一、VPN是什么？
VPN是依靠Internet服務(wù)提供商ISP和網(wǎng)絡(luò)服務(wù)提供商N(yùn)SP，在公共網(wǎng)絡(luò)中建立的虛擬專用通信網(wǎng)絡(luò)。它就像是在公共網(wǎng)絡(luò)的“大馬路”上，為特定用戶開辟了一條“專屬車道”，能滿足企業(yè)對網(wǎng)絡(luò)靈活性、安全性、經(jīng)濟(jì)性、擴(kuò)展性等多方面的要求。

二、為什么需要VPN？

（一）VPN的產(chǎn)生背景    

隨著企業(yè)規(guī)模擴(kuò)大、員工移動性增強(qiáng)，企業(yè)急需連接總部與分支機(jī)構(gòu)，還得讓移動辦公人員能便捷接入內(nèi)部網(wǎng)絡(luò)。早期電信運(yùn)營商提供的租賃專線，建設(shè)時間長、價格昂貴且管理困難；后來的ATM和幀中繼技術(shù)雖有改善，但仍存在依賴專用介質(zhì)、速率慢、部署復(fù)雜等問題。于是，VPN應(yīng)運(yùn)而生，它在現(xiàn)有IP網(wǎng)絡(luò)上模擬傳統(tǒng)專網(wǎng)，完美解決了這些難題。    

（二）VPN的特征    

1. 專用性：VPN用戶使用時就像在使用傳統(tǒng)專網(wǎng)，資源獨(dú)立，安全性高，能防止外部侵?jǐn)_。   

2.虛擬性：VPN用戶通過公共網(wǎng)絡(luò)通信，只是在邏輯上擁有一個專網(wǎng)，公共網(wǎng)絡(luò)即VPN骨干網(wǎng)。    

（三）VPN的優(yōu)勢    

1.從客戶角度：安全性強(qiáng)，保障數(shù)據(jù)傳輸安全，對電商、金融等行業(yè)意義重大；成本低廉，借助公共網(wǎng)絡(luò)，降低連接遠(yuǎn)程機(jī)構(gòu)和人員的成本；支持移動業(yè)務(wù)，滿足用戶隨時隨地接入需求；能保證服務(wù)質(zhì)量，如MPLSVPN可為用戶提供不同等級的服務(wù)。    

2.從運(yùn)營商角度：可運(yùn)營性強(qiáng)，提高網(wǎng)絡(luò)資源利用率，增加收益；靈活性高，通過軟件配置就能增減用戶，無需改動硬件；業(yè)務(wù)豐富，可基于VPN開展網(wǎng)絡(luò)外包等多種業(yè)務(wù)。

三、VPN有哪些分類？

（一）按業(yè)務(wù)用途分類    

1.企業(yè)內(nèi)部虛擬專網(wǎng)IntranetVPN：用于企業(yè)內(nèi)部互聯(lián)，是傳統(tǒng)專網(wǎng)的擴(kuò)展或替代，像連鎖超市、加油站等連鎖機(jī)構(gòu)常使用。   

2. 擴(kuò)展的企業(yè)內(nèi)部虛擬專網(wǎng)ExtranetVPN：將企業(yè)網(wǎng)延伸到供應(yīng)商、合作伙伴和客戶，實(shí)現(xiàn)部分資源共享，安全性比IntranetVPN更強(qiáng)。   

3. 遠(yuǎn)程訪問虛擬專網(wǎng)AccessVPN：方便出差、家庭辦公人員及遠(yuǎn)程小辦公室接入企業(yè)內(nèi)部服務(wù)器，有用戶發(fā)起和接入服務(wù)器發(fā)起兩種連接類型。    

（二）按組網(wǎng)模型分類    

1.VPDN（Virtual Private DialNetwork）：為企業(yè)、小型ISP和移動辦公人員提供接入服務(wù)，接入范圍廣，成本低，安全性高，身份驗(yàn)證和計(jì)費(fèi)方式靈活。  

2. VPRN（Virtual Private RoutingNetwork）：總部、分支機(jī)構(gòu)和遠(yuǎn)端辦公室通過網(wǎng)絡(luò)管理虛擬設(shè)備互連，數(shù)據(jù)包在網(wǎng)絡(luò)層轉(zhuǎn)發(fā)，實(shí)現(xiàn)方式包括傳統(tǒng)VPN協(xié)議、MPLS、段路由SR等。    

3. VPWS（Virtual Private WireService）：模擬傳統(tǒng)租用線業(yè)務(wù)，在接入層和匯聚層使用，兼容傳統(tǒng)專網(wǎng)，可平滑升級。    

4. VPLS（Virtual Private LANService）：實(shí)現(xiàn)局域網(wǎng)在IP公共網(wǎng)絡(luò)上的延伸，能解決傳統(tǒng)以太網(wǎng)的廣播泛濫、STP擴(kuò)展受限等問題。    

（三）按照運(yùn)營模式與實(shí)現(xiàn)層次分類    

1.按運(yùn)營模式：由用戶控制的CPE - basedVPN，用戶自行構(gòu)建、管理和維護(hù)，復(fù)雜度高、業(yè)務(wù)擴(kuò)展能力弱，主要用于接入層；由ISP控制的Network - basedVPN，ISP負(fù)責(zé)構(gòu)建等工作，用戶投資低，業(yè)務(wù)靈活可擴(kuò)展。   

2.按實(shí)現(xiàn)層次：L2VPN包括GRE、L2TP等，適用于接入層和匯聚層，支持多種三層協(xié)議，安全性高；L3VPN包括GREVPN、IPsec VPN等，主要用于核心層，用戶路由交由SP管理，對骨干網(wǎng)影響大。

按照運(yùn)營模式與實(shí)現(xiàn)層次分類

L2VPN與L3VPN的區(qū)別

四、VPN是如何工作的？

（一）基本原理    

VPN通過骨干網(wǎng)建立專用數(shù)據(jù)傳輸通道，利用隧道技術(shù)封裝VPN報文，實(shí)現(xiàn)報文的透明傳輸。    

（二）體系結(jié)構(gòu)    

1.VPN隧道：負(fù)責(zé)隧道的建立和管理。   

2.VPN管理：涵蓋配置、成員、屬性管理以及自動配置等。    

3.VPN信令協(xié)議：用于交換和共享VPN資源信息，實(shí)現(xiàn)成員發(fā)現(xiàn)。    

（三）實(shí)現(xiàn)模式    

1.VPN隧道＋VPN管理：傳統(tǒng)IP VPN，如IPSec VPN和GRE VPN采用此模式。   

2.隧道＋VPN管理＋VPN信令協(xié)議：Martini方式的VLL、PWE3等采用此模式。   

3. 實(shí)例化：傳統(tǒng)L3VPN、EVPN L2VPN等采用此模式。    

（四）工作過程

VPN工作過程 

1. 設(shè)備CE1發(fā)送用戶報文給設(shè)備PE1。    

2.PE1根據(jù)規(guī)則對數(shù)據(jù)加密或直接傳輸，加密的數(shù)據(jù)會附上簽名并封裝新報文頭，不加密的數(shù)據(jù)直接封裝新報文頭。    

3. PE1將封裝后的數(shù)據(jù)公網(wǎng)隧道發(fā)送給PE2。    

4.PE2收到數(shù)據(jù)包，校驗(yàn)?zāi)康腎P地址，解封裝，加密數(shù)據(jù)核對簽名無誤后解密發(fā)給用戶CE2，未加密數(shù)據(jù)直接發(fā)給CE2。