企业VPN多种技术方案比较研究

摘要 根据企业实际需求，对现有常用的3种技术方案做分析比较，选择适合外服应用的方案，再在方案基础上考虑其它功能集合。

关键词 ；技术方案；比较

中图分类号tp39 文献标识码a 文章编号 1674-6708（2010）33-0224-02

被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。我们根据企业实际需求，对现有常用的3种技术方案做分析比较，选择适合外服应用的方案，再在方案基础上考虑其它功能集合。 1 ipsec 方案

ipsec是一套比较完整成为体系的技术，它规定了一系列的协议标准。它为数据在通过公用网络(如因特网)在网络层进行传输时提供安全保障。ipsec通过包封装包的方法，通过internet建立了一个通讯的隧道，通过这个通讯的隧道，就可以建立起网络的连接。

ipsec协议支持几种操作模式，通信双方要确定所要采用的安全策略和使用模式，这包括如加密运算法则和身份验证方法类型等。在ipsec协议中，一旦ipsec通道建立，所有在网络层之上的协议在通信双方都经过加密，如tcp、udp、snmp、http、pop、aim、kazaa等，而不管这些通道构建时所采用的安全和加密方法如何。

我们设计ipsec方案中，中心和分支机构分别采用ipsec 网关设备，中心为每个节点分配一套密码，各个节点通过密码与中心交换机互相认证，建立ipsec 虚拟通路，这条通路的特性，如带宽、何时可以建立等通过中心统一管理。还可以通过双密钥机制实现更加可靠的认证。 2 ssl 方案

ssl的英文全称是“secure sockets layer，中文名为“安全套接层协议层”，它是网景(netscape)公司提出的基于web应用的安全协议。ssl协议指定了一种在应用程序协议(如http、telenet、nmtp和ftp等)和tcp/ip协议之间提供数据安全性分层的机制，它为tcp/ip连接提供数据加密、服务器认证、消息完整性以及可选的客户机认证。

从简单而一言，ssl一般的实现方式是在企业的防火墙后面放置一个ssl代理网关或接入服务器设备。如果用户希望安全地连接到公司网络上，那么当用户在浏览器上输入一个url后，连接将被ssl代理服务器取得，并验证该用户的身份，然后ssl代理服务器将提供一个远程用户与各种不同的应用服务器之间连接。 几乎所有的主流商业浏览器都集成了ssl，实施ssl不需要再安装额外的软件。绝大多数ssl 的生产厂商都通过“signed plugins”提供其他的功能，“signed plugins”可以跟随浏览器自动传输给客户端。

ssl实现了客户端零安装，零配置。但其功能和应用也受到。

它适合b/s模式，移动用户通过浏览器访问web服务应用，有的ssl 还对其他非b/s等进行有限扩充，增强了其可用性，可是在通用性、兼容性方面还存在很多不确定性，在认证方式、应用程序类型上很多。

按照ssl设计的外服网络方案，中心和各分支节点采用专用ssl vnp设备连接internet，要求设备兼容外服各项专用应用，系统要求较高，没有统一的扩展应用标准，存在是否能支持今后业务发展各项新应用等相关问题。方案中移动用户和家庭用户无需客户端连接ssl服务器，经安全认证后使用各项b/s模式应用，解决较为理想，基本不用考虑计算机维护和相关网络问题，也较安全的隔离了病毒传播和木马程序等问题。 3 mpls 方案

mpls vnp是一种基于mpls技术的ip，是在网络路由和交换设备上应用mpls（multi protocol label switching，多协议标记交换）技术，简化核心路由器的路由选择方式，利用结合传统路由技术的标记交换实现的ip虚拟专用网络（ip）。

mpls技术通过标签的引入，将ip路由网络中“数据报”的转发方式转变为类似于“虚电路”vc的转发方式。vc的方式在数据包转发只前先由ip网络建立一条从源端到目的端的唯一路径，一旦这条路径确定，所有的数据包将通过这条路径传输。在mpls网络中，路径即是由“标签”来表示的。在路由器中，每个目的网络由一个标签表示，所有到此目的网络的数据包被打上此标签转发到目

的地。mpls类似“虚电路”的标签转发方式保证两个vnp节点之间的流量经过唯一路径，不会被转发到其它节点，保证了用户数据包的安全性。

mpls 能够利用电信运营商公用骨干网络强大的传输能力，为企业构建内部intranet，同时能够满足用户对信息传输安全性、实时性、宽频带和方便性的需要。

在基于ip的网络中，mpls具有很多优点，也有明显的缺点： 1）相对降低了成本

mpls 方式支持路由器方式连接，能保护用户的以前专线方式设备投资；其运营租金与专线相比下降很多，降低了一定成本，但国内电信运营商还处于相对垄断阶段，租金还相对偏高。 2）提高了资源利用率，提高了网络速度

由于在网内使用标签交换，用户各个点的局域网可以使用重复的ip地址，提高了ip资源利用率。由于使用标签交换，缩短了每一跳过程中地址搜索的时间，减少了数据在网络传输中的时间，提高了网络速度。

3）系统应用支持能力强

网络对c/s、b/s和其他应用支持较好，保障业务开展和新信息系统今后支持。 4）mpls具有qos保证

网络通过电信运营商骨干城域网络实现，并由运营商提供24小时网管监控服务，保证了网络的服务质量。相对于其优点，mpls的

缺点也是明显的： 1）价格高

相对于使用ipsec、ssl方式通过intranet组网，mpls的代价比较高。相当于一种准专线。 2）跨运营商不便

由于需支持全国网络，可能会跨越不同运营商，运营商之间还有很多协调工作没有完成，中国电信、网通等巨头之间，互联互通并不完美，网络堵塞时有发生。从以上总结可以看出，mpls更适应比较高端的大型用户。 参考文献

[1]白木，周洁.浅谈vpdn与技术[j].有线电视技术，2003(4).

[2]张金权.vpdn企业端解决方案[j].邮电设计技术，2002(7). [3]王龙.技术如何实现[j].信息系统工程，2006(9).