不同协议层的各种vpn技术比较与分析

《不同协议层的各种vpn技术比较与分析》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、不同协议层的各种VPN技术比较与分析闫兆乾苗银军张闰华陈志博孔祥震（清华大学计算机科学与技术系，北京100084）摘要:为了利用公共通信网络实现安全的保密数据通道而提出的虚拟专用网VPN技术，可以方便、灵活、低成本的为企业构建安全的数据传输通道。目前实现VPN的技术多种多样，本文根据VPN实现技术和协议所处的OSI参考模型中的层次，将VPN技术分为数据链路层VPN、网络层VPN、传输层以上层VPN技术。本文分别对每一种VPN技术进行介绍和分析；对它们的优缺点进行评析，并给出典型的应用场景。另外我们还介绍了一些经典的商业的或者免费的实现实例。最后我们对不同VPN的实现技术进行了比

2、较分析，以发掘不同实现技术的特点，为将来VPN技术的改进和创新提供有益的依据。关键字:虚拟专用网VPN;数据链路层VPN;网络层VPN;SSL-VPN1引言随着计算机网络的普及，人们可能需要随时随地联入自己的企业或单位的网络。另一方面，随着企业的发展和规模的不断扩大，企业各个分支机构也在迅速增加，企业各分部之间也需要随时通信，这涉及到远程联网的复杂性。为了保证数据传输的安全可靠，一种方法是租用专线，但是专线的代价昂贵，而且大量专线资源重复、无法共享，同时也增加了管理的负担。虚拟专用网（VPN，virtualprivatenetwork）技术就是为了解决上述问题而被提出。VPN技

3、术的提出是为了利用公共通信网络（如Internet）实现安全的保密数据通信。其原理是：需要进行机密数据传输的两个端点均连接在公共通信网上，当需要进行机密数据传输时，通过端点上的VPN设备在公共网上建立一条虚拟的专用通信通道，并且所有数据均经过加密后再在网上传输，这样就保证了机密数据的安全传输。通过VPN，授权的业务伙伴就可以在授权范围内使用单位内部的数据，实现数据的安全交换。利用VPN构建安全、可靠的Internet访问通道主要有以下优点：（1）增强了网络安全性。VPN支持认证、加密等安全协议，可以提供较强的安全性。（2）简化网络设计。用VPN代替租用线路，可将对远程链路进行安

4、装、配置和管理的任务减少到最小。（3）降低成本。降低了移动用户的通信成本和主要设备成本。（4）容易扩展。可以很容易地扩大VPN的容量和覆盖范围。（5）可随意与合作伙伴联网。（6）完全控制主动权。借助VPN企业可以利用ISP的设施和服务，同时又完全掌握着自己网络的控制权。（7）支持新兴应用。正式因为VPN的以上诸多优点，使得VPN收到青睐，并得到迅猛的发展。VPN的发展日趋多样化，实现技术和利用的协议也各不相同。按照VPN实现技术和基于的协议在OSI七层模型中所处的层次，可以将VPN分为数据链路层VPN、网络层VPN、传输层及应用层VPN等等。本文余下部分将分别对这几种VPN进行

5、介绍：在第2部分，首先我们介绍了几种典型的数据链路层VPN技术，包括PPTP、L2F以及L2TP；然后我们介绍了MPLS等其它近些年发展起来的较新的2层VPN技术；第3部分首先对经典的利用IPSec实现的VPN技术进行了介绍；然后介绍了GRE隧道等其他3层VPN技术；第4部分介绍了传输层以上的VPN技术，主要介绍了SSL-VPN。以上的介绍着重于对VPN的功能和实现技术上的介绍，同时对它们的优缺点进行评析。并给出典型的应用场景，介绍了一些经典的商业的或者免费的实现实例。第5部分对不同VPN实现技术进行了比较；最后在第6部分对全文进行了总结。2数据链路层VPN技术2.1基于PPT

6、P，L2F和L2TP协议的VPN技术2.1.1PPTPVPN由3Com和微软公司合作开发的PPTP（Point-to-PointTunnelingProtocol）协议是第一个广泛使用建立VPN的协议，Windows98、WindowsMillenniumEdition、Windows2000和WindowsXP中都包含有该协议，其他的Linux以及Solaris操作系统也支持这一协议。通过该协议，，PPTP是用于在中间网络上传输点对点协议（PPP）帧的一种隧道机制。通过利用PPP的身份验证、加密和协议配置机制，PPTP连接同时为远程访问和路由器到路由器的虚拟专用网（VPN）连

7、接提供了一条在公共网络（比如：Internet）上创建安全连接的途径。PPTP将PPP帧封装成IP数据包，以便在急于IP的互联网上传输，为了确保数据的安全性，通常需要事先对封装的数据进行加密。PPTP的文档是RFC2637。PPTP协议是PPP的扩展，但PPP协议本身并不支持VPN网络链接。PPP是只为在同等单元之间传输数据包这样的简单链路设计的链路层协议。它提供全双工操作，并按照顺序传递数据包。设计目的主要是用来通过拨号或专线方式建立点对点连接发送数据，使其成为各种主机、网桥和路由器之间简