是一个机会。世纪互联现在正在探索，VPN的方案和技术已经准备就绪。世纪互联的目标用户是全国有分支机构，信息化建设已经达到一定水平的单位，世纪互联将整合现有资源，包括网络、托管和技术力量来为用户提供服务。通过向企业提供VPN增值服务，ISP可以与企业建立更加紧密的长期合作关系，同时充分利用现有网络资源，提高业务量。事实上，VPN用户的数据流量较普通用户要大得多，而且时间上也是相互错开的。VPN用户通常是上班时间形成流量的高峰，而普通用户的流量高峰期则在工作时间之外。ISP对外提供两种服务，资源利用率和业务量都会大大增加。同时，VPN使ISP能够经济地维持开发客户群、增加利润、提供增强服务，如视频会议、电子商务、IP电话、远程教学、多媒体商务应用等等。
2．用户受益
哪些用户适于使用VPN呢？在满足基本应用要求后，有三类用户比较适合采用VPN：
1)位置众多，特别是单个用户和远程办公室站点多，例如企业用户、远程教育用户；
2)用户/站点分布范围广，彼此之间的距离远，遍布全球各地，需通过长途电信，甚至国际长途手段联系的用户；
3)带宽和时延要求相对适中；
4)对线路保密性和可用性有一定要求的用户。
北京红帆沃德通信网络技术有限公司王军先生说：红帆的用户大多是北京的用户，这些用户利用VPN与外地或国外分支机构进行连接。用户的VPN线路大部分是建立在Cisco或华为路由器之间，利用Internet传送数据。不管用户使用哪个ISP，基本都能满足用户的需求，数据加密效果很好。在与用户接触的过程中，王先生感觉，分公司遍布全国或国外的企业对VPN需求比较强烈，希望数据在Internet上能够加密传输，并节省费用。还有一点，就是外资、合资公司使用VPN比较多，而国有企业计算机应用水平低，几乎不用VPN。相对而言，有四种情况可能并不适于采用VPN：
1)非常重视传输数据的安全性；
2)不管价格多少，性能都被放在第一位的情况；
3)采用不常见的协议，不能在IP隧道中传送应用的情况；
4)大多数通信是实时通信的应用，如语音和视频。但这种情况可以使用公共交换电话网(PSTN)解决方案与VPN配合使用。
对于企业来说，VPN提供了安全、可靠的 Internet访问通道，为企业进一步发展提供了可靠的技术保障。而且VPN能提供专用线路类型服务，是方便快捷的企业私有网络。企业甚至可以不必建立自己的广域网维护系统，而将这一繁重的任务交由专业的ISP来完成。由于VPN的出现，用户可以从以下几方面获益：
1)实现网络安全 具有高度的安全性，对于现在的网络是极其重要的。新的服务如在线银行、在线交易都需要绝对的安全，而VPN以多种方式增强了网络的智能和安全性。首先，它在隧道的起点，在现有的企业认证服务器上，提供对分布用户的认证。另外，VPN支持安全和加密协议，如SecureIP(IPsec)和Microsoft点对点加密(MPPE)。
2)简化网络设计 网络管理者可以使用VPN替代租用线路来实现分支机构的连接。这样就可以将对远程链路进行安装、配置和管理的任务减少到最小，仅此一点就可以极大地简化企业广域网的设计。另外，VPN通过拨号访问来自于ISP或NSP的外部服务，减少了调制解调器池，简化了所需的接口，同时简化了与远程用户认证、授权和记账相关的设备和处理。
3)降低成本 VPN可以立即且显著地降低成本。当使用Internet时，实际上只需付短途电话费，却收到了长途通信的效果。因此，借助ISP来建立VPN，就可以节省大量的通信费用。此外，VPN还使企业不必投入大量的人力和物力去安装和维护WAN设备和远程访问设备，这些工作都可以交给ISP。VPN使用户可以降低如下的成本：
移动用户通信成本。VPN可以通过减少长途费或800费用来节省移动用户的花费。
租用线路成本。VPN可以以每条连接的40%到60%的成本对租用线路进行控制和管理。对于国际用户来说，这种节约是极为显著的。对于话音数据，节约金额会进一步增加。
主要设备成本。VPN通过支持拨号访问外部资源,使企业可以减少不断增长的调制解调器费用。另外，它还允许一个单一的WAN接口服务多种目的，从分支网络互连、商业伙伴的外连网终端、本地提供高带宽的线路连接到拨号访问服务提供者，因此，只需要极少的WAN接口和设备。由于VPN可以完全管理，并且能够从中央网站进行基于策略的控制，因此可以大幅度地减少在安装配置远端网络接口所需设备上的开销。另外，由于VPN独立于初始协议，这就使得远端的接入用户可以继续使用传统设备，保护了用户在现有硬件和软件系统上的投资。
4)容易扩展 如果企业想扩大VPN的容量和覆盖范围。企业需做的事情很少，而且能及时实现：企业只需与新的IPS签约，建立账户；或者与原有的ISP重签合约，扩大服务范围。在远程办公室增加VPN能力也很简单：几条命令就可以使Extranet路由器拥有Internet和VPN能力，路由器还能对工作站自动进行配置。
5)可随意与合作伙伴联网 在过去，企业如果想与合作伙伴连网，双方的信息技术部门就必须协商如何在双方之间建立租用线路或帧中继线路。有了VPN之后，这种协商也毫无必要，真正达到了要连就连，要断就断。
6)完全控制主动权 借助VPN，企业可以利用ISP的设施和服务，同时又完全掌握着自己网络的控制权。比方说，企业可以把拨号访问交给ISP去做，由自己负责用户的查验、访问权、网络地址、安全性和网络变化管理等重要工作。
7)支持新兴应用 许多专用网对许多新兴应用准备不足，如那些要求高带宽的多媒体和协作交互式应用。VPN则可以支持各种高级的应用，如IP语音，IP传真，还有各种协议，如RSIP、IPv6、MPLS、SNMPv3等。
正由于VPN能给用户带来诸多的好处，VPN在全球发展得异常红火，在北美和欧洲，VPN已经是一项相当普遍的业务；在亚太地区，该项服务也迅速开展起来。
VPN发展趋势
在国外，Internet已成为全社会的信息基础设施，企业端应用也大都基于IP，在Internet上构筑应用系统已成为必然趋势，因此基于IP的VPN业务获得了极大的增长空间。Infornetics Research公司预言，在2001年，全球VPN市场将达到120亿美元。据预测，到2004年，北美的VPN业务收入将增至88亿美元。
在中国，制约VPN的发展、普及的因素大致可分为客观因素和主观因素两方面。
1.客观因素包括因特网带宽和服务质量QoS问题。
在过去无论因特网的远程接入还是专线接入，以及骨干传输的带宽都很小，QoS更是无法保障，造成企业用户宁愿花费大量的金钱去投资自己的专线网络或是宁愿花费巨额的长途话费来提供远程接入。现在随着ADSL、DWDM、MPLS等新技术的大规模应用和推广，上述问题将得到根本改善和解决。譬如，过去专线接入速率最高才2Mbps，而从今年开始，中国的企业用户可以享受到10Mbps，乃至100Mbps的Internet专线接入，而骨干网现在最高已达到40Gbps，并且今后几年内将发展到上百乃至上千个Gbps，这已不是技术问题而是时间问题。随着互联网技术的发展，可以说VPN在未来几年内将会得到迅猛发展。
2.主观因素之一是用户总害怕自己内部的数据在Internet上传输不安全。
其实前面介绍的VPN技术已经能够提供足够安全的保障，可以使用户数据不被查看、修改。主观因素之二，也是VPN应用最大的障碍，是客户自身的应用跟不上，只有企业将自己的业务完全和网络联系上，VPN才会有了真正的用武之地。
可以想象，当我们消除了所有这些障碍因素后，VPN将会成为我们网络生活的主要组成部分。在不远的将来，VPN技术将成为广域网建设的最佳解决方案，它不仅会大大节省广域网的建设和运行维护费用，而且增强了网络的可靠性和安全性。同时，VPN会加快企业网的建设步伐，使得集团公司不仅仅只是建设内部局域网，而且能够很快地把全国各地分公司的局域网连起来，从而真正发挥整个网络的作用。VPN对推动整个电子商务、电子贸易将起到不可低估的作用。
VPN解决方案
1.Cisco的VPN解决方案
Cisco公司与路由器集成的VPN解决方案是一种较为常见的基于硬件的构建策略。各种用户，从电信运营商、小型分支机构到家庭和小型办公环境，都可以找到适合自己需求的解决方案。其中7100系列VPN路由器是一款集成了高性能路由和VPN服务功能的产品，其硬件配置特别针对VPN应用及拓扑结构作了全面优化，内置有适应不同连接要求的多种网络端口，并具有VPN隧道交换、数据加密、安全服务、防火墙、带宽管理等多种功能和服务。利用7100系列VPN路由器，用户能够将VPN服务扩展至远程访问、远程办公、Extranet连接及公共数据服务网络。借助7100的VPN解决方案的周边安全机制、侵入检测及先进的带宽管理和服务身份确认等功能，还有先进的带宽管理性能，可以保证用户的实时交易数据等高优先级数据流优先通过，满足了电子商务等活动的需要。对于用户要求的安全性能，7100系列VPN路由器则提供了身份验证、完整性检验及实时检测等多种防护措施；对远程访问用户，也可以实行身份验证、授权访问资源及账号等"aaa"(authentication、authorization及accounting)控制。
2.华为的VPN解决方案
华为的VPN解决方案包括AccessVPN、IntranetVPN、ExtranetVPN及结合防火墙的VPN解决方案。各方案中，Quidway系列路由器具有VPN网关功能，是组建VPN的重要设备。因为Quidway系列路由器支持各种VPN技术，包括隧道技术、IPsec、密钥交换技术、防火墙技术、QoS与配置管理等，并可继续发展，支持越来越多的先进技术，所以为用户提供了很好的选择和性价比。
VPN与MPLS
VPN 和 MPLS 是两种相互竞争的技术，可以有效地保持数据存储和安全。但它们究竟是什么以及它们之间有何不同？这里将详细介绍 VPN 和 MPLS 之间的区别，并阐述如何在 VPN 与 MPLS 之间做出正确的决定。
什么是 VPN？
VPN，也称为虚拟专用网络，基本上是物理网络内的虚拟网络。它通常被部署为高安全性的网络隧道，数据以高度加密的形式通过该隧道传输。因此，通过 VPN 传输的任何数据对于它周围的物理网络都是不可见的。VPN 可以通过各种类型的加密来创建，例如 IPsec、SSL 和 TSL。其中，IPsec应用最为广泛。
什么是 MPLS？
MPLS是Multi-Protocol Label Switching的缩写，是一种使用标签代替IP地址来路由数据包的协议，是一种在网络节点之间引导和传输数据的技术，这意味着可以在不同节点之间创建直接的虚拟链接，而不管位置和距离。与 VPN 不同，MPLS 是一种独立于协议和数据的机制，因此无论物理网络拓扑如何，它都可以工作。由于这种灵活性，许多供应商开发了适用于 MPLS 平台的网络交换机。
VPN 与 MPLS有什么区别？
VPN和MPLS不仅在上述方面不同，而且在成本、性能、应用等方面也有所不同。
1、技术类型
VPN：点对点和多点技术
MPLS：多点技术
2、OSI层
VPN：第 7 层
MPLS：第 2 层和第 3 层之间
3、加密
VPN：使用加密
MPLS：不需要加密
4、成本
VPN：低
MPLS：高
5、流量优先
VPN：不可能
MPLS：可能
6、平台支持
VPN：支持路由器(具有相关安全许可证)和防火墙
MPLS：可以终止于任何第 3 层设备，例如路由器、防火墙、第 3 层千兆以太网交换机等。
7、组播支持
VPN：IPsec VPN 不支持，需要在 IPsec 上实施 GRE，这会导致额外的配置和开销
MPLS：支持组播流量
8、目标客户
VPN：适合中小型企业
MPLS：适用于大型企业
9、供应和管理
VPN：客户需要通过 IPsec 支持的盒子执行 VPN 设置的配置和供应
MPLS：服务提供商负责提供和维护 MPLS 连接，从而减轻客户配置设备的负担
10、流量控制和路由策略
VPN：客户可以控制流量路由
MPLS：服务提供商有更多的流量控制和路由
11、位置限制
VPN：基本要求是来自任何提供商的客户站点的 Internet 端接
MPLS：仅限于服务提供商已布局网络或与其他服务提供商合作的位置
12、延迟敏感和关键任务流量
VPN：对于延迟敏感的流量和关键业务应用程序来说不太受欢迎和可靠
MPLS：考虑到 QoS 已实施，更可靠并提供更好的用户体验
13、基于云的服务
VPN：使用基于 VPN 的连接通过 Internet 为客户提供广泛的基于云的服务
MPLS：通过 MPLS 为客户提供的基于云的服务的可用性有限
VPN 与 MPLS该如何选择？
VPN 和 MPLS 各有优缺点，因此在部署 VPN 或 MPLS 网络之前，最好进行成本收益分析以帮助您做出决定。事实上，选择 VPN 还是 MPLS 取决于业务需求，这可以归结为成本、安全性、可用性、QoS、速度等因素。例如，如果公司在网络上运行关键的实时应用程序(如语音、视频或远程桌面)，MPLS 是一个完美的解决方案。而VPN则适合那些想要节省成本并且对QoS、速度等要求不高的场景。