转发到头条

VPN即虚拟专用网，用于在公用网络上构建私人专用虚拟网络，并在此虚拟网络中传输私网流量。VPN把现有的物理网络分解成逻辑上隔离的网络，在不改变网络现状的情况下实现安全、可靠的连接。

VPN具有以下两个基本特征：

VPN常见技术VPN的产生背景

在VPN（Virtual Private Network）出现之前，跨越Internet的数据传输只能依靠现有物理网络，具有很大的不安全因素。

如下图所示，某企业的总部和分支机构位于不同区域（比如位于不同的国家或城市），当分支机构员工需访问总部服务器的时候，数据传输要经过Internet。由于Internet中存在多种不安全因素，则当分支机构的员工向总部服务器发送访问请求时，报文容易被网络中的黑客窃取或篡改。最终造成数据泄密、重要数据被破坏等后果。

图1 VPN出现前的报文传输

为了防止信息泄露，可以在总部和分支机构之间搭建一条物理专网连接，但其费用会非常昂贵，此时可以考虑采用VPN的方案进行解决。

VPN封装原理

VPN的基本原理是利用隧道（Tunnel）技术，对传输报文进行封装，利用VPN骨干网建立专用数据传输通道，实现报文的安全传输。

隧道技术使用一种协议封装另外一种协议报文（通常是IP报文），而封装后的报文也可以再次被其他封装协议所封装。

在上图中展示的网络中，如果存在VPN隧道，则数据传输如下图所示。当分支机构员工访问总部服务器时，报文封装过程如下：

图2 经过VPN封装后的报文传输

报文发送到网关1时，网关1识别出该用户为VPN用户后，发起与总部网关即网关2的隧道连接，从而网关1和网关2之间建立VPN隧道。网关1将数据封装在VPN隧道中，发送给网关2。网关2收到报文后进行解封装，并将原始数据发送给最终接收者，即服务器。反向的处理也一样。VPN网关在封装时可以对报文进行加密处理，使Internet上的非法用户无法读取报文内容，因而通信是安全可靠的。VPN的优势

VPN和传统的数据专网相比具有如下优势：

VPN的应用场景及选择

VPN适用于以下基本场景，以及从以下场景中衍生的复杂场景。通过对比各种VPN的特点，可选择适合的VPN类型。

site-to-site VPN

site-to-site VPN即两个局域网之间通过VPN隧道建立连接。

如下图所示，企业的分支和总部分别通过网关1和网关2连接到Internet。出于业务需要，企业分支和总部间经常相互发送内部机密数据。为了保护这些数据在Interner中安全传输，在网关1和网关2之间建立VPN隧道。

图3 site-to-site VPN组网图

这种场景的特点为：两端网络均通过固定的网关连接到Internet，组网相对固定。且访问是双向的，即分支和总部都有可能向对端发起访问。适用于比如连锁超市、政府机关、银行等的业务通信。

此场景可以使用以下几种VPN实现：IPSec、L2TP、L2TP over IPSec、GRE over IPSec、IPSec over GRE。

client-to-site VPN

client-to-site VPN即客户端与企业内网之间通过VPN隧道建立连接。

如下图所示，外出差员工（客户端）跨越Internet访问企业总部内网，完成向总部传送数据、访问内部服务器等需求。为确保数据安全传输，可在客户端和企业网关之间建立VPN隧道。

图4 client-to-site VPN组网图