VPN

SaneSoft

   
　　什么是VPN

　　VPN的英文全称是“Virtual Private Network”，翻译过来就是“虚拟专用网络”。顾名思义，虚拟专用网络我们可以把它理解成是虚拟出来的企业内部专线。它可以通过特殊的加密的通讯协议在连接在Internet上的位于不同地方的两个或多个企业内部网之间建立一条专有的通讯线路，就好比是架设了一条专线一样，但是它并不需要真正的去铺设光缆之类的物理线路。这就好比去电信局申请专线，但是不用给铺设线路的费用，也不用购买路由器等硬件设备。VPN技术原是路由器具有的重要技术之一，目前在交换机，防火墙设备或WINDOWS2000等软件里也都支持VPN功能，一句话，VPN的核心就是在利用公共网络建立虚拟私有网。

　　虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。下面我们结合本站有关思科及微软关于VPN方面的文章为大家介绍这方面的资讯，更多更丰富的相关方面内容我们将在以后日子里进行补充。

　　VPN的分类方案

　　针对不同的用户要求，VPN有三种解决方案：远程访问虚拟网（Access VPN）、企业内部虚拟网（Intranet VPN）和企业扩展虚拟网（Extranet VPN），这三种类型的VPN分别与传统的远程访问网络、企业内部的Intranet以及企业网和相关合作伙伴的企业网所构成的Extranet（外部扩展）相对应。

　　VPN需求及可解决方案
　　
　　虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。通过将数据流转移到低成本的压网络上，一个企业的虚拟专用网解决方案将大幅度地减少用户花费在城域网和远程网络连接上的费用。同时，这将简化网络的设计和管理，加速连接新的用户和网站。另外，虚拟专用网还可以保护现有的网络投资。随着用户的商业服务不断发展，企业的虚拟专用网解决方案可以使用户将精力集中到自己的生意上，而不是网络上。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。

　　目前很多单位都面临着这样的挑战：分公司、经销商、合作伙伴、客户和外地出差人员要求随时经过公用网访问公司的资源,这些资源包括:公司的内部资料、办公OA、ERP系统、CRM系统、项目管理系统等。现在很多公司通过使用IPSec VPN来保证公司总部和分支机构以及移动工作人员之间安全连接。

　　对于很多IPSec VPN用户来说，IPSec VPN的解决方案的高成本和复杂的结构是很头疼的。存在如下事实：在部署和使用软硬件客户端的时候，需要大量的评价、部署、培训、升级和支持，对于用户来说，这些无论是在经济上和技术上都是个很大的负担，将远程解决方案和昂贵的内部应用相集成，对任何IT专业人员来说都是严峻的挑战。由于受到以上IPSec VPN的限制，大量的企业都认为IPSec VPN是一个成本高、复杂程度高，甚至是一个无法实施的方案。为了保持竞争力，消除企业内部信息孤岛，很多公司需要在与企业相关的不同的组织和个人之间传递信息，所以很多公司需要找一种实施简便，不需改变现有网络结构，运营成本低的解决方案。

　　---- 从概念上讲，IP-VPN是运营商(即服务提供者)支持企业用户应用的方案。一个通用的方法可以适用于由一个运营商来支持的、涉及其他运营商网络的情况（如运营商的运营商）。

　　---- 图1给出了实现IP-VPN的一个通用方案。其中，CE路由器是用于将一个用户站点接入服务提供者网络的用户边缘路由器。而PE路由器则是与用户CE路由器相连的、服务提供者的边缘路由器。

　　---- 站点是指这样一组网络或子网，它们是用户网络的一部分，并且通过一条或多条PE/CE链路接至VPN。VPN是指一组共享相同路由信息的站点，一个站点可以同时位于不同的几个VPN之中。

　　---- 图2显示了一个服务提供者网络支持多个VPN的情况。如图2所示，一个站点可以同时属于多个VPN。依据一定的策略，属于多个VPN的站点既可以在两个VPN之间提供一定的转发能力，也可以不提供这种能力。当一个站点同时属于多个VPN时，它必须具有一个在所有VPN中唯一的地址空间。

　　---- MPLS为实现IP-VPN提供了一种灵活的、具有可扩展性的技术基础，服务提供者可以根据其内部网络以及用户的特定需求来决定自己的网络如何支持IP-VPN。所以，在MPLS/ATM网络中,有多种支持IP-VPN的方法，本文介绍其中两种方法。

　　方案一

　　---- 本节介绍一种在公共网中使用MPLS提供IP?VPN业务的方法。该方法使用LDP的一般操作方式，即拓扑驱动方式来实现基本的LSP建立过程，同时使用两级LSP隧道(标记堆栈)来支持VPN的内部路由。

　　---- 图3 给出了在MPLS/ATM核心网络中提供IP?VPN业务的一种由LER和LSR构成的网络配置。

　　---- LER (标记边缘路由器)

　　---- LER是MPLS的边缘路由器，它位于MPLS/ATM服务提供者网络的边缘。 对于VPN用户的IP业务量，LER将是VPN隧道的出口与入口节点。如果一个LER同时为多个用户所共享，它还应当具有执行虚拟路由的能力。这就是说，它应当为自己服务的各个VPN分别建立一个转发表，这是因为不同VPN的IP地址空间可能是有所重叠的。

　　---- LSR(标记交换路由器)

　　---- MPLS/ATM核心网络是服务提供者的下层网络，它为用户的IP-VPN业务所共享。

　　---- 建立IP-VPN区域的操作

　　---- 希望提供IP-VPN的网络提供者必须首先对MPLS域进行配置。这里的MPLS域指的就是IP?VPN区域。作为一种普通的LDP操作，基本的LSP 建立过程将使用拓扑驱动方法来进行，这一过程被定义为使用基本标记的、基本的或是单级LSP建立。而对于VPN内部路由，则将使用两级LSP隧道（标记堆栈）。

　　---- VPN成员

　　---- 每一个LER都有一个任务，即发现在VPN区域中为同一 IP?VPN服务的其他所有LER。由于本方案最终目的是要建立第二级MPLS隧道，所以 LER发现对等实体的过程也就是LDP会话初始化的过程。每一个LER沿着能够到达其他 LER的每一条基本网络LSP，向下游发送一个LDP Hello消息。LDP Hello消息中会包含一个基本的MPLS标记，以方便这些消息能够最终到达目的LER。

　　---- LDP Hello消息实际上是一种查询消息，通过这一消息，发送方可以获知在目的LER处是否存在与发送方LSR同属一个VPN的LER（对等实体）。新的Hello消息相邻实体注册完成之后，相关的两个LER之间将开始发起LDP会话。随后，其中一个LER将初始化与对方的TCP连接。当TCP连接建立完成而且必要的初始化消息交互也完成之后，对等LER之间的会话便建立起来了。此后，双方各自为对方到自己的LSP 隧道提供一个标记。如果LSP隧道是嵌套隧道，则该标记将被推入标记栈中，并被置于原有的标记之上。

　　---- VPN成员资格和可到达性信息的传播

　　---- 通过路由信息的交换，LER可以学习与之直接相连的、用户站点的IP地址前缀。LER需要找到对等LER，还需要找到在一个VPN中哪些LER 是为同一个VPN服务的。LER将与其所属的VPN区域中其他的LER建立直接的LDP会话。换言之，只有支持相同VPN的LER之间才能成功地建立LDP会话。

　　---- VPN内的可到达性

　　---- 最早在嵌套隧道中传送的数据流是LER之间的路由信息。当一个LER被配置成一个IP?VPN的一员时，配置信息将包含它在VPN内部要使用的路由协议。在这一过程中，还可能会配置必要的安全保密特性，以便该LER能够成为其他LER的相邻路由器。在VPN内部路由方案中，每一次发现阶段结束之后，每一个LER 都将发布通过它可以到达的、VPN用户的地址前缀。

　　---- IP分组转发

　　---- LER之间的路由信息交互完成之后，各个LER都将建立起一个转发表，该转发表将把VPN用户的特定地址前缀(FEC转发等价类) 与下一跳联系起来。当收到的IP分组的下一跳是一个LER时，转发进程将首先把用于该LER的标记（嵌套隧道标记）推入标记栈，随后把能够到达该LER的基本网络LSP上下一跳的基本标记推入标记分组，接着带有两个标记的分组将被转发到基本网络LSP中的下一个LSR；当该分组到达目的LER时，最外层的标记可能已经发生许多次的改变，而嵌套在内部的标记始终保持不变；当标记栈弹出后，继续使用嵌套标记将分组发送至正确的LER。在LER上，每一个VPN使用的嵌套标记空间必须与该LER所支持的其他所有VPN使用的嵌套标记空间不同。

　　方案二

　　---- 本节将对一种在公共网中使用MPLS和多协议边界网关协议来提供IP-VPN业务的方法进行介绍，其技术细节可以参见RFC 2547。

　　---- 图1 给出了在MPLS/ATM核心网络中提供IP?VPN业务的、由LER和LSR构成的网络配置，图4则给出了使用RFC 2547的网络模型。

　　---- 提供者边缘(PE)路由器

　　---- PE路由器是与用户路由器相连的服务提供者边缘路由器。

　　---- 实际上它就是一个边缘LSR（即MPLS网络与不使用 MPLS的用户或服务提供者之间的接口）。

　　---- 用户边缘 (CE)路由器

　　---- CE路由器是用于将一个用户站点接至PE路由器的用户边缘路由器。在这一方案中，CE路由器不使用MPLS，它只是一台IP路由器。CE不必支持任何VPN的特定路由协议或信令。

　　---- 提供者(P)路由器

　　---- P路由器是指网络中的核心LSR。

　　---- 站点（Site）

　　---- 站点是指这样一组网络或子网：它们是用户网络的一部分，通过一条或多条PE/CE链路接至VPN。VPN是指一组共享相同路由信息的站点。一个站点可以同时位于不同的几个VPN之中。

　　---- 路径区别标志

　　---- 服务提供者将为每一个VPN分配一个唯一的标志符，该标志符称为路径区别标志（RD）,它对应于服务提供者网络中的每一个Intranet或Extranet 都是不同的。PE路由器中的转发表里将包含一系列唯一的地址，这些地址称为VPN?IP 地址，它们是由RD与用户的IP地址连接而成的。VPN?IP地址对于服务提供者网络中的每一个端点都是唯一的，对于VPN中的每一个节点（即VPN中的每一个PE路由器），转发表中都将存储有一个条目。

　　---- 连接模型

　　---- 图4给出了MPLS/BGP VPN的连接模型。

　　---- 从图4中可以看出，P路由器位于MPLS网络的核心。 PE路由器将使用MPLS与核心MPLS网络通信，同时使用IP路由技术来与CE路由器通信。 P与PE路由器将使用IP路由协议（内部网关协议）来建立MPLS核心网络中的路径，并且使用LDP实现路由器之间的标记分发。

　　---- PE路由器使用多协议BGP?4来实现彼此之间的通信，完成标记交换和每一个VPN策略。除非使用了路径映射标志（route reflector），否则PE 之间是BGP全网状连接。特别地，图4中的PE处于同一自治域中，它们之间使用内部BGP （iBGP）协议。

　　---- P路由器不使用BGP协议而且对VPN一无所知，它们使用普通的MPLS协议与进程。

　　---- PE路由器可以通过IP路由协议与CE路由器交换IP路径，也可以使用静态路径。在CE与PE路由器之间使用普通的路由进程。CE路由器不必实现MPLS或对VPN有任何特别了解。

　　---- PE路由器通过iBGP将用户路径分发到其他的PE路由器。为了实现路径分发，BGP使用VPN-IP地址（由RD和IPv4地址构成）。这样，不同的VPN可以使用重叠的IPv4地址空间而不会发生VPN-IP地址重复的情况。

　　---- PE路由器将BGP计算得到的路径映射到它们的路由表中，以便把从CE路由器收到的分组转发到正确的LSP上。

　　---- 这一方案使用两级标记：内部标记用于PE路由器对于各个VPN的识别，外部标记则为MPLS网络中的LSR所用——它们将使用这些标记把分组转发给正确的PE。

　　---- 建立IP-VPN区域的操作

　　---- 希望提供IP-VPN业务的网络提供者必须按照连接需求对网络进行设计与配置，这包括：PE必须为其支持的VPN以及与之相连的CE所属的VPN 进行配置；MPLS网络或者是一个路径映射标志中的PE路由器之间必须进行对等关系的配置；为了与CE进行通信，还必须进行普通的路由协议配置；为了与MPLS核心网络进行通信，还必须进行普通的MPLS配置（如LDP、IGP）。另外，P路由器除了要求能够支持MPLS之外，还要能够支持VPN。

　　---- VPN成员资格和可到达性信息的传播

　　---- PE路由器使用IP路由协议或者是静态路径的配置来交换路由信息，并且通过这一过程获得与之直接相连的用户网站IP地址前缀。

　　---- PE路由器通过与其BGP对等实体交换VPN-IP地址前缀来获得到达目的VPN站点的路径。另外，PE路由器还要通过BGP与其PE路由器对等实体交换标记，以此确定PE路由器间连接所使用的LSP。这些标记用作第二级标记，P 路由器看不到这些标记。

　　---- PE路由器将为其支持的每一个VPN分别建立路由表和转发表，与一个PE路由器相连的CE路由器则根据该连接所使用的接口选择合适的路由表。

　　---- IP分组转发

　　---- PE之间的路由信息交换完成之后，每一个PE都将为每一个VPN建立一个转发表，该转发表将把VPN用户的特定地址前缀与下一跳PE路由器联系起来。

　　---- 当收到发自CE路由器的IP分组时，PE路由器将在转发表中查询该分组对应的VPN。

　　---- 如果找到匹配的条目，路由器将执行以下操作：

　　---- 如果下一跳是一个PE路由器，转发进程将首先把从路由表中得到的、该PE路由器所对应的标记（嵌套隧道标记）推入标记栈；PE路由器把基本的标记推入分组，该标记用于把分组转发到到达目的PE路由器的、基本网络LSP上的第一跳；带有两级标记的分组将被转发到基本网络LSP上的下一个LSR。

　　---- P路由器（LSR）使用顶层标记及其路由表对分组继续进行转发。当该分组到达目的LER时，最外层的标记可能已发生多次改变，而嵌套在内部的标记保持不变。

　　---- 当PE收到分组时，它使用内部标记来识别VPN。此后， PE将检查与该VPN相关的路由表，以便决定对分组进行转发所要使用的接口。

　　---- 如果在VPN路由表中找不到匹配的条目，PE路由器将检查Internet路由表（如果网络提供者具备这一能力）。如果找不到路由，相应分组将被丢弃。

　　---- VPN?IP转发表中包含VPN?IP地址所对应的标记，这些标记可以把业务流路由至VPN中的每一个站点。这一过程由于使用的是标记而不是IP 地址，所以在企业网中，用户可以使用自己的地址体系，这些地址在通过服务提供者网络进行业务传输时无需网络地址翻译（NAT）。通过为每一个VPN使用不同的逻辑转发表，不同的VPN业务将可以被分开。使用BGP协议，交换机可以根据入口选择一个特定的转发表，该转发表可以只列出一个VPN有效目的地址。

　　---- 为了建立企业的Extranet，服务提供者需要对VPN之间的可到达性进行明确指定(可能还需要进行NAT配置)。

　　---- 安全

　　---- 在服务提供者网络中，PE所使用的每一个分组都将与一个RD相关联，这样，用户无法将其业务流或者是分组偷偷送入另一个用户的VPN。要注意的是，在用户数据分组中没有携带RD，只有当用户位于正确的物理端口上或拥有PE路由器中已经配置的、适当的RD时，用户才能加入一个Intranet或 Extranet。这一建立过程可以保证非法用户无法进入VPN，从而为用户提供与帧中继、租用线或ATM业务相同的安全等级。

　　还有如下的说明：

　　VPN是Virtual Private Network的缩写,中文译为虚拟专用网。Virtual Network的含义有两个，一是VPN是建立在现有物理网络之上，与物理网络具体的网络结构无关，用户一般无需关心物理网络和设备；二是VPN用户使用VPN时看到的是一个可预先设定义的动态的网络。Private Network的含义也有两个，一是表明VPN建立在所有用户能到达的公共网络上，特别是Internet，也包括PSTN、帧中继、ATM等，当在一个由专线组成的专网内构建VPN时，相对VPN这也是一个“公网”；二是VPN将建立专用网络或者称为私有网络，确保提供安全的网络连接，它必须具备几个关键功能：认证、访问控制、加密和数据完整。

　　一个网络连接一般由三个部分组成：客户机、传输介质和服务器。VPN也一样，不同的是VPN连接使用隧道作为传输通道，靠的是对数据包的封装和加密。

　　VPN是一种快速建立广域联接的互联和访问工具，也是一种强化网络安全和管理的工具。

　　VPN建立在用户的物理网络之上、融入在用户的网络应用系统之中。VPN技术涵盖了多个技术专业,不同应用领域所适用的技术和产品有很大差异。

　　VPN技术仍在快速发展中。

　　VPN是什么，请看如下一些表述：

　　■　VPN是利用公网来构建专用网络,它是通过特殊设计的硬件和软件直接通过共享的　IP网所建立的隧道来完成的。我们通常将VPN当作WAN解决方案,但它也可以简单地用于LAN。VPN类似于点到点直接拨号连接或租用线路连接,尽管它是以交换和路由的方式工作。

　　■　可以说，VPN是Intranet（内部网）在公众网络上的延伸，它可以提供与专用网一样的安全性、可管理性和传输性能，而建设、运转和维护网络的工作也从企业内部的IT部门剥离出来，交由运营商来负责。

　　■　VPN是建立在实际网络（或物理网络）基础上的一种功能性网络。它利用公共网络做为企业骨干网的低成本优势，同时克服公共网络缺乏保密性的弱点，在VPN网络中，位于公共网络两端的网络在公共网络上传输信息时，其信息都是经过安全处理的，可以保证数据的完整性、真实性和私有性。

　　■　VPN是指在共用网络上建立专用网络的技术。之所以称为虚拟网主要是因为整个　VPN网络的任意两个结点之间的连接并没有传统专网建设所需的点到点的物理链路，而是架构在公用网络服务商ISP所提供的网络平台之上的逻辑网络。用户的数据是通过ISP在公共网络（Internet）中建立的逻辑隧道（Tunnel），即点到点的虚拟专线进行传输的。通过相应的加密和认证技术来保证用户内部网络数据在公网上安全传输，从而真正实现网络数据的专有性。

　　■　VPN是企业网在因特网等公共网络上的延伸，它能在公共网络上创建一个安全的私有连接，因此让公司的远程用户、分支机构、业务伙伴等与公司的企业网连接起来，构成一个扩展的企业网。

　　我们面临的挑战

　　目前很多单位都面临着这样的挑战：分公司、经销商、合作伙伴、客户和外地出差人员要求随时经过公用网访问公司的资源,这些资源包括:公司的内部资料、办公OA、ERP系统、CRM系统、项目管理系统等。现在很多公司通过使用IPSec VPN来保证公司总部和分支机构以及移动工作人员之间安全连接。

　　对于很多IPSec VPN用户来说，IPSec VPN的解决方案的高成本和复杂的结构是很头疼的。存在如下事实：在部署和使用软硬件客户端的时候，需要大量的评价、部署、培训、升级和支持，对于用户来说，这些无论是在经济上和技术上都是个很大的负担，将远程解决方案和昂贵的内部应用相集成，对任何IT专业人员来说都是严峻的挑战。由于受到以上IPSec VPN的限制，大量的企业都认为IPSec VPN是一个成本高、复杂程度高，甚至是一个无法实施的方案。为了保持竞争力，消除企业内部信息孤岛，很多公司需要在与企业相关的不同的组织和个人之间传递信息，所以很多公司需要找一种实施简便，不需改变现有网络结构，运营成本低的解决方案。

　　HLINK VPN的特点

　　1.USB(KEY)即插即用

　　2.支持多线路绑定

　　3. 自带地址解析

　　4. 高效、安全、稳定

　　5. 扩展灵活、自由

　　6. 完善的权限管理

　　7. 低成本的VPN解决方案

　　8.免维护的VPN解决方案

　　VPN使用方法

　　一.便携网帐号申请开通

　　企业向运营商申请租用一批便携网使用帐号（即license）,由企业自行管理分配帐号。企业管理员可以将需要使用便携网的各个部门，成立不同的VCN域，即不同的工作组，比如可分为财务、人事、市场、外联部等等。同一工作组内的成员可以互相通讯，既加强了成员之间的联络，又保证了数据的安全。而各个工作组之间不能互相通讯，保证了企业内部数据的安全。

　　二．便携网客户端安装

　　1．系统需求

　　表—列出了在装有Microsoft Windows操作系统的计算机上安装便携网络客户端软件（yPND：your Portable Network Desktop）的最小系统要求。计算机必须符合或好于最小系统要求才能成功的安装和使用便携网络客户端软件

　　2.预安装

　　为成功安装 便携网络客户端 软件必须确保满足下列情况：

　　? 计算机符合“系统需求”表所列的最小系统要求。

　　安装程序时会检查系统是否符合要求，如果不满足就不能继续安装，必须使系统符合要求才能安装。

　　· 必须有计算机的系统管理员权限才能安装。

　　SSL VPN与IPSec VPN特点比较

　　首先让我们从SSL VPN和IPSec VPN两个阵营出发做一个比较。

　　1 SSL VPN相对于IPSec VPN的优势

　　1.1 SSL VPN比IPSec VPN部署、管理成本低

　　首先我们先认识一下IPSEC存在的不足之处:

　　在设计上，IPSec VPN是一种基础设施性质的安全技术。这类VPN的真正价值在于，它们尽量提高IP环境的安全性。可问题在于，部署IPSec需要对基础设施进行重大改造，以便远程访问。好处就摆在那里，但管理成本很高。IPSec安全协议方案需要大量的IT技术支持，包括在运行和长期维护两个方面。在大的企业通常有几个专门的员工为通过IPSec安全协议进行的VPN远程访问提供服务。

　　IPSec VPN最大的难点在于客户端需要安装复杂的软件，而且当用户的VPN策略稍微有所改变时，VPN的管理难度将呈几何级数增长。SSL VPN则正好相反，客户端不需要安装任何软件或硬件，使用标准的浏览器，就可通过简单的SSL安全加密协议，安全地访问网络中的信息。

　　其次我们再看看SSL的优势特点:

　　SSL VPN避开了部署及管理必要客户软件的复杂性和人力需求;SSL在Web的易用性和安全性方面架起了一座桥梁，目前对SSL VPN公认的三大好处是:

　　第一来自于它的简单性，它不需要配置，可以立即安装、立即生效;

　　第二个好处是客户端不需要麻烦的安装，直接利用浏览器中内嵌的SSL协议就行;

　　第三个好处是兼容性好，传统的IPSec VPN对客户端采用的操作系统版本具有很高的要求，不同的终端操作系统需要不同的客户端软件，而SSL VPN则完全没有这样的麻烦。

　　综合分析可见:

　　1. SSL VPN强调的优势其实主要集中在VPN客户端的部署和管理上，我们知道SSL VPN一再强调无需安装客户端，主要是由于浏览器内嵌了SSL协议，也就是说是基于B/S结构的业务时，可以直接使用浏览器完成SSL的VPN建立;

　　2. 某些SSL VPN厂商如F5有类似IPSec VPN的“网络访问”方式，可以解决传统的C/S应用程序的问题，用户用浏览器登录SSL VPN设备后，拨通网络访问资源即可获得一个虚拟IP，即可以访问按照安全策略允许访问的内网地址和端口，和IPSec VPN不同的是，这种方式并非工作在网络层，所以不会有接入地点的限制;

　　1.2 SSL VPN比IPSec VPN更安全

　　首先我们还是先认识一下IPSEC存在的不足之处:

　　1. 在通路本身安全性上，传统的IPSec VPN还是非常安全的，比如在公网中建立的通道，很难被人篡改。说其不安全，是从另一方面考虑的，就是在安全的通路两端，存在很多不安全的因素。比如总公司和子公司之间用IPsec VPN连接上了，总公司的安全措施很严密，但子公司可能存在很多安全隐患，这种隐患会通过IPsec VPN传递给总公司，这时，公司间的安全性就由安全性低的分公司来决定了。

　　2. 比如黑客想要攻击应用系统，如果远程用户以IPSec VPN的方式与公司内部网络建立联机之后，内部网络所连接的应用系统，黑客都是可以侦测得到，这就提供了黑客攻击的机会。

　　3. 比如应对病毒入侵，一般企业在Internet联机入口，都是采取适当的防毒侦测措施。采用IPSec联机，若是客户端电脑遭到病毒感染，这个病毒就有机会感染到内部网络所连接的每台电脑。

　　4. 不同的通讯协议，并且通过不同的通讯端口来作为服务器和客户端之间的数据传输通道。以Internet Email系统来说，发信和收信一般都是采取SMTP和POP3通讯协议，而且两种通讯协议采用25和110端口，若是从远程电脑来联机Email服务器，就必须在防火墙上开放25和110端口，否则远程电脑是无法与SMTP和POP3主机沟通的。IPSec VPN联机就会有这个困扰和安全顾虑。在防火墙上，每开启一个通讯埠，就多一个黑客攻击机会。

　　其次我们再看看SSL的优势特点:

　　1. SSL安全通道是在客户到所访问的资源之间建立的，确保点到点的真正安全。无论在内部网络还是在因特网上数据都不是透明的，客户对资源的每一次操作都需要经过安全的身份验证和加密。

　　2. 若是采取SSL VPN来联机，因为是直接开启应用系统，并没在网络层上连接，黑客不易侦测出应用系统内部网络设置，同时黑客攻击的也只是VPN服务器，无法攻击到后台的应用服务器，攻击机会相对就减少。有的厂商如F5公司的产品，可以对客户端允许访问的地址、协议、端口都加以限制;可以对客户端做各种检查，如操作系统补丁、防病毒软件及病毒库更新时间、个人防火墙等等，不符合条件的客户端可以不允许其登录，这样就大大增加了整个系统的安全性。

　　3. 而对于SSL VPN的联机，病毒传播会局限于这台主机，而且这个病毒必须是针对应用系统的类型，不同类型的病毒是不会感染到这台主机的。因此通过SSL VPN连接，受外界病毒感染的可能性大大减小。有的厂商如F5公司的产品，自身带有防病毒软件，更可以通过标准协议连接防病毒软件，加强对于病毒的防治。

　　4. SSL VPN就没有这方面的困扰。因为在远程主机与SSLVPN 之间，采用SSL通讯端口443来作为传输通道，这个通讯端口，一般是作为Web Server对外的数据传输通道，因此，不需在防火墙上做任何修改，也不会因为不同应用系统的需求，而来修改防火墙上的设定，减少IT管理者的困扰。如果所有后台系统都通过SSL VPN的保护，那么在日常办公中防火墙只开启一个443端口就可以，因此大大增强内部网络受外部黑客攻击的可能性。

　　1.3 SSL VPN与IPSec VPN相比，具有更好的可扩展性

　　首先我们还是先认识一下IPSec VPN存在的不足之处:

　　IPSec VPN在部署时一般放置在网络网关处，因而要考虑网络的拓扑结构，如果增添新的设备，往往要改变网络结构，那么IPSec VPN就要重新部署，因此造成IPSec VPN的可扩展性比较差。

　　其次我们再看看SSL VPN的优势特点:

　　SSL VPN就有所不同，它一般部署在内网中任一节点处即可，可以随时根据需要，添加需要VPN保护的服务器，因此无需影响原有网络结构。

　　1.4 SSL VPN在访问控制方面比IPSec VPN具有更细粒度

　　为什么最终用户要部署VPN，究其根本原因，还是要保护网络中重要数据的安全，比如财务部门的财务数据，人事部门的人事数据，销售部门的项目信息，生产部门的产品配方等等。

　　首先我们还是先认识一下IPSEC存在的不足之处:

　　由于IPSec VPN部署在网络层，因此，内部网络对于通过VPN的使用者来说是透明的，只要是通过了IPSec VPN网关，他可以在内部为所欲为。因此，IPSec VPN的目标是建立起来一个虚拟的IP网，而无法保护内部数据的安全。所以IPSec VPN又被称为网络安全设备。

　　其次我们再看看SSL的优势特点:

　　在电子商务和电子政务日益发展的今天，各种应用日益复杂，需要访问内部网络人员的身份也多种多样，比如可能有自己的员工、控股公司的工作人员、供货商、分销商、商业合作伙伴等等。与IPSec VPN只搭建虚拟传输网络不同的是，SSL VPN重点在于保护具体的敏感数据，比如SSL VPN可以根据用户的不同身份，给予不同的访问权限。就是说，虽然都可以进入内部网络，但是不同人员可以访问的数据是不同的。而且在配合一定的身份认证方式的基础上，不仅可以控制访问人员的权限，还可以对访问人员的每个访问，做的每笔交易、每个操作进行数字签名，保证每笔数据的不可抵赖性和不可否认性，为事后追踪提供了依据。

　　1.5 使用SSL VPN相比IPSec VPN也具有更好的经济性

　　假设一个公司有1000个用户需要进行远程访问，那么如果购买IPSec VPN，那么就需要购买1000个客户端许可，而如果购买SSL VPN，因为这1000个用户并不同时进行远程访问，按照统计学原理，假定只有100个用户会同时进行远程访问，只需要购买100个客户端许可即可。

　　2 F5产品的特色

　　现在市场上充斥了各式各样的SSL VPN产品，相对于IPSec VPN产品之间的区别，SSL VPN产品之间的区别大的惊人，从“玩具”形态只实现了简单反向SSL代理的SSL VPN到提供了众多功能的“工具”级的成熟SSL VPN产品，是完全不同的，下面从F5的FirePass的特点出发再与IP Sec VPN产品做一个对比。

　　2.1 产品的多样化

　　F5的FirePass在同一硬件里集成了IP Sec VPN与SSL VPN功能，为企业节省了投资。

　　2.2 丰富的功能

　　F5的FirePass的SSL VPN包括网络访问、web 应用程序、Windows文件共享、移动电子邮件、针对C/S应用的应用访问等功能，提供了远比IPSec VPN丰富的功能。

　　2.3 高可用性

　　对于远程访问非常重要的企业来说，远程访问设备的高可用性非常重要，而IPSec VPN无法提供高可用性，往往成为系统的单点故障。而F5 FirePass可以多台以集群方式对外提供服务，也可以前端使用F5 BIG IP作为负载均衡设备对外提供服务，在提高系统可用性的同时也提高了系统性能。

　　2.4 与企业原有AAA服务器集成

　　企业在部署远程访问设备之前，一般都部署了各种形式的AAA服务器，一般有Active Directory、LDAP、Raduis、企业自行开发的SSO等等，客户端也有PKI、RSA Secure ID等等。FirePass可以轻易的与这样AAA服务器集成，对于IT管理员来说，可以轻易将一台FirePass加入企业网，用户管理仍然由原来的 AAA服务器去做。

　　2.5 详细的日志功能

　　IPSec VPN的日志功能非常薄弱，而FirePass可以提供非常丰富的用户级日志功能，更可以通过标准的日志协议将日志实时传送给企业中的日志服务器，便于审计。

　　2.6 更高的安全性

　　IPSec VPN的安全性一直是一个弱点，由于IPSec VPN而引起的病毒、木马、Web攻击一直是无法彻底解决的问题，而F5 FirePass可以很好的解决这个问题。在FirePass的门户站主机访问模式下，FirePass可以对上传的文件做病毒扫描，更可以与企业现有的防病毒软件联动，彻底解决病毒问题。而FirePass内带的内容检查功能，解决了Web攻击问题。

　　F5 FirePass可以对客户端做各种扫描，如操作系统版本、补丁版本、防病毒软件种类、病毒库更新时间等等，从而堵住病毒、木马入侵的途径。

　　F5 FirePass可以对接入客户进行各种限制，如可以访问的地址、端口、URL等等。

　　F5 FirePass可以配置成在退出时自动清除高速缓存。

　　以上这些功能都大大增强了系统的安全性。

　　2.7 接入设备的多样性

　　F5 FirePass可以使用多种客户端接入，包括Mac、Linux、Solaris、Windows CE等等，大大扩展了客户端的使用便利性。

　　2.8 更高的性能

　　对于SSL VPN的性能，一向是IPSec VPN阵营攻击SSL VPN的有力武器。确实，SSL VPN单台的性能是无法与最高端的IPSec VPN相抗衡的，但是由于F5的FirePass可以通过自由堆叠来扩展，反而可以提供更高的性能。

　　国内免费的VPN

　　最简单也是最方便的方法：去各大网站找测试免费VPN或者免费VPN代理，也有一些免费vpn公布器，差不多每天都会有人发，有些速度还不错。

　　优点：速度还行，随到随拿。

　　缺点：使用期限较短，而且有些个人一多VPN就容易被封

　　国内外知名硬件VPN品牌

　　目前国内外硬件VPN产品已经相对比较成熟了，这里列出几个国内外有一定历史的知名品牌：

　　国外品牌：1.Cisco 2.Juniper 3.Netgear 4.Watchguard 5.Hillstone

　　国内品牌：1.天融信 2.H3C 3.深信服 4.奥联 5.卫士通