虚拟专用网VPN类型与如何选购[1]

　　在技术篇中我们介绍了按实现技术将VPN分成基于隧道的VPN、基于虚电路的VPN和MPLS VPN等，这里再介绍几种主要的划分方式，供下一篇选择VPN解决方案时参考。

　　一、VPN的类型

　　1、按应用范围划分

　　这是最常用的分类方法，大致可以划分为远程接入VPN(Accesss VPN)、Intranet VPN和Extranet VPN等3种应用模式。远程接入VPN用于实现移动用户或远程办公室安全访问企业网络;Intranet VPN用于组建跨地区的企业内部互联网络;Extranet VPN用于企业与客户、合作伙伴之间建立互联网络。

　　2、按VPN网络结构划分

　　VPN可分为以下3种类型。

　　① 基于VPN的远程访问

　　即单机连接到网络，又称点到站点，桌面到网络。用于提供远程移动用户对公司内部网的安全访问。

　　② 基于VPN的网络互联

　　即网络连接到网络，又称站点到站点，网关(路由器)到网关(路由器)或网络到网络。用于企业总部网络和分支机构网络的内部主机之间的安全通信时，还可用于企业的内部网与企业合作伙伴网络之间的信息交流，并提供一定程度的安全保护，防止对内部信息的非法访问。

　　③ 基于VPN的点对点通信

　　即单机到单机，又称端对端，用于企业内部网的两台主机之间的安全通信。

　　3、按接入方式划分

　　在Internet上组建VPN，用户计算机或网络需要建立到ISP的连接。与用户上网接入方式相似，根据连接方式，可分为两种类型。

　　① 专线VPN通过固定的线路连接到ISP，如DDN、帧中继等都是专线连接。

　　② 拨号接入VPN简称VPDN，使用拨号连接(如模拟电话、ISDN和ADSL等)连接到ISP，是典型的按需连接方式。这是—种非固定线路的VPN。

　　4、按隧道协议划分

　　按隧道协议的网络分层，VPN可划分为第2层隧道协议和第3层隧道协议。PPTP、L2P和L2TP都属于第2层隧道协议，IPSec属于第3层隧道协议，MPLS跨越第2层和第3层。VPN的实现往往将第2层和第3层协议配合使用，如L2TP/IPSec。当然，还可根据具体的协议来进一步划分VPN类型，如PPTP VPN、L2TP VPN、IPSec VPN和MPLS VPN等。

　　第2层和第3层隧道协议的区别主要在于用户数据在网络协议栈的第几层被封装。第2层隧道协议可以支持多种路由协议，如IP、IPX和AppleTalk，也可以支持多种广域网技术，如帧中继、ATM、X.25或SDH/SONET，还可以支持任意局域网技术，如以太网、令牌环网和FDDI网等。 另外，还有第4层隧道协议，如SSL VPN。

　　5、按隧道建立方式划分

　　根据VPN隧道建立方式，可分为两种类型。

　　① 自愿隧道(Voluntary tunnel)

　　指客户计算机或路由器可以通过发送VPN请求配置和创建的隧道。这种方式也称为基于用户设备的VPN。VPN的技术实现集中在VPN用户端，VPN隧道的起始点和终止点都位于VPN用户端，隧道的建立、管理和维护都由用户负责。ISP只提供通信线路，不承担建立隧道的业务。这种方式技术实现容易，不过对用户的要求较高。不管怎样，这仍然是目前最普遍使用的VPN组网类型。

　　② 强制隧道(Compulsory tunnel)

　　指由VPN服务提供商配置和创建的隧道。这种方式也称为基于网络的VPN。VPN的技术实现集中在ISP，VPN隧道的起始点和终止点都位于ISP，隧道的建立、管理和维护都由ISP负责。VPN用户不承担隧道业务，客户端无需安装VPN软件。这种方式便于用户使用，增加了灵活性和扩展性，不过技术实现比较复杂，一般由电信运营商提供，或由用户委托电信运营商实现。

　　6、按路由管理方式划分

　　按路由管理方式划分，VPN分为两种模式。

　　① 叠加模式(Overlay Model)

　　也译为“覆盖模式”。目前大多数VPN技术，如IPSec、GRE都基于叠加模式。采用叠加模式，各站点都有一个路由器通过点到点连接(IPSec、GRE等)到其他站点的路由器上，不妨将这个由点到点的连接以及相关的路由器组成的网络称为“虚拟骨干网”。叠加模式难以支持大规模的VPN，可扩展性差。如果一个VPN用户有许多站点，而且站点间需要全交叉网状连接，则一个站点上的骨干路由器必须与其他所有站点建立点对点的路由关系。站点数的增加受到单个路由器处理能力的限制。另外，增加新站点时，网络配置变化也会很大，网状连接上的每一个站点都必须对路由器重新配置。

　　② 对等模式(Peer Model)

　　对等模式是针对叠加模式固有的缺点推出的。它通过限制路由信息的传播来实现VPN。这种模式能够支持大规模的VPN业务，如一个VPN服务提供商可支持成百上千个VPN。采用这种模式，相关的路由设备很复杂，但实际配置却非常简单;容易实现QoS服务;扩展更加方便，因为新增一个站点，不需与其他站点建立连接。这对于网状结构的大型复杂网络非常有用。MPLS技术是当前主流的对等模式VPN技术。