序論：好文章的創(chuàng)作是一個不斷探索和完善的過程，我們?yōu)槟扑]十篇vpn技術(shù)論文范例，希望它們能助您一臂之力，提升您的閱讀品質(zhì)，帶來更深刻的閱讀感受。

篇（1）

就金融業(yè)目前的大部分網(wǎng)絡(luò)應(yīng)用而言，典型的省內(nèi)網(wǎng)絡(luò)結(jié)構(gòu)一般是由一個總部（省級網(wǎng)絡(luò)中心）和若干個地市分支機(jī)構(gòu)、以及數(shù)量不等的合作伙伴和移動遠(yuǎn)程（撥號）用戶所組成。除遠(yuǎn)程用戶外，其余各地市分支機(jī)構(gòu)均為規(guī)模不等的局域網(wǎng)絡(luò)系統(tǒng)。其中省級局域網(wǎng)絡(luò)是整個網(wǎng)絡(luò)系統(tǒng)的核心，為金融機(jī)構(gòu)中心服務(wù)所在地，同時也是該金融企業(yè)的省級網(wǎng)絡(luò)管理中心。而各地市及合作伙伴之間的聯(lián)接方式則多種多樣，包括遠(yuǎn)程撥號、專線、Internet等。

從省級和地市金融機(jī)構(gòu)的互聯(lián)方式來看，可以分為以下三種模式：（1）移動用戶和遠(yuǎn)程機(jī)構(gòu)用戶通過撥號訪問網(wǎng)絡(luò)，撥號訪問本身又可分為通過電話網(wǎng)絡(luò)撥入管理中心訪問服務(wù)器和撥入網(wǎng)絡(luò)服務(wù)提供商兩種方式；（2）各地市遠(yuǎn)程金融分支機(jī)構(gòu)局域網(wǎng)通過專線或公共網(wǎng)絡(luò)與總部局域網(wǎng)絡(luò)連接；（3）合作伙伴（客戶、供應(yīng)商）局域網(wǎng)通過專線或公共網(wǎng)絡(luò)與總部局域網(wǎng)連接。

由于各類金融機(jī)構(gòu)網(wǎng)絡(luò)系統(tǒng)均有其特定的發(fā)展歷史，其網(wǎng)絡(luò)技術(shù)的運用也是傳統(tǒng)技術(shù)和先進(jìn)技術(shù)兼收并蓄。通常在金融機(jī)構(gòu)的網(wǎng)絡(luò)系統(tǒng)建設(shè)過程中，主要側(cè)重于網(wǎng)絡(luò)信息系統(tǒng)的穩(wěn)定性并確保金融機(jī)構(gòu)的正常生產(chǎn)營運。

就網(wǎng)絡(luò)信息系統(tǒng)安全而言，目前金融機(jī)構(gòu)的安全防范機(jī)制仍然是脆弱的，一般金融機(jī)構(gòu)僅利用了一些常規(guī)的安全防護(hù)措施，這些措施包括利用操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)自身的安全設(shè)施；購買并部署商用的防火墻和防病毒產(chǎn)品等。在應(yīng)用程序的設(shè)計中，也僅考慮到了部分信息安全問題。應(yīng)該說這在金融業(yè)務(wù)網(wǎng)絡(luò)建設(shè)初期的客觀環(huán)境下是可行的，也是客觀條件限制下的必然。由于業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)中大量采用不是專為安全系統(tǒng)設(shè)計的各種版本的商用基礎(chǔ)軟件，這些軟件通常僅具備一些基本的安全功能，而且在安裝時的缺省配置往往更多地照顧了使用的方便性而忽略了系統(tǒng)的安全性，如考慮不周很容易留下安全漏洞。此外，金融機(jī)構(gòu)在獲得公共Internet信息服務(wù)的同時并不能可靠地獲得安全保障，Internet服務(wù)提供商（ISP）采取的安全手段都是為了保護(hù)他們自身和他們核心服務(wù)的可靠性，而不是保護(hù)他們的客戶不被攻擊，他們對于你的安全問題的反應(yīng)可能是提供建議，也可能是盡力幫助，或者只是關(guān)閉你的連接直到你恢復(fù)正常。因此，總的來說金融系統(tǒng)中的大部分網(wǎng)絡(luò)系統(tǒng)遠(yuǎn)沒有達(dá)到與金融系統(tǒng)信息的重要性相稱的安全級別，有的甚至對于一些常規(guī)的攻擊手段也無法抵御，這些都是金融管理信息系統(tǒng)亟待解決的安全問題。

二、現(xiàn)代金融網(wǎng)絡(luò)面臨的威脅及安全需求

目前金融系統(tǒng)存在的網(wǎng)絡(luò)安全威脅，就其攻擊手段而言可分為針對信息的攻擊、針對系統(tǒng)的攻擊、針對使用者的攻擊以及針對系統(tǒng)資源的攻擊等四類，而實施安全攻擊的人員則可能是外部人員，也可能是機(jī)構(gòu)內(nèi)部人員。

針對信息的攻擊是最常見的攻擊行為，信息攻擊是針對處于傳輸和存儲形態(tài)的信息進(jìn)行的，其攻擊地點既可以在局域網(wǎng)內(nèi)，也可以在廣域網(wǎng)上。針對信息的攻擊手段的可怕之處在于其隱蔽性和突然性，攻擊者可以不動聲色地竊取并利用信息，而無慮被發(fā)現(xiàn)；犯罪者也可以在積聚足夠的信息后驟起發(fā)難，進(jìn)行敲詐勒索。此類案件見諸報端層出不窮，而未公開案例與之相比更是數(shù)以倍數(shù)。

利用系統(tǒng)（包括操作系統(tǒng)、支撐軟件及應(yīng)用系統(tǒng)）固有的或系統(tǒng)配置及管理過程中的安全漏洞，穿透或繞過安全設(shè)施的防護(hù)策略，達(dá)到非法訪問直至控制系統(tǒng)的目的，并以此為跳板，繼續(xù)攻擊其他系統(tǒng)。由于我國的網(wǎng)絡(luò)信息系統(tǒng)中大量采用不是專為安全系統(tǒng)設(shè)計的基礎(chǔ)軟件和支撐平臺，為了照顧使用的方便性而忽略了安全性，導(dǎo)致許多安全漏洞的產(chǎn)生，如果再考慮到某些軟件供應(yīng)商出于政治或經(jīng)濟(jì)的目的，可能在系統(tǒng)中預(yù)留“后門”，因此必須采用有效的技術(shù)手段加以預(yù)防。

針對使用者的攻擊是一種看似困難卻普遍存在的攻擊途徑，攻擊者多利用管理者和使用者安全意識不強(qiáng)、管理制度松弛、認(rèn)證技術(shù)不嚴(yán)密的特點，通過種種手段竊取系統(tǒng)權(quán)限，通過合法程序來達(dá)到非法目的，并可在事后嫁禍他人或毀滅證據(jù)，導(dǎo)致此類攻擊難以取證。

針對資源的攻擊是以各種手段耗盡系統(tǒng)某一資源，使之喪失繼續(xù)提供服務(wù)的能力，因此又稱為拒絕服務(wù)類攻擊。拒絕服務(wù)攻擊的高級形式為分布式拒絕服務(wù)攻擊，即攻擊者利用其所控制的成百上千個系統(tǒng)同時發(fā)起攻擊，迫使攻擊對象癱瘓。由于針對資源的攻擊利用的是現(xiàn)有的網(wǎng)絡(luò)架構(gòu)，尤其是Internet以及TCP/IP協(xié)議的固有缺陷，因此在網(wǎng)絡(luò)的基礎(chǔ)設(shè)施沒有得到大的改進(jìn)前，難以徹底解決。

金融的安全需求安全包括五個基本要素：機(jī)密性、完整性、可用性、可審查性和可控性。目前國內(nèi)金融機(jī)構(gòu)的網(wǎng)絡(luò)信息系統(tǒng)應(yīng)重點解決好網(wǎng)絡(luò)內(nèi)部的信息流動及操作層面所面臨的安全問題，即總部和分支機(jī)構(gòu)及合作伙伴之間在各個層次上的信息傳輸安全和網(wǎng)絡(luò)訪問控制問題。網(wǎng)絡(luò)系統(tǒng)需要解決的關(guān)鍵安全問題概括起來主要有：傳輸信息的安全、節(jié)點身份認(rèn)證、交易的不可抵賴性和對非法攻擊事件的可追蹤性。

必須指出：網(wǎng)絡(luò)信息系統(tǒng)是由人參與的信息環(huán)境，建立良好的安全組織和管理是首要的安全需求，也是一切安全技術(shù)手段得以有效發(fā)揮的基礎(chǔ)。金融行業(yè)需要的是集組織、管理和技術(shù)為一體的完整的安全解決方案。

三、網(wǎng)絡(luò)安全基本技術(shù)與vpn技術(shù)

解決網(wǎng)絡(luò)信息系統(tǒng)安全保密問題的兩項主要基礎(chǔ)技術(shù)為網(wǎng)絡(luò)訪問控制技術(shù)和密碼技術(shù)。網(wǎng)絡(luò)訪問控制技術(shù)用于對系統(tǒng)進(jìn)行安全保護(hù)，抵抗各種外來攻擊。密碼技術(shù)用于加密隱蔽傳輸信息、認(rèn)證用戶身份、抗否認(rèn)等。

密碼技術(shù)是實現(xiàn)網(wǎng)絡(luò)安全的最有效的技術(shù)之一，實際上，數(shù)據(jù)加密作為一項基本技術(shù)已經(jīng)成為所有通信數(shù)據(jù)安全的基石。在多數(shù)情況下，數(shù)據(jù)加密是保證信息機(jī)密性的唯一方法。一個加密網(wǎng)絡(luò)，不但可以防止非授權(quán)用戶的搭線竊聽和入網(wǎng)，而且也是對付惡意軟件的有效方法，這使得它能以較小的代價提供很強(qiáng)的安全保護(hù)，在現(xiàn)代金融的網(wǎng)絡(luò)安全的應(yīng)用上起著非常關(guān)鍵的作用。

虛擬專用網(wǎng)絡(luò)（VPN：VirtualPrivateNetwork）技術(shù)就是在網(wǎng)絡(luò)層通過數(shù)據(jù)包封裝技術(shù)和密碼技術(shù)，使數(shù)據(jù)包在公共網(wǎng)絡(luò)中通過“加密管道”傳播，從而在公共網(wǎng)絡(luò)中建立起安全的“專用”網(wǎng)絡(luò)。利用VPN技術(shù)，金融機(jī)構(gòu)只需要租用本地的數(shù)據(jù)專線，連接上本地的公眾信息網(wǎng)，各地的機(jī)構(gòu)就可以互相安全的傳遞信息；另外，金融機(jī)構(gòu)還可以利用公眾信息網(wǎng)的撥號接入設(shè)備，讓自己的用戶撥號到公眾信息網(wǎng)上，就可以安全的連接進(jìn)入金融機(jī)構(gòu)網(wǎng)絡(luò)中，進(jìn)行各類網(wǎng)絡(luò)結(jié)算和匯兌。

綜合利用網(wǎng)絡(luò)互聯(lián)的隧道技術(shù)、數(shù)據(jù)加密技術(shù)、網(wǎng)絡(luò)訪問控制技術(shù)，并通過適當(dāng)?shù)拿荑€管理機(jī)制，在公共的網(wǎng)絡(luò)基礎(chǔ)設(shè)施上建立安全的虛擬專用網(wǎng)絡(luò)系統(tǒng)，可以實現(xiàn)完整的集成化金融機(jī)構(gòu)范圍VPN安全解決方案。對于現(xiàn)行的金融行業(yè)網(wǎng)絡(luò)應(yīng)用系統(tǒng)，采用VPN技術(shù)可以在不影響現(xiàn)行業(yè)務(wù)系統(tǒng)正常運行的前提下，極大地提高系統(tǒng)的安全性能，是一種較為理想的基礎(chǔ)解決方案。

當(dāng)今VPN技術(shù)中對數(shù)據(jù)包的加解密一般應(yīng)用在網(wǎng)絡(luò)層（對于TCP/IP網(wǎng)絡(luò)，發(fā)生在IP層），從而既克服了傳統(tǒng)的鏈（線）路加密技術(shù)對通訊方式、傳輸介質(zhì)、傳輸協(xié)議依賴性高，適應(yīng)性差，無統(tǒng)一標(biāo)準(zhǔn)等缺陷，又避免了應(yīng)用層端——端加密管理復(fù)雜、互通性差、安裝和系統(tǒng)遷移困難等問題，使得VPN技術(shù)具有節(jié)省成本、適應(yīng)性好、標(biāo)準(zhǔn)化程度高、便于管理、易于與其他安全和系統(tǒng)管理技術(shù)融合等優(yōu)勢，成為目前和今后金融安全網(wǎng)絡(luò)發(fā)展的一個必然趨勢。

篇（2）

2民航數(shù)據(jù)通信網(wǎng)中組播VPN的實現(xiàn)

在民航數(shù)據(jù)通信網(wǎng)中實現(xiàn)組播VPN主要需完成骨干網(wǎng)絡(luò)的準(zhǔn)備工作以及組播VPN設(shè)計與實施等工作。

2.1組播VPN的規(guī)劃設(shè)計民航ATM數(shù)據(jù)網(wǎng)華東地區(qū)ATM交換機(jī)上的RPM-PR板卡提供了MPLSVPN業(yè)務(wù)，目前部署的MPLSVPN業(yè)務(wù)網(wǎng)絡(luò)拓?fù)錇樾切谓Y(jié)構(gòu)，即由區(qū)域一級節(jié)點9槽RPM板卡作為P設(shè)備和路由反射器，而其他節(jié)點均為PE設(shè)備。華東地區(qū)ATM網(wǎng)絡(luò)中同時承載著兩個相互獨立的組播業(yè)務(wù)：ATM數(shù)據(jù)網(wǎng)公網(wǎng)組播實例和名為YJCJ2的用戶私網(wǎng)組播實例。VPN組播實例是通過在P和PE設(shè)備上部署實現(xiàn)的，網(wǎng)絡(luò)中，作為P和PE的RPM板卡上運行著公網(wǎng)組播實例，而作為PE的RPM板卡同時又運行著用戶私網(wǎng)組播實例。公網(wǎng)的組播實例是在所有RPM板卡上開啟組播應(yīng)用。上海虹橋和浦東機(jī)場兩個節(jié)點的10槽RPM板卡負(fù)責(zé)接入用戶的VPN組播業(yè)務(wù)，所以需在這兩臺設(shè)備上部署MPLSVPN應(yīng)用，并在這兩個用戶站點相應(yīng)的VRF實例中開啟組播應(yīng)用。在本案例中，VPN用戶接入側(cè)要求使用的是PIM密集模式，而民航數(shù)據(jù)網(wǎng)MPLSVPN公網(wǎng)則使用的是PIM稀松模式。在MPLSVPN網(wǎng)絡(luò)中不同用戶的VPN站點都是彼此邏輯獨立的，并且VPN用戶數(shù)據(jù)封裝MPLS標(biāo)簽后通過公網(wǎng)的PE和P設(shè)備進(jìn)行傳輸。對于VPN組播來說，數(shù)據(jù)的傳輸模式也是類似的。PE設(shè)備通過將該VPN實例中的用戶VPN組播數(shù)據(jù)報文封裝成公網(wǎng)所能“識別”的公網(wǎng)組播數(shù)據(jù)報文進(jìn)行組播轉(zhuǎn)發(fā)。這種將私網(wǎng)組播報文封裝成公網(wǎng)組播報文的過程就叫做構(gòu)造組播隧道（MT）。在PE上，每個VPN用戶的組播數(shù)據(jù)是通過不同的MTI(MulticastTunnelInterfac)組播隧接口在公網(wǎng)構(gòu)造組播隧道，參見圖2。由于公網(wǎng)、VPN網(wǎng)以及用戶接入側(cè)各組播部署中都采用PIM協(xié)議啟用了組播應(yīng)用，MPLSVPN中組播應(yīng)用包含如下的PIM鄰居關(guān)系：（1）PE-P鄰居關(guān)系：指PE上公網(wǎng)實例接口與鏈路對端P上的接口之間所建立的PIM鄰居關(guān)系。（2）PE-PE鄰居關(guān)系：指PE上的VPN實力通過MTI收到遠(yuǎn)端PE上的VPN實例發(fā)來的PIMHello報文后建立的鄰居關(guān)系。（3）PE-CE鄰居關(guān)系：指PE上綁定VPN實例的接口與鏈路對端CE上的接口之間建立的PIM鄰居關(guān)系。部署公網(wǎng)組播實例需在華東地區(qū)所有相關(guān)RPM板卡開啟組播服務(wù)，考慮到密集模式對RPM設(shè)備和骨干網(wǎng)資源的開銷，在民航ATM數(shù)據(jù)網(wǎng)中使用了PIM稀松模式。根據(jù)網(wǎng)絡(luò)的物理網(wǎng)絡(luò)拓?fù)淠Ｐ?，選取上海虹橋9槽RPM板卡作為RP。

2.2組播VPN的實施運行在MPLSVPN網(wǎng)絡(luò)中的P和PE設(shè)備上部署PIM協(xié)議，這些設(shè)備之間會形成PE-P鄰居關(guān)系，從而使得公網(wǎng)支持組播功能，并形成公網(wǎng)的組播分發(fā)樹。本案例中使用PIM稀松模式，即在虹橋和浦東機(jī)場節(jié)點的9、10槽RPM板卡的配置底層IGP路由協(xié)議的接口上部署PIM稀松模式，這樣就構(gòu)造了公網(wǎng)的PIM共享樹。在傳輸用戶私網(wǎng)組播報文的PE上部署基于VRF實例的組播，一個VPN實例唯一制定一個Share-Group地址。同一個VPN組播域內(nèi)的PE之間形成PE-PE鄰居，并形成該組播域的共享組播分發(fā)樹（Share-MDT）。在本例中就是在虹橋和浦東機(jī)場的10槽YJCJ2VRF實例中部署相應(yīng)的defaultMDT地址239.255.0.5。用戶CE設(shè)備和PE連接CE的相應(yīng)接口啟用組播，本例中使用PIM密集模式。這樣就形成了PE-CE鄰居關(guān)系。本例中是在虹橋和浦東機(jī)場節(jié)點的相應(yīng)VPN業(yè)務(wù)端口配置PIM密集模式。當(dāng)用戶有組播報文需要傳輸?shù)臅r候，就將組播報文發(fā)送給PE的VRF實例，PE設(shè)備收到報文后識別組播數(shù)據(jù)所屬的VRF實例。用戶私網(wǎng)的數(shù)據(jù)報文對于公網(wǎng)是透明的，不論數(shù)據(jù)歸屬或類別，PE都統(tǒng)一將其封裝為公網(wǎng)組播數(shù)據(jù)報文，并以Share-Group作為其所屬的公網(wǎng)組播組。一個Share-Group唯一對應(yīng)一個MD，并利用公網(wǎng)資源唯一創(chuàng)建一棵Share-MDT進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)。在該VPN中所有私網(wǎng)組播報文，都通過此Share-MDT進(jìn)行轉(zhuǎn)發(fā)。如圖3所示，可以看到華東地區(qū)公網(wǎng)上的Share-MDT創(chuàng)建的過程。虹橋節(jié)點10槽RPM向9槽RPM(RP節(jié)點)發(fā)起加入消息，以Share-Group地址作為組播組地址，在公網(wǎng)沿途的設(shè)備上分別創(chuàng)建（*，239.255.0.5）表項。同時虹橋浦東機(jī)場節(jié)點也發(fā)起類似的加入過程，最終在MD中形成一棵以虹橋節(jié)點9槽RPM為根，以虹橋、浦東機(jī)場節(jié)點10槽RPM為葉的共享樹（RPT）。隨后，虹橋和浦東機(jī)場節(jié)點10槽RPM的公網(wǎng)實例向公網(wǎng)RP發(fā)起注冊，并以自身BGP的router-id地址作為組播源地址、Share-Group地址作為組播組地址，在公網(wǎng)的沿途設(shè)備上分別創(chuàng)建（20.51.5.6，239.255.0.5）和（20.51.5.3，239.255.0.5）表項，形成連接PE和RP的最短路徑樹（SPT）。在PIM-SM網(wǎng)絡(luò)中，由（*，239.255.0.5）和這兩棵相互獨立的SPT共同組成了Share-MDT。虹橋節(jié)點PE的私網(wǎng)組播報文在進(jìn)入公網(wǎng)后，均沿該Share-MDT向浦東機(jī)場節(jié)點PE轉(zhuǎn)發(fā)。圖4是私網(wǎng)組播報文在公網(wǎng)中轉(zhuǎn)發(fā)的過程。當(dāng)浦東機(jī)場節(jié)點的YJCJ2VPN用戶CE設(shè)備加入到虹橋節(jié)點數(shù)據(jù)源所在的組播組，此時由于這兩個站點部署為PIM-DM模式，虹橋節(jié)點組播設(shè)備會立刻將數(shù)據(jù)推送到虹橋節(jié)點10槽RPM的YJCJ2VRF實例中，并通過該VPN構(gòu)建的Share-MDT在公網(wǎng)上以（20.51.5.6，239.255.0.5）構(gòu)建的SPT進(jìn)行公網(wǎng)組播報文傳輸。當(dāng)公網(wǎng)組播報文被浦東機(jī)場10槽PE設(shè)備收到后會將其解封裝成原始的私網(wǎng)組播報文，并轉(zhuǎn)發(fā)給相應(yīng)的接收CE，最終完成用戶私網(wǎng)組播數(shù)據(jù)在MPLSVPN網(wǎng)絡(luò)中的傳輸。

篇（3）

 

1.校園網(wǎng)問題分析及其解決方案的提出

虛擬專用網(wǎng)（VPN），是對企業(yè)內(nèi)部網(wǎng)的擴(kuò)展。它通過“隧道”技術(shù)、加密技術(shù)、認(rèn)證技術(shù)和訪問控制等手段提供一種通過公用網(wǎng)絡(luò)（通常是因特網(wǎng)）安全地對單位內(nèi)部專用網(wǎng)絡(luò)進(jìn)行遠(yuǎn)程訪問的連接方式。

近年來，隨著高校信息化建設(shè)工作的深入開展，校園網(wǎng)用戶對校園網(wǎng)的要求也越來越高，傳統(tǒng)的單一公網(wǎng)接入模式已經(jīng)很難滿足日趨復(fù)雜的應(yīng)用需求。大多數(shù)的教師習(xí)慣于利用家里的計算機(jī)上網(wǎng)查資料、寫論文。如果要去學(xué)校圖書館網(wǎng)站，或者是教育網(wǎng)內(nèi)查資料，一般情況下是無法查找并下載的，因為學(xué)校圖書館的電子資源都做了訪問限制，普通Internet用戶也是不能訪問教育網(wǎng)的。在每年期末考試后，老師在線提交成績時，都要登錄學(xué)校內(nèi)部“教務(wù)處”的網(wǎng)站在線提交，這時也只能到學(xué)校提交。

為此，校園網(wǎng)的建設(shè)可采用多ISP連接的網(wǎng)絡(luò)訪問模式：在原有的教育網(wǎng)出口的基礎(chǔ)上增加一個當(dāng)?shù)豂SP（移動、聯(lián)通或電信寬帶ISP）出口，形成多ISP連接的校園網(wǎng)絡(luò)結(jié)構(gòu)，并且需學(xué)校的網(wǎng)絡(luò)中心在學(xué)校組建VPN服務(wù)器，供教職工在校外使用校內(nèi)資源。在組建VPN服務(wù)器時，使用當(dāng)?shù)豂SP出口，為校外的教職工提供VPN接入服務(wù)，因為校外教職工大多使用當(dāng)?shù)豂SP提供的ADSL寬帶業(yè)務(wù)。當(dāng)校外職工使用VPN接入學(xué)校的VPN服務(wù)器后，就可以訪問校園網(wǎng)與教育網(wǎng)上的資源，這將為教職工提供很大的便利。

2.VPN關(guān)鍵技術(shù)研究

⑴隧道技術(shù)：隧道是指在公用網(wǎng)建立一條數(shù)據(jù)通道，讓數(shù)據(jù)包通過這條隧道傳輸。隧道技術(shù)可分別以第2層或第3層隧道協(xié)議為基礎(chǔ)。第2層隧道協(xié)議對應(yīng)于OSI模型的數(shù)據(jù)鏈路層，使用幀作為數(shù)據(jù)交換單位。PPTP（點對點隧道協(xié)議）、L2TP（第二層隧道協(xié)議）和L2F（第2層轉(zhuǎn)發(fā)協(xié)議）都屬于第2層隧道協(xié)議，是將用戶數(shù)據(jù)封裝在點對點協(xié)議（PPP）幀中通過互聯(lián)網(wǎng)發(fā)送。第3層隧道協(xié)議對應(yīng)于OSI模型的網(wǎng)絡(luò)層，使用包作為數(shù)據(jù)交換單位。MPLS、SSL以及IPSec隧道模式屬于第3層隧道協(xié)議，是將IP包封裝在附加的IP包頭中，通過IP網(wǎng)絡(luò)傳送。無論哪種隧道協(xié)議都是由傳輸?shù)妮d體、不同的封裝格式以及用戶數(shù)據(jù)包組成的。它們的本質(zhì)區(qū)別在于，用戶的數(shù)據(jù)包是被封裝在哪種數(shù)據(jù)包中在隧道中傳輸。

⑵安全技術(shù)：VPN安全技術(shù)主要包括加解密技術(shù)、密鑰管理技術(shù)、使用者與設(shè)備身份認(rèn)證技術(shù)。加解密技術(shù)是數(shù)據(jù)通信中一項較成熟的技術(shù)，VPN可直接利用現(xiàn)有技術(shù)；密鑰管理技術(shù)的主要任務(wù)是如何在公用數(shù)據(jù)網(wǎng)上安全地傳遞密鑰而不被竊??；使用者與設(shè)備身份認(rèn)證技術(shù)最常用的是使用者名稱與密碼認(rèn)證等方式。

3.基于VPN技術(shù)的多出口校園網(wǎng)的設(shè)計

3.1 網(wǎng)絡(luò)結(jié)構(gòu)規(guī)劃

為了滿足可擴(kuò)展性和適應(yīng)性目標(biāo)，網(wǎng)絡(luò)結(jié)構(gòu)采用典型的層次化拓?fù)?，即核心層、分布層、訪問層。核心層路由器用于優(yōu)化網(wǎng)絡(luò)可用性和性能，主要承擔(dān)校園網(wǎng)的高速數(shù)據(jù)交換任務(wù)，同時要為各分布層節(jié)點提供最佳數(shù)據(jù)傳輸路徑；分布層交換機(jī)用于執(zhí)行策略，分別連接圖書館、辦公樓、實驗樓以及各院系；接入層通過低端交換機(jī)和無線訪問節(jié)點連接用戶。畢業(yè)論文。網(wǎng)絡(luò)拓?fù)鋱D如圖1所示。

圖1 網(wǎng)絡(luò)拓?fù)鋱D

3.2 網(wǎng)絡(luò)工作原理

在該組網(wǎng)方案中，學(xué)校通過核心層路由器分別接入教育網(wǎng)與Internet，然后通過一硬件防火墻與分布層交換機(jī)連接，分布層交換機(jī)負(fù)責(zé)連接圖書館、辦公樓、實驗樓以及各院系的接入層設(shè)備，校園網(wǎng)內(nèi)的終端計算機(jī)直接與接入層設(shè)備相連。終端計算機(jī)可直接使用教育網(wǎng)分配的IP地址。校園網(wǎng)內(nèi)有一臺安裝了ISAServer2006的VPN服務(wù)器，給其分配一個教育網(wǎng)IP地址（假設(shè)Ip：202.102.134.100，網(wǎng)關(guān)地址202.102.134.68），在防火墻中將一個公網(wǎng)地址（假設(shè)為222.206.176.12）映射到該地址。VPN服務(wù)器可通過“防火墻”與“核心層路由器”訪問Internet與教育網(wǎng)，Internet上的用戶，可以通過“Internet上的VPN客戶端—>Internet網(wǎng)絡(luò)—>核心層路由器—>防火墻—>分布層交換機(jī)—>ISA Server2006VPN服務(wù)器”的路線連接到VPN服務(wù)器，之后，ISAServer2006 VPN服務(wù)器通過防火墻和核心層路由器訪問教育網(wǎng)，并且ISA Server2006 VPN服務(wù)器通過分布層交換機(jī)提供了到學(xué)校內(nèi)網(wǎng)的訪問。

3.3 技術(shù)要點

⑴防火墻內(nèi)網(wǎng)地址問題。如果防火墻是透明模式接入，各個網(wǎng)口是不需要地址的。若防火墻是假透明，就需要給防火墻的每個網(wǎng)口配置同一個網(wǎng)段的IP。如果是路由模式，需要給防火墻的每個網(wǎng)口配置不同網(wǎng)段的IP，就象路由器一樣?，F(xiàn)在有一些防火墻已經(jīng)有所謂的混合模式，也就是透明和路由同時工作，這屬于路由模式的擴(kuò)展。畢業(yè)論文。

⑵VPN服務(wù)器的注意事項。ISA Server2006VPN服務(wù)器要求至少有“兩塊網(wǎng)卡”才能做VPN服務(wù)器，若服務(wù)器上只有一塊網(wǎng)卡，需為其安裝一塊“虛擬網(wǎng)卡”。另外，VPN服務(wù)器不一定要直接連接在分布層交換機(jī)上，也可以是圖書館、辦公樓、實驗樓以及各院系的一臺服務(wù)器，只要映射一個公網(wǎng)地址即可。

⑶設(shè)定ISA Server2006接受VPN呼叫。VPN 可通過默認(rèn)設(shè)置的動態(tài)主機(jī)配置協(xié)議（Dynamic Host Configuration Protocol，DHCP）或者通過使用路由選擇和遠(yuǎn)程訪問控制臺分配的一組地址來分配地址。如果選擇了DHCP，VPN客戶端永遠(yuǎn)不會同DHCP服務(wù)器進(jìn)行直接通信，運行ISA Server2006的VPN服務(wù)器將分配從DHCP服務(wù)器所獲得的地址；它將基于運行ISA Server2006的VPN 服務(wù)器的內(nèi)部接口配置來分配名稱服務(wù)器地址。如果擁有多個內(nèi)部接口，運行ISA Server的VPN 服務(wù)器將選擇其中之一。

⑷VPN客戶端地址的分配。在給VPN客戶端分配IP地址時，在為VPN客戶端分配IP地址的時候，要保證所分配的地址不能與VPN服務(wù)器本身以及VPN服務(wù)器所屬內(nèi)網(wǎng)、公網(wǎng)的地址沖突，否則VPN客戶端在訪問內(nèi)網(wǎng)時，會造成尋址問題而不能訪問。畢業(yè)論文。為了避免出現(xiàn)問題，直接分配私網(wǎng)的IP地址即可，比如192.168.14.0/24網(wǎng)段。另外，校園網(wǎng)外的教職工，在撥叫VPN服務(wù)器時，應(yīng)是防火墻映射的地址，本文中即222.206.176.12。

4.結(jié)束語

多出口是目前許多高校組建校園網(wǎng)時所采取的方式，多出口解決了教育網(wǎng)與Internet之間的出口速度很慢的問題，將VPN技術(shù)應(yīng)用到具有多出口的高校校園網(wǎng)，可以讓校外Internet用戶更容易、更方便的獲得對教育網(wǎng)、校園網(wǎng)數(shù)字資源的使用權(quán)。

參考文獻(xiàn)

[1]曹利峰,杜學(xué)繪,陳性元.一種新的IPsecVPN的實現(xiàn)方式研究[J].計算機(jī)應(yīng)用與軟件,2008,07

[2]賈毅峰.雙出口校園網(wǎng)中策略路由的應(yīng)用[J].銅仁學(xué)院學(xué)報,2009,11

[3]吳建國,王鐵,許興華.校園網(wǎng)雙(多)出口的基本解決策略和方法[J].云南師范大學(xué)學(xué)報,2010.01

篇（4）

 

背景需求分析

近年來，數(shù)字視頻監(jiān)控系統(tǒng)以其控制靈活、信息容量大、存儲和檢索便利等優(yōu)點逐步取代了傳統(tǒng)的模擬視頻監(jiān)控系統(tǒng)，被廣泛應(yīng)用于監(jiān)控、安防、質(zhì)檢等方面。隨著計算機(jī)及網(wǎng)絡(luò)技術(shù)的發(fā)展、普及和網(wǎng)絡(luò)帶寬的迅速擴(kuò)大，視頻監(jiān)控已經(jīng)發(fā)展到了網(wǎng)絡(luò)多媒體監(jiān)控系統(tǒng)，即將數(shù)字視頻監(jiān)控技術(shù)與網(wǎng)絡(luò)技術(shù)相結(jié)合，在現(xiàn)場監(jiān)控主機(jī)無人職守情況下，實現(xiàn)局域網(wǎng)或Internet遠(yuǎn)程監(jiān)控的功能。如此一來，將監(jiān)控信息從監(jiān)控中心釋放出來，從而提高了治理水平和效率。但假如遠(yuǎn)程訪問視頻監(jiān)控服務(wù)技術(shù)功能不足，則無法保證監(jiān)控信息所需的保密性和速度性，這該怎樣解決呢？VPN?（VirtualPrivate Networking）技術(shù)的出現(xiàn)，正好解決了該問題，實現(xiàn)了遠(yuǎn)程視頻監(jiān)控信息安全便利的傳輸。

經(jīng)調(diào)查發(fā)現(xiàn)，實現(xiàn)VPN遠(yuǎn)程視頻監(jiān)控系統(tǒng)較重視的需求為：

虛擬私有網(wǎng)絡(luò)VPN安全傳輸：完整的VPN網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)，最重要的需求是要讓各分支外點及本地局域網(wǎng)的監(jiān)控視頻能安全、實時的傳送到總公司監(jiān)控中心的治理服務(wù)器，統(tǒng)一作企業(yè)安全防護(hù)及報警。視頻監(jiān)控信息若不作加密處理就直接通過公眾互聯(lián)網(wǎng)進(jìn)行傳送，可能會造成企業(yè)內(nèi)部機(jī)密外露等問題。因此，需要建置完善的VPN傳輸，不僅可節(jié)約高昂的專線成本，還能得到安全穩(wěn)定的傳輸質(zhì)量。

穩(wěn)定良好的寬帶接入服務(wù)：將視頻監(jiān)控信息集成到VPN中，雖然可以確保得到安全穩(wěn)定的聯(lián)機(jī)，但VPN線路還是建立在公眾互聯(lián)網(wǎng)上，一但接入的寬帶線路不穩(wěn)定輕易掉線，也連帶影響到VPN的聯(lián)機(jī)質(zhì)量。穩(wěn)定良好的的寬帶接入服務(wù)或于運營商掉線斷網(wǎng)時可以實時提供備援的支持是必要的。

帶寬增級同時也能節(jié)省成本：多媒體視頻監(jiān)控系統(tǒng)包括視頻、音頻及相關(guān)數(shù)據(jù)的傳送，若要得到實時、順暢的傳送質(zhì)量，需要相當(dāng)大的帶寬才可達(dá)成，因此首先就面臨到帶寬的增級。如此就會導(dǎo)致線路成本的增加及可能的線路添加，帶來成本及治理上的諸多問題。這時，兼顧成本的考慮下，適當(dāng)?shù)木€路集成整合成為企業(yè)的需求。

網(wǎng)絡(luò)安全防攻擊防火墻：越來越多的攻擊及病毒，造成企業(yè)網(wǎng)絡(luò)安全的潛危機(jī)。一旦寬帶接入受到惡意攻擊影響網(wǎng)絡(luò)正常運作，輕則讓監(jiān)控信息傳輸效率大減，嚴(yán)重時發(fā)生整個網(wǎng)絡(luò)斷網(wǎng)，造成視頻監(jiān)控系統(tǒng)停擺的窘境。若是多購置防火墻，等于是增加成本，因此路由器中需要有適當(dāng)?shù)姆阑饓δ?，以進(jìn)行網(wǎng)絡(luò)安全的防護(hù)。

內(nèi)部上網(wǎng)行為管控避免影響重要傳輸：多數(shù)員工在上班時間通過BT等下載音樂電影，或是聊QQ、MSN等實時交流工具，不僅影響工作效率，也很大可能會造成帶寬被占用、影響監(jiān)控信息傳送速度降低影響監(jiān)控實時反應(yīng)，更嚴(yán)重是可能隨之而來的病毒、蠕蟲和木馬的威脅。有效而可靠的管制內(nèi)網(wǎng)用戶使用特定軟件是很必要的。

方便的配置及治理：當(dāng)今講求效率的時代，路由器也需要提供簡易配置好治理的配置接口設(shè)計，讓網(wǎng)管由繁復(fù)工作中解放。另外VPN客戶端大多不配備專業(yè)的網(wǎng)管，很多指令行的路由器給設(shè)置帶來了困擾，而想要對路由器進(jìn)行任一個操作，都必須找來專業(yè)的人員，這又為實時反應(yīng)帶來了變量。因此路由器的配置，最好使用直觀的配置接口及簡化的配置設(shè)計，即使不是是專門的網(wǎng)管人員經(jīng)簡單的培訓(xùn)后也可輕易上手，節(jié)省不必要的時間浪費。

VPN遠(yuǎn)程視頻監(jiān)控應(yīng)用

依據(jù)企業(yè)遠(yuǎn)程VPN視頻監(jiān)控系統(tǒng)服務(wù)需求及以上組網(wǎng)分析，具有高度性價比優(yōu)勢的多WAN VPN防火墻廠商俠諾科技，為遠(yuǎn)程VPN視頻監(jiān)控系統(tǒng)提出一完整的組網(wǎng)方案。

方案功能特點

多WAN端口接入?yún)R聚帶寬：Qno俠諾多WAN產(chǎn)品支持帶寬匯聚、自動線路備援等功能，多WAN口接入方式，讓企業(yè)有更大和彈性配置空間?？芍С侄嗑€路多ISP接入，不僅可以匯聚帶寬以節(jié)省成本，而且還可以實現(xiàn)線路備援、數(shù)據(jù)分流、負(fù)載均衡等效果。當(dāng)一條線路掉線，會自動改用另一個WAN連接端口的線路連接，確保VPN聯(lián)機(jī)不掉線，避免掉線時造成無形的損失與傷害。

強(qiáng)效防火墻有效防病毒攻擊：VPN防火墻，具備主動式封包檢測功能，只需單向啟動各式黑客攻擊、蠕蟲病毒防護(hù)功能，即可簡易完成配置，有效防止內(nèi)外網(wǎng)惡意攻擊，確保企業(yè)網(wǎng)絡(luò)安全，降低網(wǎng)絡(luò)受攻擊帶來的損失。具有內(nèi)建的防制ARP功能，憑借自動檢視封包的機(jī)制，偵測過濾可疑的封包，做為防制ARP攻擊的第一道防線?？纱钆銲P /MAC雙向綁定，在路由器端以內(nèi)網(wǎng)PC端進(jìn)行IP/MAC綁定，即可達(dá)到防堵ARP無漏洞的效果。論文參考網(wǎng)。

QoS帶寬治理優(yōu)化帶寬使用：視頻監(jiān)控多媒體傳輸需要有穩(wěn)定的帶寬，而少數(shù)BT下載等惡意占用帶寬造成網(wǎng)絡(luò)卡，經(jīng)常會造成客戶抱怨。讓人寬慰的是俠諾二代多元QoS帶寬治理功能，支持一周七天、一天三個時段采取不同的帶寬治理政策，依據(jù)不同的網(wǎng)絡(luò)應(yīng)用環(huán)境、時段，自由選擇管控方式，達(dá)到帶寬利用率最佳化的目的。該功能包含有傳統(tǒng)QoS帶寬管控及智能SmartQoS治理，可依據(jù)聯(lián)機(jī)數(shù)、要害字、最大或最小帶寬等方式進(jìn)行管控，也可啟動動態(tài)智能治理，對于非凡的應(yīng)用或用戶進(jìn)行非凡限制。這個功能并不禁止特定的應(yīng)用，只是加以限制，從而更彈性的提供帶寬服務(wù)。

輕松實現(xiàn)了中心管控：同時治理外點多條VPN接入聯(lián)機(jī)，對于大部分網(wǎng)管來說，是非常棘手的問題，尤其是必須反復(fù)留心查詢各點聯(lián)機(jī)狀況、帶寬使用率、視頻監(jiān)控等信息，更是耗費許多時間。而Qno俠諾多WAN VPN防火墻則輕松解決了上述問題，其所具備的中心控管功能，可一次看清全部VPN聯(lián)機(jī)的情況，再也不必一一地檢查聯(lián)機(jī)的狀況。若需進(jìn)一步協(xié)助設(shè)定或排解問題，網(wǎng)管也可直接進(jìn)入分點的治理接口查看或進(jìn)行設(shè)定治理，安全又有效率。

簡易又方便的系統(tǒng)治理：Qno俠諾多WAN VPN防火墻具有全中文化配置及治理界面，所有設(shè)定參數(shù)與組態(tài)清楚明確、簡單易懂，輕松完成網(wǎng)絡(luò)設(shè)置。還支持強(qiáng)大的系統(tǒng)日志功能，可通過對日志治理和查找，即時監(jiān)控系統(tǒng)狀態(tài)及內(nèi)外流量，進(jìn)而作對應(yīng)的配置，確保內(nèi)網(wǎng)運作無誤。

支持多VPN協(xié)議外點靈活選擇：Qno俠諾高階產(chǎn)品系列，可支持PPTP、IPSec VPN、SmartLinkVPN、QnoKey IPSec客戶端密鑰等多種連機(jī)方式，可滿足外點多種VPN彈性配置需求，實現(xiàn)總部中心端與各分點建構(gòu)實時、穩(wěn)定、安全的互連VPN網(wǎng)絡(luò)系統(tǒng)。由此可見，多通道多協(xié)議的特點完全能勝任企業(yè)擴(kuò)展及網(wǎng)絡(luò)視頻布點，而且外點可根據(jù)實際規(guī)劃與應(yīng)用，靈活選擇適用的方式接入中心端。

SmartLink VPN快速設(shè)定：俠諾SmartLinkVPN快速聯(lián)機(jī)，簡化20多復(fù)雜設(shè)置步驟，將大部份的設(shè)定參數(shù)的工作交由VPN網(wǎng)關(guān)自動完成，用戶只需要輸中心端服務(wù)器IP地址、用戶名、密碼三個參數(shù)，即可完成超快速VPN連機(jī)設(shè)定。

策略路由解決VPN跨網(wǎng)瓶頸：由于國內(nèi)長期存在電信、網(wǎng)通互連不互通的問題，許多企業(yè)建立VPN時會發(fā)生跨ISP網(wǎng)絡(luò)時帶寬不足，導(dǎo)致VPN不穩(wěn)定或易于掉線。俠諾多WAN口的設(shè)計，可搭配策略路由的設(shè)定，讓不同ISP外點可直接連到對應(yīng)VPN服務(wù)器入口，實現(xiàn)“電信走電信、網(wǎng)通走網(wǎng)通”，從而有效解決跨網(wǎng)受限問題。

指定路由強(qiáng)化網(wǎng)絡(luò)穩(wěn)定性：另外一方面，多WAN口的設(shè)計，也提供了訪問網(wǎng)絡(luò)快速穩(wěn)定的途徑。支持指定路由功能，可通過協(xié)議綁定，將特定的服務(wù)或應(yīng)用綁定在指定的端口，如WEB走WAN1，MAIL走WAN2等等，加速訪問速度，進(jìn)一步保障網(wǎng)絡(luò)的穩(wěn)定性。也可將VPN綁定特定端口，保證VPN通道的穩(wěn)定流暢。

總結(jié)

通過以上介紹，可以看出，Qno俠諾多WAN VPN防火墻產(chǎn)品多項功能，都體現(xiàn)了俠諾簡單、安全、快速的“3S”研發(fā)理念和貼近用戶需求的專心，幫助企業(yè)以較少的成本、時間與精力，達(dá)成高效、快速、安全的運營效能。非凡對于遠(yuǎn)程VPN視頻監(jiān)控服務(wù)來說，在帶寬、安全性穩(wěn)定性等多方面都有較高要求，VPN遠(yuǎn)程視頻監(jiān)控解決方案，可有效保持企業(yè)總部和分支機(jī)構(gòu)間的隧道暢通，進(jìn)而保證其服務(wù)的穩(wěn)定性和可靠度，提高安全監(jiān)控的視頻質(zhì)量，當(dāng)異常事件發(fā)生時，可以在第一時間進(jìn)行處理。論文參考網(wǎng)?？芍^是最省成本、且最方便的解決途徑。

春節(jié)假期，偶然在街上碰到大學(xué)同學(xué)小張。多年不見話題就多了，在了解到本人現(xiàn)在所從事的是網(wǎng)絡(luò)安全技術(shù)方面的工作后，他像是碰到了大救星，一個勁兒要請客吃飯。原來，他利用這幾年打工的儲蓄獨立創(chuàng)業(yè)，加盟了一家全國聞名的服裝連鎖店，連鎖總店要求必須部署VPN信息網(wǎng)絡(luò)。年前，他便按照要求進(jìn)行了統(tǒng)一購買了VPN設(shè)備，但是由于其設(shè)置和應(yīng)用過于復(fù)雜，對于作為網(wǎng)絡(luò)“外行”的人來說，實在是有點難以應(yīng)付。此外，因為金融危機(jī)的影響，為了壓縮人力資源成本，他暫時還沒有聘請專業(yè)網(wǎng)管的計劃，正為這事上火。論文參考網(wǎng)。

其實，這種問題在國內(nèi)數(shù)萬家中小連鎖企業(yè)的經(jīng)營治理過程中絕不是首例。產(chǎn)生這種矛盾的原因有兩點：專業(yè)化的高端設(shè)備滿足了企業(yè)的應(yīng)用需求，但是一般的兼職網(wǎng)管無法應(yīng)付其治理和維護(hù)；平民化的低端設(shè)備，使用和治理倒是比較簡單，卻達(dá)不到企業(yè)信息化治理的全面需求。VPN網(wǎng)絡(luò)是未來企業(yè)發(fā)展的大勢所趨，但當(dāng)務(wù)之急是為企業(yè)提供最為合適的設(shè)備，即要能兼具安全與簡便的基本特性。安全無須多說，簡便性就成了體現(xiàn)產(chǎn)品技術(shù)水平的最大差異化，也同樣彰顯了企業(yè)客戶在應(yīng)用上的突出需求之一。事實證實，其簡便的應(yīng)用特性非常貼近中小企業(yè)的需求現(xiàn)狀，得到了較好的市場效果。

篇（5）

2 綜合承載傳送網(wǎng)的組網(wǎng)結(jié)構(gòu)

綜合承載傳送網(wǎng)采用分層結(jié)構(gòu)組網(wǎng)，分為核心匯聚層和邊緣接入層。核心匯聚層組網(wǎng)結(jié)構(gòu)主要分為三種：環(huán)形組網(wǎng)、口字型組網(wǎng)和雙上聯(lián)組網(wǎng)。

山東聯(lián)通各地市組網(wǎng)主要采用環(huán)形和口字型組網(wǎng)方式。雙上聯(lián)組網(wǎng)和口字型組網(wǎng)結(jié)構(gòu)類似，但由于需要耗費大量的光纖資源或者波分波道資源，因此在實際組網(wǎng)時主要還是采用折中的口字型組網(wǎng)方式。

邊緣專業(yè)提供論文寫作和寫作論文的服務(wù)，歡迎光臨dylw.net接入層主要根據(jù)光纖資源情況，分為雙掛環(huán)形組網(wǎng)和單掛環(huán)形組網(wǎng)方式，一般光纖資源能保證的區(qū)域優(yōu)先選用雙掛方式，因為雙掛方式除了能實現(xiàn)傳統(tǒng)的路徑保護(hù)（1：1 LSP）外，還能實現(xiàn)雙歸保護(hù)，從而避免匯聚設(shè)備單點故障引起的大面積掉站。

3 業(yè)務(wù)承載方案

3.1 業(yè)務(wù)承載需求

山東聯(lián)通綜合承載傳送網(wǎng)主要有兩大類業(yè)務(wù)承載需求：

⑴基站回傳等自營業(yè)務(wù)或者系統(tǒng)的承載需求：

具備IP化、以太化基站的接入能力，提供高可靠、大容量的基站回傳流量的承載；

滿足LTE網(wǎng)絡(luò)的承載需求，實現(xiàn)基站間靈活互訪、基站多歸屬、基站組播等承載能力；

能夠滿足動力監(jiān)控、綜合業(yè)務(wù)接入網(wǎng)網(wǎng)管等各類系統(tǒng)的承載需求。

⑵政企業(yè)務(wù)或者大客戶的承載需求：

⑶提供高可靠、大容量的二、三層VPN接入能力，能夠滿足點到點、點到多點、多點到多點等二、三層VPN的組網(wǎng)需求；

⑷具備電路仿真能力，提供ATM/FR/DDN等電路的接入能力。

3.2 承載方案分析

山東聯(lián)通綜合承載傳送網(wǎng)的業(yè)務(wù)承載方案可歸結(jié)為三點：

⑴對于2G和3G基站的TDM業(yè)務(wù)，可以采用偽線方式一PWE3實現(xiàn)。并在核心節(jié)點采用CSTM1端口進(jìn)行匯聚。El業(yè)務(wù)一般采用SAToP方式，封裝幀數(shù)和抖動緩存暫按設(shè)備缺省值取定。

⑵對于TDM、以太網(wǎng)、ATM等大客戶專線，應(yīng)采用相應(yīng)的偽線方式實現(xiàn)。對于L3VPN的大客戶專線，可采用核心匯聚層L3VPN加邊緣接入層偽線、層次化L3VPN等兩種方式實現(xiàn)。

⑶對于未來的LTE業(yè)務(wù)，分組傳送網(wǎng)絡(luò)需要承載s1和X2接口的流量。業(yè)務(wù)對IP轉(zhuǎn)發(fā)的層面要求將進(jìn)一步下移?？刹捎煤诵膮R聚層L3VPN或?qū)哟位疞3VPN到邊緣的方式。

不同廠家對于3G IP業(yè)務(wù)承載方案的推薦會有所不同，就山東聯(lián)通而言，基站數(shù)據(jù)域業(yè)務(wù)承載方式主要存在兩種，（1）L3VPN部署到邊緣-華為主推；（2）L3VPN部署到匯聚-中興和貝爾主推。兩者各有優(yōu)勢，L3VPN部署到邊緣需要為基站互聯(lián)端口分配IP地址，根據(jù)目前3G基站的IP地址分配規(guī)則，會涉及大量基站的IP地址調(diào)整，但符合中遠(yuǎn)期網(wǎng)絡(luò)的演進(jìn)思路；L3VPN部署到匯聚，基站IP地址的調(diào)整量將大大減少，與現(xiàn)有MSTP提供3G移動回傳FE的業(yè)務(wù)提供方式、維護(hù)方式相似度高，利于分組傳送技術(shù)引入后網(wǎng)絡(luò)運行維護(hù)的逐步過渡。

山東聯(lián)通綜合承載傳送網(wǎng)的業(yè)務(wù)承載方案如圖3和圖4：

4 綜合承載傳送網(wǎng)與RNC的互聯(lián)方案

目前，山東聯(lián)通2G/3G基站的電路域業(yè)務(wù)在核心機(jī)房均通過155M電路與BSC/RNC直接相連。3G基站的分組專業(yè)提供論文寫作和寫作論文的服務(wù)，歡迎光臨dylw.net域業(yè)務(wù)與RNC對接現(xiàn)網(wǎng)有兩種方式，一種是RNC直接與分組承載傳送網(wǎng)業(yè)務(wù)匯聚設(shè)備互連，另一種是RNC通過CE與分組承載傳送網(wǎng)互連。

在RNC直接與分組承載傳送網(wǎng)互聯(lián)情況下，若RNC的GE或STM-1接口不足，可采用以下方式：

4.1 RNC接入端口擴(kuò)容

通過對RNC的GE和STM-1端口成對擴(kuò)容，滿足與分組承載傳送網(wǎng)業(yè)務(wù)互聯(lián)的需求，同時可以減少對已有3G業(yè)務(wù)的影響。通過逐步割接，可將現(xiàn)有以MSTP網(wǎng)絡(luò)承載的3G分組業(yè)務(wù)割接到分組承載傳送網(wǎng)上。

4.2 RNC接入端口不方便擴(kuò)容

應(yīng)將MSTP上的分組業(yè)務(wù)在匯聚層或核心層直接割接到分組承載傳送網(wǎng)上。通過分組承載傳送網(wǎng)設(shè)備與RNC相連。

就山東聯(lián)通目前的組網(wǎng)而言，由于還存在著大規(guī)模的2G/3G基站采用MSTP傳輸接入，在一定的時間段內(nèi)無法保證IP化，因此還存在著核心設(shè)備與RNC有大量的CSTM-1口對接，RNC的擴(kuò)容在未來2-3年內(nèi)也將繼續(xù)進(jìn)行，也會帶來一定規(guī)模的GE口擴(kuò)容，因此中大型地市的綜合承載網(wǎng)與RNC互聯(lián)通過分組業(yè)務(wù)匯聚設(shè)備顯得更為合理。

5 傳輸背景人員快速融入IP RAN維護(hù)

引入分組傳送技術(shù)后，整個綜合承載傳送網(wǎng)解決方案都是以數(shù)通技術(shù)作為基礎(chǔ)，如何使傳輸背景人員快速融入IPRAN的建設(shè)維護(hù)顯得尤為重要，結(jié)合實際工作，建議從以下幾個方面入手：

5.1 比較傳統(tǒng)傳輸理念和IP化理念的異同

傳統(tǒng)的MSTP網(wǎng)絡(luò)屬于硬管道交換，所有業(yè)務(wù)都是建立端到端的連接通道占用固定帶寬，

但是綜合承載傳送不一樣，它既繼承了傳輸端到端OAM的特性，又有數(shù)據(jù)網(wǎng)絡(luò)逐跳建立連接的特性，整個網(wǎng)絡(luò)是一張彈性的網(wǎng)。我們可以借助傳統(tǒng)IP城域網(wǎng)的理念去類比IPRAN技術(shù)的相關(guān)概念，深入理解數(shù)通相關(guān)知識。

5.2 深刻認(rèn)識全程全網(wǎng)和端到端業(yè)務(wù)理念

與傳統(tǒng)的MSTP一樣，綜合承載傳送網(wǎng)也需要建立端到端業(yè)務(wù)的概念，我們不僅僅需要理解分組網(wǎng)絡(luò)是如何進(jìn)行信息傳遞的，而且還需要把無線接入和核心網(wǎng)納入到我們關(guān)注的范圍，從NODEB和UTN如何連接，RNC與UTN如何對接，整個數(shù)據(jù)流進(jìn)入UTN以后如何進(jìn)行封裝傳送等等，理解整個UTN、在配置數(shù)據(jù)排除故專業(yè)提供論文寫作和寫作論文的服務(wù)，歡迎光臨dylw.net障時才能得心應(yīng)手。

5.3 認(rèn)真學(xué)習(xí)實施方案

建議在工程建設(shè)期間認(rèn)真學(xué)習(xí)具體的實施方案，一般而言，廠家會根據(jù)設(shè)計文件完成具體的實施方案，從組網(wǎng)方案、拓?fù)湓O(shè)計及設(shè)備選型、IP地址規(guī)劃、路由部署設(shè)計、MPLS隧道設(shè)計、業(yè)務(wù)部署設(shè)計、可靠性設(shè)計、時鐘/網(wǎng)管同步設(shè)計、QOS部署設(shè)計等等。這個過程可以幫助你學(xué)習(xí)完成一張網(wǎng)搭建所需的所有知識。

5.4 熟練掌握網(wǎng)管

網(wǎng)管需要掌握相關(guān)的數(shù)通知識，如I-SIS/BGP/MPLS/VPN/RSVP TE等等，需要對解決方案中用到的知識點有個較深入的理解，另外一方 面我們又要熟練掌握網(wǎng)管的相關(guān)操作，在IPRAN的維護(hù)習(xí)慣上，我們更偏向于網(wǎng)管操作，不會像傳統(tǒng)數(shù)通設(shè)備維護(hù)那樣通過命令行進(jìn)行操作，但是網(wǎng)管操作的基礎(chǔ)又是數(shù)通知識，因為網(wǎng)管只是提供一個界面，提升效率，真正要配置的還是數(shù)通協(xié)議。理論和網(wǎng)管是IPRAN的兩個關(guān)鍵點，兩者相輔相成缺一不可，所以我們要同時加強(qiáng)這兩方面的技能。

5.5 工程隨工學(xué)習(xí)

更多的現(xiàn)場隨工學(xué)習(xí)可以幫助你快速提升，深入現(xiàn)場多操作設(shè)備，通過實際對比分IPRAN技術(shù)與MSTP傳統(tǒng)傳輸?shù)膮^(qū)別。工程建設(shè)期的隨工是一個很好的機(jī)會，因為工程建設(shè)期不用擔(dān)心業(yè)務(wù)是否受影響，操練起來能更充分。

6 結(jié)束語

篇（6）

    引言

    虛擬專用網(wǎng)即VPN(Virtual Private Network)是利用接入服務(wù)器(Access Sever)、廣域網(wǎng)上的路由器以及VPN專用設(shè)備在公用的WAN上實現(xiàn)虛擬專用網(wǎng)技術(shù)。通常利internet上開展的VPN服務(wù)被稱為IPVPN。

    利用共用的WAN網(wǎng),傳輸企業(yè)局域網(wǎng)上的信息,一個關(guān)鍵的問題就是信息的安全問題。為了解決此問題,VPN采用了一系列的技術(shù)措施來加以解決。其中主要的技術(shù)就是所謂的隧道技術(shù)。

    1. 隧道技術(shù)

    Internet中的隧道是邏輯上的概念。假設(shè)總部的LAN上和分公司的LAN上分別連有內(nèi)部的IP地址為A和B的微機(jī)?？偛亢头止镜絀SP的接入點上的配置了VPN設(shè)備。它們的全局IP地址是C和D。假定從微機(jī)B向微機(jī)A發(fā)送數(shù)據(jù)。在分公司的LAN上的IP分組的IP地址是以內(nèi)部IP地址表示的"目的地址A""源地址B"。因此分組到達(dá)分公司的VPN設(shè)備后,立即在它的前部加上與全局IP地址對應(yīng)的"目的地址C"和"源地址D"。全局IP地址C和D是為了通過Internet中的若干路由器將IP分組從VPN設(shè)備從D發(fā)往VPN設(shè)備C而添加的。此IP分組到達(dá)總部的VPN設(shè)備C后,全局IP地址即被刪除,恢復(fù)成IP分組發(fā)往地址A。由此可見,隧道技術(shù)就是VPN利用公用網(wǎng)進(jìn)行信息傳輸?shù)年P(guān)鍵。為此,還必須在IP分組上添加新頭標(biāo),這就是所謂IP的封裝化。同時利用隧道技術(shù),還必須使得隧道的入口與出口相對地出現(xiàn)。

    基于隧道技術(shù)VPN網(wǎng)絡(luò),對于通信的雙方,感覺如同在使用專用網(wǎng)絡(luò)進(jìn)行通信。

    2. 隧道協(xié)議

    在一個分組上再加上一個頭標(biāo)被稱為封裝化。對封裝化的數(shù)據(jù)分組是否加密取決于隧道協(xié)議。因此,要成功的使用VPN技術(shù)還需要有隧道協(xié)議。

    2.1 當(dāng)前主要的隧道協(xié)議以及隧道機(jī)制的分類:

    ⑴ L2F(Layer 2 Forwarding)

    L2F是cisco公司提出的隧道技術(shù),作為一種傳輸協(xié)議L2F支持撥號接入服務(wù)器。將撥號數(shù)據(jù)流封裝在PPP幀內(nèi)通過廣域網(wǎng)鏈路傳送到L2F服務(wù)器(路由器).

    ⑵ PTP(Point to point Tunnelimg protocol)

    PPTP協(xié)議又稱為點對點的隧道協(xié)議。PPTP協(xié)議允許對IP,IPX或NETBEUT數(shù)據(jù)流進(jìn)行加密,然后封裝在IP包頭中通過企業(yè)IP網(wǎng)絡(luò)或公共互連網(wǎng)絡(luò)傳送。

    ⑶ 2TP(Layer 2 Tunneling Protocol)

    該協(xié)議是遠(yuǎn)程訪問型VPN今后的標(biāo)準(zhǔn)協(xié)議。

    L2F、PPTP、L2TP共同特點是從遠(yuǎn)程客戶直至內(nèi)部網(wǎng)入口的VPN設(shè)備建立PPP連接,端口用戶可以在客戶側(cè)管理PPP。它們除了能夠利用內(nèi)部IP地址的擴(kuò)展功能外,還能在VPN上利用PPP支持的多協(xié)議通信功能,多鏈路功能及PPP的其他附加功能。因此在Internet上實現(xiàn)第二層連接的PPPSecsion的隧道協(xié)議被稱作第二層隧道。對于不提供PPP功能的隧道協(xié)議都由標(biāo)準(zhǔn)的IP層來處理,稱其為第三層隧道,以區(qū)分于第二層隧道。

    ⑷ TMP/BAYDVS

    ATMP和BaydVs(Bay Dial VPN Service)是基于ISP遠(yuǎn)程訪問的VPN協(xié)議,它部分采用了移動IP的機(jī)制。ATMP以GRE實現(xiàn)封裝化,將VPN的起點和終點配置ISP內(nèi)。因此,用戶可以不裝與VPN想適配的軟件。

    ⑸ PSEC

    IPSEC規(guī)定了在IP網(wǎng)絡(luò)環(huán)境中的安全框架。該規(guī)范規(guī)定了VPN能夠利用認(rèn)證頭標(biāo)(AH:Authmentication Header)和封裝化安全凈荷(ESP:Encapsnlating Security Paylamd)。

    IPSEC隧道模式允許對IP負(fù)載數(shù)據(jù)進(jìn)行加密,然后封裝在IP包頭中,通過企業(yè)IP網(wǎng)絡(luò)或公共IP互聯(lián)網(wǎng)絡(luò)如INTERNET發(fā)送。

    從以上的隧道協(xié)議,我們可以看出隧道機(jī)制的分類是根據(jù)虛擬數(shù)據(jù)鏈絡(luò)層的網(wǎng)絡(luò),DSI七層網(wǎng)絡(luò)中的位置,將自己定義為第二層的隧道分類技術(shù)。按照這種劃分方法,從此產(chǎn)生了"二層VPN "與"三層VPN"的區(qū)別。但是隨著技術(shù)的發(fā)展,這樣的劃分出現(xiàn)了不足,比如基于會話加密的SSLVPN技術(shù)[2]、基于端口轉(zhuǎn)發(fā)的HTTPTunnel[1]技術(shù)等等。如果繼續(xù)使用這樣的分類,將出現(xiàn)"四層VPN"、"五層VPN",分類教為冗余。因此,目前出現(xiàn)了其他的隧道機(jī)制的分類。

    2.2 改進(jìn)后的幾種隧道機(jī)制的分類

    ⑴ J.Heinanen等人提出的根據(jù)隧道建立時采用的接入方式不同來分類,將隧道分成四類。分別是使用撥號方式的VPN,使用路由方式的VPN,使用專線方式的VPN和使用局域網(wǎng)仿真方式的VPLS。

    例如同樣是以太網(wǎng)的技術(shù),根據(jù)實際情況的不同,可能存在PPPOE、MPLSYBGP、MSIP、或者IPSEC等多種VPN組網(wǎng)方式所提供的網(wǎng)絡(luò)性能將大有區(qū)別,因此按照接入方式不同來分類也無法表示這幾種方式在網(wǎng)絡(luò)性能上的差異,由此將引起在實際應(yīng)用中對VPN技術(shù)選型造成誤導(dǎo)。

    ⑵ 由于網(wǎng)絡(luò)性能是所有網(wǎng)絡(luò)技術(shù)的重要評價標(biāo)準(zhǔn)。根據(jù)隧道建立的機(jī)制對網(wǎng)絡(luò)性能的影響不同,可以將隧道分成封裝型隧道和隔離型隧道的VPN分類方法。封裝型隧道技術(shù)是利用封裝的思想,將原本工作在某一層的數(shù)據(jù)包在包頭提供了控制信息與網(wǎng)絡(luò)信息,從而使重新封裝的數(shù)據(jù)包仍能夠通過公眾網(wǎng)絡(luò)傳遞。例如L2TP就是典型的封裝型隧道。

    隔離型隧道的建立,則是參考了數(shù)據(jù)交換的原理,根據(jù)不同的標(biāo)記,直接將數(shù)據(jù)分發(fā)到不同的設(shè)備上去。由于不同標(biāo)記的數(shù)據(jù)包在進(jìn)入網(wǎng)絡(luò)邊緣時已經(jīng)相互隔離,如果接入網(wǎng)絡(luò)的數(shù)據(jù)包也是相互隔離的就保證了數(shù)據(jù)的安全性,例如LSVPN。從性能上看,使用封裝型隧道技術(shù)一般只能提供點對點的通道,而點對多點的業(yè)務(wù)支持能力教差,但是可擴(kuò)展性,靈活性具有優(yōu)勢。

    采用隔離型隧道技術(shù),則不存在以上問題,可以根據(jù)實際需要,提供點對點,點對多點,多點對多點的網(wǎng)絡(luò)拓?fù)洹?/p>

    3. 諸種安全與加密技術(shù)

    IPVPN技術(shù),由于利用了Internet網(wǎng)絡(luò)傳輸總部局域網(wǎng)的內(nèi)部信息,使得低成本,遠(yuǎn)距離。但隨之而來的是由于Internet技術(shù)的標(biāo)準(zhǔn)化和開放性,導(dǎo)致威脅網(wǎng)絡(luò)的安全。雖然可采取安全對策的訪問控制來提高網(wǎng)絡(luò)的安全性,但黑客仍可以從世界上任何地方對網(wǎng)絡(luò)進(jìn)行攻擊,使得在IPVPN的網(wǎng)點A和網(wǎng)點B之間安全通信受到威脅。因此,利用IPVPN通信時,應(yīng)比專線更加注意Internet接入點的安全。為此,IPVPN采用了以下諸種安全與加密技術(shù)。[2]

    ⑴ 防火墻技術(shù)

    防火墻技術(shù),主要用于抵御來自黑客的攻擊。

    ⑵ 加密及防止數(shù)據(jù)被篡改技術(shù)

    加密技術(shù)可以分為對稱加密和非對稱加密(專用密鑰號與公用密鑰)。對稱加密(或?qū)Ｓ眉用?也稱常規(guī)加密,由通信雙方共享一個秘密密鑰。

    非對稱加密,或公用密鑰,通信雙方使用兩個不同的密鑰,一個是只有發(fā)送方知道的專用密鑰,另一個則是對應(yīng)的公用密鑰。任何一方都可以得到公用密鑰?；谒淼兰夹g(shù)的VPN虛擬專用網(wǎng),只有采用了以上諸種技術(shù)以后,才能夠發(fā)揮其良好的通信功能。

    參考文獻(xiàn)

篇（7）

圖書館在使用過程中由于涉及到版權(quán)保護(hù)，容易導(dǎo)致異地用戶或者外網(wǎng)用戶無法對其資源進(jìn)行訪問。為了解決此問題，一個典型的遠(yuǎn)程訪問技術(shù)VPN(虛擬專用網(wǎng))正在被越來越廣泛的使用。本文在介紹虛擬專用網(wǎng)技術(shù)的基礎(chǔ)上，給出了基于VPN的圖書館資源遠(yuǎn)程訪問解決方案。

1 VPN技術(shù)簡介

VPN即虛擬專用網(wǎng)，SSL VPN是VPN的一種。其實現(xiàn)軟件既可以安裝在現(xiàn)有服務(wù)器上也可以固化在專業(yè)的硬件上?；谔摂M專用網(wǎng)的圖書館數(shù)字資源訪問技術(shù)優(yōu)勢集中體現(xiàn)在以下幾個方面:

虛擬專用網(wǎng)的簡單性。SSL VPN是最簡單的一種解決遠(yuǎn)程用戶訪問圖書館的形式。原因在于SSL協(xié)議是內(nèi)嵌于用戶瀏覽器中的，因此就舍去了客戶端上安裝軟件的步驟，用戶只需連接Internet，就能通過網(wǎng)頁訪問圖書館資源。因此，通過VPN就可以在外網(wǎng)用戶和圖書館之間的建立一條專用的數(shù)據(jù)傳輸通道，客戶對資源的任何訪問均需進(jìn)行安全的身份驗證。

虛擬專用網(wǎng)的安全性。采取SSL VPN，攻擊者難以偵測出系統(tǒng)網(wǎng)絡(luò)設(shè)置，攻擊機(jī)會就會降低許多。通過SSL VPN進(jìn)行連接，還能夠在很大程度上低于病毒的侵害，保證了圖書館信息系統(tǒng)的安全運行。

保護(hù)敏感的數(shù)據(jù)。結(jié)合不同用戶的身份，賦予其相應(yīng)的訪問權(quán)限。通過用戶劃分，降低客戶端的維護(hù)工作量，保護(hù)了敏感數(shù)據(jù)，同時也實現(xiàn)虛擬專用網(wǎng)在圖書館應(yīng)用的快速部署。

擴(kuò)展性強(qiáng)。隨著網(wǎng)絡(luò)的擴(kuò)張，虛擬專用網(wǎng)可以實現(xiàn)靈活的擴(kuò)展。如果圖書館需要添加新的用戶或新的子網(wǎng)，只需在VPN服務(wù)器上對已有網(wǎng)絡(luò)軟件配置進(jìn)行相應(yīng)的修改即可。

2 基于VPN的遠(yuǎn)程訪問模式設(shè)計

2.1 SSL VPN 的具體部署方案

圖書館的SSL VPN所部署的位置是內(nèi)網(wǎng)的防火墻后面，結(jié)合具體的安全控制策略，為那些位置分散的用戶架設(shè)從公網(wǎng)進(jìn)入圖書館內(nèi)網(wǎng)信息資源的訪問途徑。通常采取的方式為:對圖書館內(nèi)網(wǎng)的信息資源服務(wù)器進(jìn)行設(shè)置，使之為位于外部網(wǎng)絡(luò)的用戶提供虛擬地址，當(dāng)位于外網(wǎng)的用戶根據(jù)所提供的虛擬URL對圖書館內(nèi)網(wǎng)資源進(jìn)行訪問時，由SSL VPN網(wǎng)關(guān)獲取來自用戶發(fā)起的連接，同時為遠(yuǎn)程客戶與服務(wù)器之間建立加密、解密的隧道，同時采取一定的訪問控制策略，通過對用戶信息進(jìn)行認(rèn)證后，向不同的應(yīng)用服務(wù)器進(jìn)行映射。

結(jié)合圖書館用戶的實際情況，(大部分圖書館用戶均屬于公網(wǎng)用戶)，在本文的設(shè)計中，以思科公司的產(chǎn)品應(yīng)用為例，選擇CiscoASA5510設(shè)備，利用其SSL VPN功能，布署于公網(wǎng)和策略分流交換機(jī)之間。具體的做法是:以思科CiscoASA 5510服務(wù)器實現(xiàn)Web VPN功能，用戶身份的驗證由Radius Server服務(wù)器實現(xiàn)，處于外網(wǎng)的用戶通過所在的網(wǎng)絡(luò)服務(wù)商接入互聯(lián)網(wǎng)，之后向WebVPN服務(wù)器發(fā)出身份驗證的請求，身份驗證通過以后，就可以對圖書館內(nèi)網(wǎng)的圖書資源進(jìn)行訪問。思科CiscoASA 5510服務(wù)器的外網(wǎng)接口與因特網(wǎng)相連，為此接口配置公網(wǎng)的IP地址，位于圖書館外網(wǎng)的用戶可以通過公網(wǎng)地址對其進(jìn)行訪問，服務(wù)器的內(nèi)網(wǎng)接口連接策略分流交換機(jī)，為此接口配置圖書館內(nèi)網(wǎng)IP地址，使之可以和 Radius Server服務(wù)器進(jìn)行通訊，實現(xiàn)用戶身份的驗證，用戶通過驗證之后，就會被分配一個圖書館內(nèi)網(wǎng)的IP地址，就可以對圖書館資源服務(wù)器群進(jìn)行訪問了。

2.2 SSL VPN的主要配置過程

以思科ASA5510內(nèi)置的SSL VPN功能構(gòu)建基于網(wǎng)絡(luò)的虛擬專用網(wǎng)服務(wù)器，需要設(shè)置的內(nèi)容包括DNS、網(wǎng)關(guān)和SSL VPN的接口地址等，在初始化設(shè)置之后，為共享圖書資源，還需要配置SSL VPN設(shè)備，下面對幾個關(guān)鍵的配置進(jìn)行介紹。 轉(zhuǎn)貼于

2.2.1 用戶認(rèn)證服務(wù)器的添加

因為只能允許一些特定的注冊用戶作為合法的外網(wǎng)用戶，所以，為了對用戶進(jìn)行身份的確認(rèn)，必須提供用戶名和密碼。圖書館遠(yuǎn)程訪問的權(quán)限包括SSL VPN的使用期限和用戶的并發(fā)數(shù)。本文所選取的思科ASA5510服務(wù)器能夠兼容多種身份認(rèn)證協(xié)議，系統(tǒng)的管理員可以結(jié)合單位內(nèi)部的認(rèn)證服務(wù)器進(jìn)行認(rèn)證，也可以使用SSL VPN 內(nèi)部的自建帳號進(jìn)行認(rèn)證，本文推薦采用的認(rèn)證協(xié)議是Radius， 進(jìn)行如下配置:

#啟用radius協(xié)議認(rèn)證

#配置radius服務(wù)器的使用的key和IP 地址

#應(yīng)用于內(nèi)網(wǎng)口，配置VPN組使用radius協(xié)議

2.2.2 增設(shè)內(nèi)網(wǎng)資源和訪問資源

在系統(tǒng)的資源管理中增設(shè)Web資源或APP資源。例如，在”姓名”一欄中寫入用戶專屬的名字，例如”圖書館資源網(wǎng)”;在”描述”一欄中寫入描述內(nèi)容;在”地址”一欄中寫入訪問網(wǎng)站的主機(jī)域名或是IP地址。然后執(zhí)行”Everything under this Url”和“Auto-allow Bookmark”，執(zhí)行完畢后，對學(xué)術(shù)期刊網(wǎng)的遠(yuǎn)程訪問設(shè)置進(jìn)行保存。

2.2.3 用戶角色管理的設(shè)置

這一步驟的主要內(nèi)容是為用戶建立不同訪問權(quán)限的角色，并將這些角色與圖書資源進(jìn)行關(guān)聯(lián)。這樣，就能讓不同角色的用戶在成功登陸SSL之后，能夠?qū)ο鄳?yīng)角色所具有權(quán)限的圖書館資源進(jìn)行訪問。因為本文所選擇的身份認(rèn)證是Radius協(xié)議，所以由radius服務(wù)器來完成用戶的建立和管理，此時思科ASA5510并不需要對本地用戶進(jìn)行建立，用戶管理的工作量顯著降低了。

2.2.4 外網(wǎng)用戶的訪問

因為圖書館內(nèi)網(wǎng)的ASA5510服務(wù)器與公網(wǎng)相連，所以對外提供Web VPN的地址就是外網(wǎng)口的 IP 地址。具有用戶身份的外網(wǎng)用戶在連接到因特網(wǎng)之后，輸入圖書館內(nèi)網(wǎng)地址就會接收到圖書館 SSL VPN的界面，用戶根據(jù)提示輸入ID和密碼，結(jié)果服務(wù)器認(rèn)證后，就能夠得到圖書館內(nèi)網(wǎng)的 IP地址以對圖書館資源進(jìn)行訪問。

3 結(jié)語

虛擬專用網(wǎng)是目前網(wǎng)絡(luò)應(yīng)用發(fā)展的趨勢，隨著信息技術(shù)的發(fā)展和寬帶應(yīng)用的普及，人們對網(wǎng)絡(luò)依賴的日益增強(qiáng)，虛擬專用網(wǎng)應(yīng)用也將變得更加廣泛。對于圖書館服務(wù)而言，VPN正在得到廣泛的推廣與應(yīng)用，既能夠為圖書館之間的資源共享提供網(wǎng)絡(luò)傳輸途徑，又可以為遠(yuǎn)程異地用戶提供資源服務(wù)，提高了圖書館資源利用效率，必將成為未來圖書館的發(fā)展方向。

參考文獻(xiàn)

[1] 張穎.利用VPN技術(shù)實現(xiàn)圖書館信息資源遠(yuǎn)程訪問[J].情報探索，2008(7)69～70.

篇（8）

中圖分類號：TP393 文獻(xiàn)標(biāo)識碼：A文章編號：2095-2163（2013）02-0032-03

0引言

隨著信息化進(jìn)程的加快，各個高校對校園信息化投入不斷增加，致力于建成數(shù)據(jù)交換與共享的數(shù)字化校園平臺。雖然目前很多學(xué)校已經(jīng)擁有了應(yīng)用管理系統(tǒng)、數(shù)據(jù)資源庫系統(tǒng)、公共通訊平臺，但這些網(wǎng)絡(luò)資源和辦公平臺常常受到網(wǎng)絡(luò)的限制，只能在校園內(nèi)部使用。本校2012年師生問卷調(diào)查顯示：居住在外的教師、經(jīng)常出差的行政辦公人員以及在外實習(xí)的大四畢業(yè)生對于校外不能訪問校內(nèi)數(shù)字化資源，均已感到極為不便。具體來說，教師在外網(wǎng)不能登錄學(xué)習(xí)平臺批改作業(yè)；行政人員出差時，不能獲取部門統(tǒng)計數(shù)據(jù)；大四未在校的學(xué)生不能通過畢業(yè)設(shè)計系統(tǒng)提交論文。這些狀況即已表明目前校園的基礎(chǔ)網(wǎng)絡(luò)及其實現(xiàn)方案存在一定的不足，亟需新技術(shù)的應(yīng)用以解決校園外部訪問校內(nèi)數(shù)字化資源的問題。經(jīng)過廣泛，深入的調(diào)研分析可知，VPN（Virtual Private Network）正是解決這一瓶頸的技術(shù)方案。

1VPN 的原理及SSL VPN方案的優(yōu)勢

11VPN原理

VPN，即虛擬專用網(wǎng)絡(luò)，其含義指通過使用公共網(wǎng)絡(luò)基礎(chǔ)設(shè)施，利用“隧道”技術(shù)、認(rèn)證技術(shù)、加密技術(shù)以及控制訪問等相應(yīng)技術(shù)向單位內(nèi)部專用網(wǎng)絡(luò)提供遠(yuǎn)程訪問的連接方式[1]。VPN利用公用網(wǎng)絡(luò)來實現(xiàn)任意兩個節(jié)點之間的專有連接，適用于移動用戶、分支機(jī)構(gòu)以及遠(yuǎn)程用戶安全、穩(wěn)定地接入到內(nèi)部網(wǎng)絡(luò)。同時，VPN還向用戶提供了專用網(wǎng)絡(luò)所獨具的功能，但其本身卻不是一種真正意義上的獨立物理網(wǎng)絡(luò)，沒有固定物理線路連接。近年來，VPN技術(shù)已經(jīng)大量應(yīng)用于高校的移動辦公，并且在數(shù)字化資源的多校區(qū)數(shù)據(jù)訪問方面也有著廣泛應(yīng)用。VPN遠(yuǎn)程訪問的思路是，用戶在網(wǎng)絡(luò)覆蓋的任意地點，首先，通過ADSL或者LAN方式接入互聯(lián)網(wǎng)；其后，通過撥號校園網(wǎng)的VPN網(wǎng)關(guān)，構(gòu)建一條從用戶所在網(wǎng)絡(luò)地址到校園網(wǎng)的二層隧道；而后是VPN服務(wù)器給用戶分配相應(yīng)的校園網(wǎng)地址，從而實現(xiàn)校園網(wǎng)數(shù)字化資源的遠(yuǎn)程訪問[2]。

12兩種VPN方案的對比

按照協(xié)議劃分，VPN主要有兩大主流，分別是IPsec VPN和SSL VPN。IPsec VPN技術(shù)是由IP安全體系架構(gòu)協(xié)議來提供隧道的安全保障，IPsec協(xié)議是一組協(xié)議套件，包括安全協(xié)議、加密算法、認(rèn)證算法、密鑰管理協(xié)議等[3]。IPsec VPN構(gòu)建于網(wǎng)絡(luò)層，通過對數(shù)據(jù)的加密和認(rèn)證來保證數(shù)據(jù)傳輸?shù)目煽啃浴⒈Ｃ苄院退接行?，最適合Site to Site之間的虛擬專用網(wǎng)。相比之下，SSL VPN采用的是SSL安全套接層協(xié)議，構(gòu)建于網(wǎng)絡(luò)的應(yīng)用層。SSL VPN方案無需安裝客戶端軟件，經(jīng)過認(rèn)證的用戶是通過Web瀏覽器而接入網(wǎng)絡(luò)，適用于Point to Site的連接方式?？傮w來看，相比于IPsec VPN方案，SSL VPN方案有三點優(yōu)勢，具體如下。

（1）兼容性較好。SSL VPN適用于現(xiàn)存的各款操作系統(tǒng)和使用終端，對用戶也無任何特殊的操作要求。用戶不需要下載客戶端，由此免去了對客戶端軟件的更新升級、配置維護(hù)，否則，在進(jìn)行VPN策略調(diào)整的時候，其管理難度將呈幾何級數(shù)的增長。SSL VPN方案只需在普通的瀏覽器中內(nèi)嵌入SSL協(xié)議，就可以使客戶端簡便、安全地訪問內(nèi)網(wǎng)信息，維護(hù)成本較低。

（2）提供更為精細(xì)的訪問控制。由于校園網(wǎng)內(nèi)、外部流量均經(jīng)過VPN硬件設(shè)備，由此在服務(wù)器端就可以控制其資源以及URL的訪問。SSL VPN方案具備接入控制的功能，可提供用戶級別鑒定，確證只有一定權(quán)限之上的用戶才能訪問校園網(wǎng)內(nèi)的特定網(wǎng)絡(luò)資源。比如大四在外的實習(xí)學(xué)生只具有期刊檢索的訪問功能，而在外的辦公行政人員還可以訪問某個特定部門的相關(guān)數(shù)據(jù)。

（3）具備更強(qiáng)的安全性。IPsec是基于網(wǎng)絡(luò)層的VPN方案，對IP應(yīng)用均是高度透明的。而SSL VPN是基于應(yīng)用層的，在Web的應(yīng)用防護(hù)方面更具一定優(yōu)勢。某些高端的SSL VPN產(chǎn)品同樣支持文件共享、網(wǎng)絡(luò)鄰居、Telnet、Ftp、Oracle等TCP/UDP的C/S應(yīng)用。2SSL-VPN的關(guān)鍵技術(shù)及性能分析

21訪問控制技術(shù)

訪問控制技術(shù)是由VPN服務(wù)的提供者根據(jù)用戶的身份標(biāo)志對訪問某些信息項進(jìn)行相應(yīng)操控的作用機(jī)制。目前，通用的VPN方案中，常常是由系統(tǒng)管理員來控制相關(guān)用戶的訪問權(quán)限。作為安全的VPN設(shè)備，SSL VPN可通過“組”策略對應(yīng)用進(jìn)行訪問控制[4]。有些SSL VPN產(chǎn)品可以將Web應(yīng)用定義為一系列的URL，而組和用戶則可允許和禁止訪問相應(yīng)的應(yīng)用。其它一些SSL VPN產(chǎn)品可以提供更為精細(xì)的高級控制，控制策略不僅含有“允許”和“禁止”，還包括用戶能訪問的資源列表以及對這些資源的操作權(quán)限控制。由于SSL VPN工作在網(wǎng)絡(luò)的應(yīng)用層，管理員可以基于應(yīng)用需求、用戶特征以及TCP/IP端口進(jìn)行嚴(yán)密的訪問控制策略設(shè)置。SSL VPN還能通過瀏覽器中的參數(shù)支持動態(tài)訪問部署策略，管理員可以依據(jù)用戶身份、設(shè)備類型、網(wǎng)絡(luò)信任級別、會話參數(shù)等各型因子，定義不同的會話角色，并給與不同的訪問權(quán)限。另外，基于用戶的訪問控制需要維護(hù)大量的用戶信息，當(dāng)前最流行的控制策略則是基于角色的訪問控制，在握手協(xié)議的過程中統(tǒng)一集成訪問控制的基礎(chǔ)功能，再將資源的控制權(quán)交托于可信的授權(quán)管理模型。

22性能分析

VPN的性能指標(biāo)值對校園網(wǎng)中關(guān)鍵業(yè)務(wù)的應(yīng)用實現(xiàn)具有直接影響，在設(shè)計數(shù)字化校園的VPN詳盡方案之前，有必要了解其性能指標(biāo)。SSL VPN中，常見的性能指標(biāo)有連接速率、網(wǎng)絡(luò)延遲、加密吞吐量、并發(fā)用戶數(shù)，等。其中，連接速率表示了SSL VPN系統(tǒng)每秒鐘可建立或終止的最大會話連接數(shù)目，用以度量被測VPN設(shè)備在單位時間內(nèi)交易事務(wù)的處理能力[5]。可以通過添置SSL硬件加速卡、提高控制速率上限等舉措來改善其性能。另外，SSL VPN使用的是非對稱加密算法，這就導(dǎo)致VPN服務(wù)器的CPU將在高負(fù)荷狀況下處理SSL的加解密。而對于這種計算密集型的加解密操作，為了保障服務(wù)器能夠正常工作，既可以限制SSL會話的數(shù)量，也可以添加服務(wù)器的數(shù)目。只是這兩種方式各有利弊，若限制會話數(shù)目，就會出現(xiàn)高峰期間的部分用戶無法連接服務(wù)器，而添加服務(wù)器數(shù)目又會大幅增加VPN系統(tǒng)的財務(wù)用度。因而，通常情況下，使用SSL加速器來提升加解密速度，進(jìn)入SSL的數(shù)據(jù)流由加速器解密并傳給服務(wù)器，而外流的數(shù)據(jù)又經(jīng)過加速器加密再回傳給客戶。服務(wù)器方面，只需要處理簡單的SSL請求，將消耗資源的工作完全交給加速器，全面有效地提升了VPN方案的整體性能。

3SSL-VPN下的數(shù)字化校園解決方案

31需求分析與設(shè)計目標(biāo)

校園數(shù)字化資源中集結(jié)了多種重要的數(shù)據(jù)庫以及多款辦公軟件。大四年級的學(xué)生會經(jīng)常需要登錄畢業(yè)設(shè)計系統(tǒng)上傳學(xué)科論文；校外居住的教師也需要登錄圖書館期刊檢索系統(tǒng)，下載專業(yè)文獻(xiàn)；另外，因公在外的招生、財務(wù)人員又需要及時獲取部門的數(shù)字化信息，并借助辦公自動化的高端平臺與其它部門順暢溝通。上述校園網(wǎng)的這些外部訪問通常都是不確定的動態(tài)IP地址，在數(shù)據(jù)庫服務(wù)器的安全策略中多會將之認(rèn)定為是非法用戶而遭到拒絕。因此，在外部訪問校園網(wǎng)之?dāng)?shù)字化校園時，就需要研發(fā)一個遠(yuǎn)程訪問方案，該方案可將合法的非授權(quán)校外地址轉(zhuǎn)化為授權(quán)的校園網(wǎng)內(nèi)地址。此方案需要考慮的用戶有三種，分別是：在外居住的教師、大四實習(xí)生以及在外辦公的行政人員。

32系統(tǒng)體系結(jié)構(gòu)

經(jīng)過實地調(diào)研和深入分析，采用了SSL VPN架構(gòu)，具體框架如圖1所示。

由圖1可知，這是一個基于Web模式的SSL VPN系統(tǒng)，在用戶和應(yīng)用服務(wù)器之間構(gòu)建了一個安全的信息傳遞通道。其中，SSL VPN服務(wù)器相當(dāng)于一個網(wǎng)關(guān)，且具備雙重身份。對用戶而言，這是服務(wù)器，負(fù)責(zé)提供基于證書的身份鑒別；對應(yīng)用服務(wù)器而言，則屬于客戶端的身份，并向服務(wù)器遞交訪問申請。由此，通過在防火墻后安裝VPN設(shè)備，校外用戶只需要打開IE瀏覽器，就可以訪問到校園數(shù)字化資源的URL。其后，SSL VPN 設(shè)備將取得連接并驗證用戶的身份，此時SSL服務(wù)器就會將連接映射到不同應(yīng)用的服務(wù)器上。而且方案中又采用了技術(shù)，所有成功接入SSL VPN系統(tǒng)的校外用戶都可以全面訪問LAN口所能獲得的數(shù)字化資源。本系統(tǒng)還具備較高的傳輸性能，優(yōu)先考慮SSL VPN服務(wù)器的性能，將需要消耗大量資源的加解密工作交給加速器。實現(xiàn)過程中，采用的設(shè)備是由Cisco ASA建立Web VPN服務(wù)器，而將Radius Server作為驗證用戶身份的服務(wù)器。

33改進(jìn)型安全策略——基于角色的控制

本校SSL VPN系統(tǒng)采用的是基于角色的訪問控制策略，既包括用戶安全認(rèn)證的接口也包括用戶訪問的資源列表。實際上，校園網(wǎng)系統(tǒng)的用戶認(rèn)證和訪問控制均在控制協(xié)議部分獲得實現(xiàn)，可以在此過程中添加角色的訪問控制。通過在證書中集成角色屬性，系統(tǒng)在進(jìn)行安全認(rèn)證時，就可以同步實現(xiàn)角色驗證。VPN系統(tǒng)在明確用戶角色屬性的基礎(chǔ)上確定其訪問權(quán)限，而后給出該用戶可以訪問的資源列表信息。另外，用戶在登錄VPN系統(tǒng)時，還需要在登錄界面輸入身份信息。

4結(jié)束語

隨著校外用戶對數(shù)字化校園資源訪問需求的日益迫切增長，使得VPN技術(shù)也隨之廣受關(guān)注[6]。為了給予校外訪問、使用校園數(shù)字化資源提供更大便利，因而在綜合考慮本校實際用戶數(shù)量和主要用戶角色的基礎(chǔ)上，由網(wǎng)絡(luò)中心主持設(shè)計并全面實現(xiàn)了SSL VPN系統(tǒng)。目前，本校SSL VPN系統(tǒng)運轉(zhuǎn)良好，能夠滿足現(xiàn)有的使用需求，并且也具備了一定的擴(kuò)展能力。當(dāng)然，該實施方案并不是唯一可選，當(dāng)校園網(wǎng)的VPN用戶數(shù)量并不多、要求也不高時，就可以考慮軟件型VPN方案。不然，還可通過購買專業(yè)的VPN設(shè)備打造高水準(zhǔn)、高級別的SSL VPN系統(tǒng)。

參考文獻(xiàn)：

[1]王達(dá). 虛擬專用網(wǎng)（VPN）精解[M]. 北京：清華大學(xué)出版社，2004：45-46.

[2]朱偉珠. 利用VPN技術(shù)實現(xiàn)高校圖書館資源共享[J]. 情報科學(xué)，2007，25（7）：1158-1061.

[3]徐家臻，陳莘萌. 基于IPsec與基于SSL的VPN的比較與分析[J]. 計算機(jī)工程與設(shè)計，2004，25（4）：186-188.

篇（9）

0引言

隨著電力信自、化水平的不斷提高，縣級供電企業(yè)綜合管理信息系統(tǒng)開始逐步建立，但基層變電站、鄉(xiāng)鎮(zhèn)供電聽與供電公司局域網(wǎng)聯(lián)網(wǎng)問題嚴(yán)重地制約著縣級供電企業(yè)信息系統(tǒng)實用化水平的發(fā)展和信息資源的充分有效利用，這與供電企業(yè)管理發(fā)展的目標(biāo)追求以及客戶的需求是極不適應(yīng)的。由于鄉(xiāng)鎮(zhèn)供電所信息化建設(shè)工作受地形、人員素質(zhì)、資金投人等因素影響，解決遠(yuǎn)程站點聯(lián)網(wǎng)問題成為縣級供電企業(yè)信自、網(wǎng)絡(luò)建設(shè)中的突出矛盾。

1廬江供電公司信息化建設(shè)現(xiàn)狀

安徽廬江供電公司的信息化上作起步較晚，供電公司總部于X004年實現(xiàn)了生產(chǎn)M I S與辦公自動化OA的單軌制運行，總部信息化運行提高了企業(yè)的整體管理水平和辦公效率。如今，廬江供電公司總部已運行的信息系統(tǒng)有:生產(chǎn)管理系統(tǒng)、辦公自動化系統(tǒng)、檔案管理系統(tǒng)、Web系統(tǒng)、財務(wù)管理系統(tǒng)，現(xiàn)有的服務(wù)器包括:生產(chǎn)服務(wù)器、辦公自動化服務(wù)器、檔案服務(wù)器、Web服務(wù)器、財務(wù)服務(wù)器。力、公用微機(jī)80多臺，每位管理人員以及每個班組都配有微機(jī)。

在實施信息化建設(shè)與管理中，深深體會到廬江供電公司信息化建設(shè)不僅可降低財務(wù)管理、物資管理、項目管理、資料管理等方面的管理成本，并在生產(chǎn)管理中可將所有設(shè)備信息進(jìn)行分類編號，輸人數(shù)據(jù)庫，實行設(shè)備、設(shè)施缺陷管理，科學(xué)地制定缺陷檢修計劃，提高設(shè)備運行可靠度，降低故障率，提高供電可靠性;同時，廬江供電公司的營銷管理信息系統(tǒng)建有業(yè)擴(kuò)子系統(tǒng)、電量電費f系統(tǒng)、用電檢查子系統(tǒng)、綜合查詢系統(tǒng)，通過這些系統(tǒng)，可方便與客戶的交流、溝通，節(jié)約成本開支，實現(xiàn)科學(xué)化營銷流程管理。這些管理信息系統(tǒng)的應(yīng)用，加強(qiáng)J’企業(yè)的規(guī)范化管理，增強(qiáng)了管理的科學(xué)化水平，減輕了工作人員的負(fù)擔(dān)，提高了企業(yè)的經(jīng)濟(jì)效益。

為此，廬江供電公司加入了鄉(xiāng)鎮(zhèn)供電所營銷MIS應(yīng)用系統(tǒng)的推進(jìn)力度，進(jìn)一步減輕了抄表人員的負(fù)擔(dān)，縮短了開票時間，加強(qiáng)了電費電價的控制與管理，提高了營銷管理自動化水平。全縣17個鄉(xiāng)鎮(zhèn)供電聽，都使用同一版本的營銷MIS應(yīng)用系統(tǒng)。舟個供電聽都有3臺以上的微機(jī)，其中1臺所長用于日常辦公，另外2臺分別作為用電MIS系統(tǒng)的服務(wù)器與客戶端，并兼為所里其他工作人員辦公使用。其中，已有10個供電所可利用變電站的光纖系統(tǒng)，與廬江供電公司總部實現(xiàn)網(wǎng)絡(luò)互聯(lián)，提高了工作效率，節(jié)省了開支。其余7個供電所仍不能夠?qū)崿F(xiàn)信息化共享，這些供電所非常希望盡快網(wǎng)絡(luò)互聯(lián)。

2采用VPN方案推進(jìn)供電所信息化建設(shè)進(jìn)程

這些供電所若使用以前的光纖聯(lián)網(wǎng)方式，不僅投資大，施工工期長，而且日后的維護(hù)量也多?？紤]到以上原因，為盡快解決其余7個光纖未開通的鄉(xiāng)鎮(zhèn)供電所的網(wǎng)絡(luò)互聯(lián)問題，達(dá)到信息、共享，推廣鄉(xiāng)鎮(zhèn)供電所的營銷MIS系統(tǒng)應(yīng)用，公司決定采用虛擬局域網(wǎng)(VPN)，在現(xiàn)有設(shè)備基礎(chǔ)上，進(jìn)行簡單的改造。通過在VPN網(wǎng)關(guān)中配置7個供電所的用戶、密碼以及訪問策略，并分別在7個供電所安裝VPN客戶端，安裝公司的MIS應(yīng)用系統(tǒng)，實現(xiàn)全公司網(wǎng)絡(luò)互聯(lián)。VPN技術(shù)實際上就是綜合利用包封裝技術(shù)、加密技術(shù)、密鑰交換技術(shù)、PKI技術(shù)，可以在公用的互聯(lián)網(wǎng)上建立安全的虛擬專用網(wǎng)絡(luò)(VPN ， Virtual Private Network ) 。 VPN是一個被加密或封裝的通信過程，該過程把數(shù)據(jù)安全地從一端傳送到另一端，這里數(shù)據(jù)的安全性由可靠的加密技術(shù)來保障，而數(shù)據(jù)是在一個開放的、沒有安全保障的、經(jīng)過路由傳送的網(wǎng)絡(luò)上傳輸?shù)?。VPN技術(shù)能夠有效解決信息安全傳輸中的“機(jī)密性、完整性、不可抵賴性”問題。

3方案效果比較

對2種方案的可能性進(jìn)行了比較，如圖1所示。如果廬江供電公司全部運用光纖法來實現(xiàn)供電所的網(wǎng)絡(luò)互聯(lián)，每個供電所的材料費、施工費按3.5萬元，施工工期10天計算，7個供電所就需要3.5 x 7=24.5萬元，需要10 x 7=70天。若這7個供電所采用VPN方案，只需要購買VPN網(wǎng)關(guān)1臺，價值3.5萬元和7個客戶端鑰匙，價值7 x 480=3360元，5天內(nèi)就能完成7個供電所安裝。因此，應(yīng)用VPN方案，廬江供電公司就能節(jié)省資金達(dá)24 . 5-3 . 836=20.664萬元，縮短工期65天，取得的直接效益是顯著的，并省去了今后光纖線路維護(hù)所需要工作量。

現(xiàn)在，這7個鄉(xiāng)鎮(zhèn)供電所均可利用VPN方案安全可靠地登陸公司局域網(wǎng)，在局域網(wǎng)下載內(nèi)容的速度可達(dá)350 kb/s，生產(chǎn)MIS系統(tǒng)響應(yīng)時間為2--3 s，辦公自動化系統(tǒng)瀏覽公司收發(fā)的文件、接受電子郵件的時間因文件的大小不同而有所差別，1 MB的文件大約需要8 s。由于ADSL是非對稱數(shù)字環(huán)路，所以發(fā)送電子郵件的速度要慢得多，1 MB的文件大約需要18s。從VPN方案運行效果來看，完全能夠滿足廬江供電公司網(wǎng)絡(luò)發(fā)展及MIS系統(tǒng)應(yīng)用的需要。

4下一步信息化建設(shè)的主攻方向

篇（10）

隨著互聯(lián)網(wǎng)的飛速發(fā)展，網(wǎng)絡(luò)安全逐漸成為一個潛在的巨大問題。網(wǎng)絡(luò)的安全性、保密性、可靠穩(wěn)定性，對于企業(yè)和一些跨區(qū)域?qū)ｉT從事特定業(yè)務(wù)的部門，從經(jīng)濟(jì)實用性、網(wǎng)絡(luò)安全性、數(shù)據(jù)傳輸可靠性上來，看VPN技術(shù)無疑是一種不錯的選擇。下面就VPN技術(shù)的實現(xiàn)做一下粗淺的分析:

1 VPN簡介

虛擬專用網(wǎng)(VirtuaIPrivateNetwork， VPN)是一種“基于公共數(shù)據(jù)網(wǎng)，給用戶一種直接連接到私人局域網(wǎng)感覺的服務(wù)”。VPN極大地降低了用戶的費用，而且提供了比傳統(tǒng)方法更強(qiáng)的安全性和可靠性。

VPN可分為三大類:(1)企業(yè)各部門與遠(yuǎn)程分支之間的In-tranet VPN;(2)企業(yè)網(wǎng)與遠(yuǎn)程(移動)雇員之間的遠(yuǎn)程訪問(Re-mote Access)VPN;(3)企業(yè)與合作伙伴、客戶、供應(yīng)商之間的Extranet VPNo

在ExtranetVPN中，企業(yè)要與不同的客戶及供應(yīng)商建立聯(lián)系，VPN解決方案也會不同。因此，企業(yè)的VPN產(chǎn)品應(yīng)該能夠同其他廠家的產(chǎn)品進(jìn)行互操作。這就要求所選擇的VPN方案應(yīng)該是基于工業(yè)標(biāo)準(zhǔn)和協(xié)議的。這些協(xié)議有IPSec、點到點隧道協(xié)議(PointtoPoint Tunneling Protocol，PPTP)、第二層隧道協(xié)議(layer2 Tunneling Protocol，I，2TP)等。

2 VPN的實現(xiàn)技術(shù)

VPN實現(xiàn)的兩個關(guān)鍵技術(shù)是隧道技術(shù)和加密技術(shù)，同時QoS技術(shù)對VPN的實現(xiàn)也至關(guān)重要。

2.1 VPN訪問點模型

首先提供一個VPN訪問點功能組成模型圖作為參考。其中IPSec集成了IP層隧道技術(shù)和加密技術(shù)。

2.2隧道技術(shù)

隧道技術(shù)簡單的說就是:原始報文在A地進(jìn)行封裝，到達(dá)B地后把封裝去掉還原成原始報文，這樣就形成了一條由A到B的通信隧道。目前實現(xiàn)隧道技術(shù)的有一般路由封裝(Generi-cRoutingEncapsulation， GRE )I，2TP和PPTPo

(1)GRE

GRE主要用于源路由和終路由之間所形成的隧道。例如，將通過隧道的報文用一個新的報文頭(GRE報文頭)進(jìn)行封裝然后帶著隧道終點地址放人隧道中。當(dāng)報文到達(dá)隧道終點時，GRE報文頭被剝掉，繼續(xù)原始報文的目標(biāo)地址進(jìn)行尋址。GRE隧道通常是點到點的，即隧道只有一個源地址和一個終地址。然而也有一些實現(xiàn)允許一點到多點，即一個源地址對多個終地址。這時候就要和下一條路由協(xié)議(Next-HopRoutingProtocol ， NHRP)結(jié)合使用。NHRP主要是為了在路由之間建立捷徑。

GRE隧道用來建立VPN有很大的吸引力。從體系結(jié)構(gòu)的觀點來看，VPN就象是通過普通主機(jī)網(wǎng)絡(luò)的隧道集合。普通主機(jī)網(wǎng)絡(luò)的每個點都可利用其地址以及路由所形成的物理連接，配置成一個或多個隧道。在GRE隧道技術(shù)中人口地址用的是普通主機(jī)網(wǎng)絡(luò)的地址空間，而在隧道中流動的原始報文用的是VPN的地址空間，這樣反過來就要求隧道的終點應(yīng)該配置成VPN與普通主機(jī)網(wǎng)絡(luò)之間的交界點。這種方法的好處是使VPN的路由信息從普通主機(jī)網(wǎng)絡(luò)的路由信息中隔離出來，多個VPN可以重復(fù)利用同一個地址空間而沒有沖突，這使得VPN從主機(jī)網(wǎng)絡(luò)中獨立出來。從而滿足了VPN的關(guān)鍵要求:可以不使用全局唯一的地址空間。隧道也能封裝數(shù)量眾多的協(xié)議族，減少實現(xiàn)VPN功能函數(shù)的數(shù)量。還有，對許多VPN所支持的體系結(jié)構(gòu)來說，用同一種格式來支持多種協(xié)議同時又保留協(xié)議的功能，這是非常重要的。IP路由過濾的主機(jī)網(wǎng)絡(luò)不能提供這種服務(wù)，而只有隧道技術(shù)才能把VPN私有協(xié)議從主機(jī)網(wǎng)絡(luò)中隔離開來?；谒淼兰夹g(shù)的VPN實現(xiàn)的另一特點是對主機(jī)網(wǎng)絡(luò)環(huán)境和VPN路由環(huán)境進(jìn)行隔離。對VPN而言主機(jī)網(wǎng)絡(luò)可看成點到點的電路集合，VPN能夠用其路由協(xié)議穿過符合VPN管理要求的虛擬網(wǎng)。同樣，主機(jī)網(wǎng)絡(luò)用符合網(wǎng)絡(luò)要求的路由設(shè)計方案，而不必受VPN用戶網(wǎng)絡(luò)的路由協(xié)議限制。

雖然GRE隧道技術(shù)有很多優(yōu)點，但用其技術(shù)作為VPN機(jī)制也有缺點，例如管理費用高、隧道的規(guī)模數(shù)量大等。因為GRE是由手工配置的，所以配置和維護(hù)隧道所需的費用和隧道的數(shù)量是直接相關(guān)的—每次隧道的終點改變，隧道要重新配置。隧道也可自動配置，但有缺點，如不能考慮相關(guān)路由信息、性能問題以及容易形成回路問題。一旦形成回路，會極大惡化路由的效率。除此之外，通信分類機(jī)制是通過一個好的粒度級別來識別通信類型。如果通信分類過程是通過識別報文(進(jìn)人隧道前的)進(jìn)行的話，就會影響路由發(fā)送速率的能力及服務(wù)性能。

GRE隧道技術(shù)是用在路由器中的，可以滿足ExtranetVPN以及IntranetVPN的需求。但是在遠(yuǎn)程訪問VPN中，多數(shù)用戶是采用撥號上網(wǎng)。這時可以通過L2TP和PPTP來加以解決。

(2)L2TP和PPTP

L2TP是L2F( Layer2Forwarding)和PPT’I〕的結(jié)合。但是由于PC機(jī)的桌面操作系統(tǒng)包含著PPTP，因此PPT’I〕仍比較流行。隧道的建立有兩種方式即:“用戶初始化”隧道和“NAS初始化”(NetworkAccess Server)隧道。前者一般指“主動’，隧道，后者指“強(qiáng)制”隧道?！爸鲃印彼淼朗怯脩魹槟撤N特定目的的請求建立的，而“強(qiáng)制”隧道則是在沒有任何來自用戶的動作以及選擇的情況下建立的。L2TP作為“強(qiáng)制”隧道模型是讓撥號用戶與網(wǎng)絡(luò)中的另一點建立連接的重要機(jī)制。建立過程如下:

a.用戶通過Modem與NAS建立連接;b.用戶通過NAS的L2TP接入服務(wù)器身份認(rèn)證;;c.在政策配置文件或NAS與政策服務(wù)器進(jìn)行協(xié)商的基礎(chǔ)上，NAS和L2TP接入服務(wù)器動態(tài)地建立一條L2TP隧道;d.用戶與L2TP接入服務(wù)器之間建立一條點到點協(xié)議(PointtoPointProtocol， PPP)訪問服務(wù)隧道;e.用戶通過該隧道獲得VPN服務(wù)。

與之相反的是，PPTP作為“主動”隧道模型允許終端系統(tǒng)進(jìn)行配置，與任意位置的PPTP服務(wù)器建立一條不連續(xù)的、點到點的隧道。并且，PPTP協(xié)商和隧道建立過程都沒有中間媒介NAS的參與。NAS的作用只是提供網(wǎng)絡(luò)服務(wù)。PPTP建立過程如下:a.用戶通過串口以撥號IP訪問的方式與NAS建立連接取得網(wǎng)絡(luò)服務(wù);b.用戶通過路由信息定位PPTP接入服務(wù)器;c.用戶形成一個PPTP虛擬接口;d.用戶通過該接口與PPTP接入服務(wù)器協(xié)商、認(rèn)證建立一條PPP訪問服務(wù)隧道;e.用戶通過該隧道獲得VPN服務(wù)。

在L2TP中，用戶感覺不到NAS的存在，仿佛與PPTP接入服務(wù)器直接建立連接。而在PPTP中，PPTP隧道對NAS是透明的;NAS不需要知道PPTP接入服務(wù)器的存在，只是簡單地把PPTP流量作為普通IP流量處理。

采用L2TP還是PPTP實現(xiàn)VPN取決于要把控制權(quán)放在NAS還是用戶手中。硯TP比PPTP更安全，因為硯TP接入服務(wù)器能夠確定用戶從哪里來的。硯TP主要用于比較集中的、固定的VPN用戶，而PPTP比較適合移動的用戶。

2.3加密技術(shù)

數(shù)據(jù)加密的基本思想是通過變換信息的表示形式來偽裝需要保護(hù)的敏感信息，使非受權(quán)者不能了解被保護(hù)信息的內(nèi)容。加密算法有用于Windows95的RC4、用于IPSec的DES和三次DESo RC4雖然強(qiáng)度比較弱，但是保護(hù)免于非專業(yè)人士的攻擊已經(jīng)足夠了;DES和三次DES強(qiáng)度比較高，可用于敏感的商業(yè)信息。

加密技術(shù)可以在協(xié)議棧的任意層進(jìn)行;可以對數(shù)據(jù)或報文頭進(jìn)行加密。在網(wǎng)絡(luò)層中的加密標(biāo)準(zhǔn)是IPSec。網(wǎng)絡(luò)層加密實現(xiàn)的最安全方法是在主機(jī)的端到端進(jìn)行。另一個選擇是“隧道模式”:加密只在路由器中進(jìn)行，而終端與第一條路由之間不加密。這種方法不太安全，因為數(shù)據(jù)從終端系統(tǒng)到第一條路由時可能被截取而危及數(shù)據(jù)安全。終端到終端的加密方案中，VPN安全粒度達(dá)到個人終端系統(tǒng)的標(biāo)準(zhǔn);而“隧道模式”方案，VPN安全粒度只達(dá)到子網(wǎng)標(biāo)準(zhǔn)。在鏈路層中，目前還沒有統(tǒng)一的加密標(biāo)準(zhǔn)，因此所有鏈路層加密方案基本上是生產(chǎn)廠家自己設(shè)計的，需要特別的加密硬件。