一般情況下,第二層隧道協(xié)議和第三層隧道協(xié)議分別使用,但合理地運(yùn)用兩層協(xié)議,將具有更好的安全性。
組建何種類型
根據(jù)VPN設(shè)備在網(wǎng)絡(luò)中安裝位置的不同,可分為兩種類型的建設(shè)方式：基于客戶端設(shè)備的VPN和基于網(wǎng)絡(luò)的VPN。
早期的VPN是通過在客戶端,放置在多廠家生產(chǎn)的VPN硬件或軟件來實(shí)現(xiàn)的,稱為基于客戶端設(shè)備的VPN。目前市場(chǎng)上的軟硬件設(shè)備,有的是專為基于客戶端設(shè)備的VPN而設(shè)計(jì),有的則是在原有設(shè)備（路由器、防火墻）的基礎(chǔ)上加以改進(jìn),使之具備VPN功能。由于客戶端設(shè)備來自不同的廠家,彼此缺少互操作性測(cè)試,隨著時(shí)間的推移和新功能的增加,基于客戶端設(shè)備的VPN將變得難以管理和提供業(yè)務(wù)。每種VPN設(shè)備具有不同的參數(shù)配置要求,運(yùn)營(yíng)商不可能在網(wǎng)管中心進(jìn)行統(tǒng)一大批量的配置。
基于客戶端設(shè)備的VPN由于需要在每個(gè)客戶端放置VPN設(shè)備,造成客戶的初期投資較高,運(yùn)營(yíng)商需要到每一個(gè)客戶處進(jìn)行現(xiàn)場(chǎng)安裝、測(cè)試、維護(hù)。運(yùn)營(yíng)商不僅需要在POP點(diǎn)安裝線路復(fù)用設(shè)備和高速接入路由器,還需要投入大量資金購(gòu)置客戶端設(shè)備,繳納VPN軟件的使用費(fèi)。通常這些費(fèi)用將轉(zhuǎn)移到客戶的身上,使客戶難以承受,而影響VPN業(yè)務(wù)的推廣�；诳蛻舳嗽O(shè)備的VPN方案也需客戶進(jìn)行另外的投資,為客戶端設(shè)備提供正常的工作環(huán)境,如增加空調(diào)設(shè)備。
基于客戶端設(shè)備的VPN存在以下的缺點(diǎn)和限制：
初期投資費(fèi)用高——需要在每個(gè)客戶端安裝VPN設(shè)備,需要進(jìn)行安裝調(diào)試,系統(tǒng)運(yùn)行中故障排除更為復(fù)雜,運(yùn)營(yíng)成本增加。
可靠性差——當(dāng)新的功能增加時(shí),將會(huì)造成網(wǎng)絡(luò)業(yè)務(wù)中斷,不具備運(yùn)營(yíng)級(jí)的質(zhì)量。
可管理性差——系統(tǒng)難以進(jìn)行集中統(tǒng)一管理,不能獲得系統(tǒng)的整體視圖,不能準(zhǔn)確地進(jìn)行系統(tǒng)監(jiān)控和業(yè)務(wù)計(jì)費(fèi)。由于這些設(shè)備彼此獨(dú)立、缺乏協(xié)作,運(yùn)營(yíng)商很難提供高附加值的業(yè)務(wù)。
可擴(kuò)展性差——系統(tǒng)很難增加新的功能。每項(xiàng)新功能的增加,需要全部客戶端設(shè)備的功能升級(jí),費(fèi)用高,管理和操作困難。
基于網(wǎng)絡(luò)的VPN能夠讓運(yùn)營(yíng)商通過POP點(diǎn)運(yùn)營(yíng)單一的VPN平臺(tái)設(shè)備,有效創(chuàng)建、布置、管理VPN業(yè)務(wù),同時(shí)支持幾千個(gè)用戶,而不需要在客戶端安裝VPN設(shè)備,VPN用戶只需通過普通的路由器、LAN交換機(jī)接入運(yùn)營(yíng)商的網(wǎng)絡(luò)中,由運(yùn)營(yíng)商網(wǎng)絡(luò)中的VPN設(shè)備提供所需功能。
基于網(wǎng)絡(luò)的VPN把VPN的功能和應(yīng)用等智能地從企業(yè)客戶端移到運(yùn)營(yíng)商網(wǎng)絡(luò)中的VPN設(shè)備上來實(shí)現(xiàn),不需要在客戶端布置VPN的硬件和軟件,且完全在運(yùn)營(yíng)商的控制之下。
由于基于網(wǎng)絡(luò)的VPN平臺(tái)和運(yùn)營(yíng)商的接入和核心網(wǎng)絡(luò)設(shè)備可以實(shí)現(xiàn)無縫集成,此時(shí),運(yùn)營(yíng)商提供的VPN將能保證端到端的跨越整個(gè)網(wǎng)絡(luò)的QoS和SLA。通過客戶管理系統(tǒng),客戶可以觀察到其VPN的運(yùn)行情況、收集VPN性能和SLA進(jìn)行監(jiān)視和對(duì)比,對(duì)其企業(yè)網(wǎng)絡(luò)進(jìn)行控制。基于網(wǎng)絡(luò)的VPN支持IPSec、L2TP、PPTP、代理防火墻、密鑰管理、入侵檢測(cè)和MPLS等。這些特性的支持,將為運(yùn)營(yíng)商提供各種復(fù)雜的VPN應(yīng)用。
基于網(wǎng)絡(luò)的VPN具有以下優(yōu)點(diǎn)：
可靠性高——為不間斷運(yùn)行的高性能業(yè)務(wù)提供平臺(tái),能夠處理復(fù)雜的VPN業(yè)務(wù),具有運(yùn)營(yíng)級(jí)質(zhì)量。
可管理性強(qiáng)——通過網(wǎng)管中心的集中統(tǒng)一管理,運(yùn)營(yíng)商能夠快速方便地布置、提供、管理包括VPN在內(nèi)的各種可管理的業(yè)務(wù)。通過CNM,企業(yè)用戶能夠?qū)ψ约旱腣PN網(wǎng)絡(luò)進(jìn)行監(jiān)視和控制。
可擴(kuò)展性強(qiáng)——運(yùn)營(yíng)商不需對(duì)每個(gè)客戶的客戶端設(shè)備進(jìn)行安裝調(diào)試,當(dāng)新的功能需要增加時(shí),只需對(duì)位于POP點(diǎn)的VPN業(yè)務(wù)設(shè)備進(jìn)行升級(jí)。
總體成本低——由于不需要在客戶端安裝VPN設(shè)備,就無需進(jìn)行維護(hù),簡(jiǎn)化了系統(tǒng)的運(yùn)營(yíng)。同時(shí),單一VPN系統(tǒng)能夠支持多達(dá)幾千個(gè)用戶,支持各種可管理的IP業(yè)務(wù)。
使用基于網(wǎng)絡(luò)的VPN,企業(yè)用戶能夠?qū)ψ约旱腣PN進(jìn)行性能監(jiān)測(cè)和控制,能夠獲得不間斷的高性能服務(wù),對(duì)于企業(yè)那些關(guān)鍵性的業(yè)務(wù)運(yùn)行至關(guān)重要。用戶也不需要對(duì)客戶端設(shè)備進(jìn)行費(fèi)時(shí)復(fù)雜的維護(hù)。
使用何種技術(shù)
利用Internet作為計(jì)算機(jī)通信的公網(wǎng),建立基于IP的虛擬專用網(wǎng),即IP VPN,在技術(shù)和經(jīng)濟(jì)上優(yōu)點(diǎn)很多,對(duì)推動(dòng)企業(yè)網(wǎng)絡(luò)的應(yīng)用和電子商務(wù)的發(fā)展有重大的價(jià)值。
虛擬路由器(VR)是通過軟件實(shí)現(xiàn)的模擬物理路由器。VR有獨(dú)立的IP路由表和轉(zhuǎn)發(fā)表,并且各VR相互獨(dú)立。這意味著VPN的地址空間可以相同,但同一VPN內(nèi)的地址必須惟一�；赩R的IP VPN可以提供基于每VPN的路由、轉(zhuǎn)發(fā)、QoS和業(yè)務(wù)管理能力。基于概念構(gòu)建的VPN和基于物理路由器的VPN有完全一樣的機(jī)制,并且繼承了現(xiàn)有的配置、實(shí)施、運(yùn)行、故障恢復(fù)、監(jiān)測(cè)和計(jì)費(fèi)的機(jī)制和工具。
使用VR實(shí)現(xiàn)VPN有兩種方案：
通過第二層VR到VR的連接,VR可以在FR或ATM連接或第二層傳輸技術(shù)之上實(shí)現(xiàn)。這種類型VR的實(shí)施允許直接在每個(gè)VPN連接上實(shí)現(xiàn)QoS。第二層連接可以靜態(tài)配置或動(dòng)態(tài)建立。
多個(gè)VR聚合到一個(gè)VR上,把多個(gè)VR連接到一個(gè)稱為骨干VR的VR上,然后再連接到骨干網(wǎng)。骨干VR在功能上和其他VR沒有什么不同,它僅僅是一個(gè)被特殊配置和應(yīng)用的VR,并且骨干VR不需要了解運(yùn)行在每一專用VR上的路由。骨干VR可以在ATM、FR、IP或MPLS網(wǎng)絡(luò)上實(shí)現(xiàn)。
