虚拟专用网络技术

▲ １９９８年全球ＩＰ应用领域炙手可热的三项新技术分别是ＩＰ电话、电子商务和虚拟专用网（ＶＰＮ）

▲ ＶＰＮ应用在世界上日渐普及，但中国ＶＰＮ业务的开展却十分缓慢

▲   随着中国企业的发展壮大，ＶＰＮ终有光明的未来

１ 虚拟专用网的原理

     虚拟专用网（ＶＰＮ）是一种建立在开放性网络平台上，支持专有性的网络。早在８０年代，电信网上先后做了这方面的尝试。例如，在分组交换公用数据网上提供用户可选业务，其中一项称之为闭合用户群（ＣＵＧ）的可选业务，就是虚拟专用网的范例。所谓闭合用户群是指网络的一些用户数据终端设备（ＤＴＥ）逻辑归属为一个群体。在群体内的ＤＴＥ可以相互通信，对于进出ＣＵＧ的ＤＴＥ呼叫／接受加以控制，以便提高用户通信的安全性。这种功能使群体用户功能在分组交换公用数据网（ＰＳＰＤＮ）中形成一个虚拟网专用。

     点划线内计算机Ａ、Ｃ、Ｅ构成了一个ＶＰＮ，在ＶＰＮ内的计算机系统可以按分组交换方式进行呼叫、互相通信，但ＶＰＮ外的计算机Ｂ或Ｄ不能随意呼叫ＶＰＮ内的任何一台计算机或服务器。ＣＵＧ业务功能需要与网络主管部门预约，然后每次呼叫建立时在呼叫请求分组和入呼叫分组中分别指出本次呼叫的ＣＵＧ号。网络（本地的ＤＴＥ）和被叫ＤＴＥ根据该ＣＵＧ号判定是否接受该呼叫请求。

      分组交换网支持两种ＣＵＧ：国际ＣＵＧ（ＩＣＵＧ）和国内ＣＵＧ（ＮＣＵＧ）。ＮＣＵＧ是指ＣＵＧ内的ＤＴＥ都在同一网络内，而ＩＣＵＧ允许不同的网络用户归属同一ＣＵＧ。为了使ＣＵＧ用户具有更灵活的选择功能，各家厂商定义了许多的特殊功能，如：

    具有出通路的闭合用户群（ＣＵＧ／ＯＡ）。在一个ＣＵＧ中的ＤＴＥ可以按需与网络预约已具有呼入功能的其它ＣＵＧ和非ＣＵＧ用户呼叫的业务，也即具有这一功能的ＣＵＧ用户的呼出不受限制。

    具有入通路的闭合用户群（ＣＵＧ／ＩＡ）。用户需要预约该项业务，ＤＴＥ可以与本闭合群内的其它ＤＴＥ通信，并且不限制接受来自本ＣＵＧ之外的呼叫。

    双边闭合用户群（ＢＣＵＧ）。用户需要预约该项业务，该业务可以使ＤＴＥ构成成对的互相通信的组合关系。

    优先ＣＵＧ。如果一个ＤＴＥ属于多个ＣＵＧ，则可以指定一个ＣＵＧ为优先ＣＵＧ。在呼叫建立时如不加以特别指明，网络将把它作为优先的ＣＵＧ的ＤＴＥ来处理。

    特权ＣＵＧ。这是对ＮＣＵＧ用户提供一项ＣＵＧ内部业务功能。它可以指定ＣＵＧ内的每一个用户ＤＴＥ为特权用户或非特权用户，无特权用户ＤＴＥ之间不能相互通信，有特权用户之间或有特权用户与无特权用户之间可以互相通信。

ＣＵＧ业务功能的实现不需要特别的服务器。其实现过程大致如下：网络为每一ＣＵＧ分配唯一内部号码（ＩＣ），同一闭合用户群内的用户ＤＴＥ都以这一号码作为标识符。在用户ＤＴＥ端，ＩＣ是以索引号方式呈现的。用户只知道索引号而不需要了解其内部号码。在呼叫建立时，主叫用户ＤＴＥ在呼叫请求分组中加入索引号，由网络将索引号换算成内部号码送给被叫。在被叫端，网络根据内部号码进行验证，若满足条件便可建立呼叫，否则清除。

    除了分组交换网提供ＶＰＮ功能外，在发展中的窄带综合业务数字网（Ｎ－ＩＳＤＮ）、宽带综合业务数字网（Ｂ－ＩＳＤＮ）以及智能网（ＩＮ）中，已经提供了遵循ＩＴＵ－Ｔ制定的一系列补充业务，虚拟专用网（ＶＰＮ）是系列补充业务中的一项。

     近十年来，随着信息技术的发展需要，计算机网络互连体系结构发生了极大的变化，从早期的基于网桥的网络互连结构发展到如今流行的以路由器或以太交换机为中心的因特网互连结构。今天，互连网络体系结构将随着ＡＴＭ技术、以太交换技术和虚拟网络的应用而有新的发展。当前，ＶＰＮ突出的应用是在因特网（Ｉｎｔｅｒｎｅｔ）／企业内部网（Ｉｎｔｒａｎｅｔ）／企业外部网（Ｅｘｔｒａｎｅｔ）上，通俗一点说就是使用加密的ＩＰ隧道，实现私有ＩＰ包和其它网络协议（ＩＰＸ，ＮｅｔＢＥＵＩ等）包在Ｉｎｔｅｒｎｅｔ上传输，从而实现位于ＷＡＮ上的不同ＬＡＮ的各种协议虚拟连接，即虚拟的局域网（ＶＬＡＮ）。

     设有３个虚拟局域网（ＶＬＡＮ），每一台计算机通过以太交换机从属不同的ＶＬＡＮ，因此，是一种能对按需组网加以逻辑定义的，并能将网络的物理结构抽象成为逻辑视图的技术。它可将一组在物理上并不相连的网段在逻辑上定义为一个单一的ＶＬＡＮ，ＶＬＡＮ在逻辑上等于ＯＳＩ七层模型的第二层的广播域，它与具体的物理网及地理位置无关。更重要的是，即使多个网段被连接到网络中不同的但相互连接的交换机上，它们仍可被定义成单一的ＶＬＡＮ的成员。

２ 建立ＶＬＡＮ的方法

２．１ ＶＬＡＮ的划分方式

      在因特网中划分ＶＬＡＮ涉及到如何定义ＶＬＡＮ的成员，按不同用户的需要，有多种划分方法。目前，主要有下列３种方法来划分ＶＬＡＮ：

（１）基于交换端口的ＶＬＡＮ

     这种ＶＬＡＮ方式使得划分成不同ＶＬＡＮ的交换端口在物理上是相连的，但在逻辑上是断开的。第一代的基于交换端口的ＶＬＡＮ，只能在同一个交换模块上划分ＶＬＡＮ。但是，如果划分ＶＬＡＮ仅局限于一个交换模块显然无法满足现代分布式网络的需要。在这种实际需求的推动下，第二代基于端口的ＶＬＡＮ可以在不同交换模块上划分同一ＶＬＡＮ。各交换模块之间通过构造生成树方式在主干上传递端口的ＶＬＡＮ信息，实现ＶＬＡＮ的划分。

     通过建立基于端口的ＶＬＡＮ和相应的网管软件，网络管理员可以在很短时间内根据网络的实际需求完成对整个网络的动态管理。但是基于端口的ＶＬＡＮ无法做到一个端口同时属于几个不同的ＶＬＡＮ。同时，如果网络中的用户要经常地从一个ＶＬＡＮ移动到另一个ＶＬＡＮ，网络管理员也要在网络中进行相应改动。将一系列端口配置到一个单一的广播域内，由于数据包不会漏到其它区域，基于端口的ＶＬＡＮ能对确定的端口进行安全访问。例如：对一个企业的人事部门，网络管理员能在企业内网络设备上的一组规定的端口上建立一个可以访问人事系统的ＶＬＡＮ，提供访问人事系统信息的能力。由于其它端口或企业外的计算机不属于这个ＶＬＡＮ，所以无法进行访问。

（２）基于ＭＡＣ地址的ＶＬＡＮ

    ＭＡＣ地址是每一个网卡的物理地址，原则上全球网卡的物理地址是唯一的（伪冒产品除外）。正因为如此，管理员可以通过网管软件逐一设置每张网卡对应的ＶＬＡＮ来实现ＶＬＡＮ的划分。众所周知，ＭＡＣ地址属于数据链路层，以此作为划分ＶＬＡＮ的依据能很好地独立于网络层上的各种应用，当某一用户从一个ＶＬＡＮ转移到另一个ＶＬＡＮ上时，在用户端无需作任何改动即可实现，真正做到了基于个人的ＶＬＡＮ。

    基于ＭＡＣ地址的ＶＬＡＮ将一组工作站从逻辑上放到基于ＭＡＣ地址的多个集线器的一个广播域中。这种策略扩充了以太网的属性，客户机可不依赖于物理位置映射到服务器，优化了客户机／服务器的配置。因此，当服务器被集中放置用来改善管理及安全性时，基于ＭＡＣ地址的ＶＬＡＮ能很容易地将工作组客户机连接至合适的服务器资源上。

     在基于ＭＡＣ地址的ＶＬＡＮ划分方式中，如果要划分ＶＬＡＮ，必须对每个ＭＡＣ地址进行逐个配置。显然，这种方法在大型网络中给网络管理员增加的工作量相当大。但支持这种功能的厂商可提供相应的网管软件，通过网管软件对ＭＡＣ地址的自动跟踪，实现自动／半自动地划分ＶＬＡＮ。

     此外，基于ＭＡＣ地址的ＶＬＡＮ划分是依据硬件的地址，缺乏硬件的独立性，所以对网络的灵活性会造成较大的影响。

（３）基于网络层的ＶＬＡＮ

     这种ＶＬＡＮ划分方式是根据网络上应用的网络协议或网络地址划分ＶＬＡＮ。这对于那些想针对具体应用和服务来组织用户的网络管理员来说无疑是十分有效的。基于网络层的ＶＬＡＮ对协议（如ＩＰ）非常有用，通过手工配置或通过地址服务器将网络层地址与设备相连接。

     基于网络层的ＶＬＡＮ划分方式，能够很好地根据实际应用来划分ＶＬＡＮ。但是无论是哪种网络协议，只要是属于网络层的交换机，都必须通过对数据包的解包才能获得必要的ＶＬＡＮ信息，这势必造成交换速度的下降，同时也引来了网络的安全问题。除非网络管理员能对客户端上捆绑的网络协议进行锁定，不然每个用户通过增删自己本机上的网络协议可以毫无限制地在各ＶＬＡＮ中畅游，将带来网络安全隐患。

     以上各种ＶＬＡＮ划分方式各有利弊，应用者必须根据实际的建网需求来选择合适的ＶＬＡＮ划分方式。

２．２ ＶＬＡＮ成员间的通信和配置

    在多台交换机上用何种方法最佳地支持ＶＬＡＮ成员信息通信?芽所选择的方法将在网络增扩时对网络通信产生什么影响?

    在多台交换机上进行ＶＬＡＮ成员信息通信通常有隐式通信和显式通信两种方法。

     ＶＬＡＮ之间的通信技术大致可分为以下几种：

（１）通过外部路由器实现

     与传统的以路由为中心的局域网互连一样，这种技术在ＶＬＡＮ数目较多时会极大地增加网络成本，并且ＶＬＡＮ间的通信效率很低。

（２）通过具有路由功能的交换机实现

      中心交换机带有路由功能（有的厂家产品通过软件实现路由功能，有的则通过硬件实现路由功能）。一般具有路由功能的中心交换机多能支持６４个以上的ＶＬＡＮ，最多的能达到１ ０２４个ＶＬＡＮ。这种技术的特点是既达到了作为ＶＬＡＮ控制广播这一最基本的目的，又不需要外接路由器。但ＶＬＡＮ间的连接还是通过路由技术来实现的，ＶＬＡＮ间的通信速率一般不超过２Ｍｂｉｔ／ｓ。

（３）通过建立通信连接来实现

     虚拟网上任意两用户第一次通信是通过发送有限的ＡＲＰ广播来实现的。一旦源用户找到目的用户后，就建立虚拟的通信链路，此后进行面向连接的通信。这种方式的特点是实现了ＶＬＡＮ之间的快速、高效通信。

    每种方案都有优劣，它对网络整体结构的影响也是如此。此外，路由并非ＶＬＡＮ之间通信的唯一方法。与涉及选择ＶＬＡＮ解决方案的其它关键问题一样，用于ＶＬＡＮ之间通信的技术也要视该机构的特定需要和整体网络环境而定。在此，灵活性仍是至关重要的。ＶＬＡＮ自动化配置可分为三种级别：单工、半自动和全自动。就ＶＬＡＮ定义来说，配置ＶＬＡＮ的自动化级别要视特定的网络环境和每个用户特定的需要而定。

３ ＶＰＮ的协议、特点和应用要求

３．１ ＶＰＮ协议

    目前，在７层ＯＳＩ参考模型层次结构的基础上，已经有下列几种隧道协议用于构建ＶＰＮ：

（１）点对点隧道协议（ＰＰＴＰ）；

（２）第２层隧道协议（Ｌ２ＴＰ）；

（３）ＩＰ安全协议（ＩＰＳｅｃ）。

     一般网络协议是将待发送的数据加上协议特定的控制信息组成数据报进行交换。对于用户来说，关心的只是需要传送的数据，并不需关心附加的控制信息。ＰＰＴＰ的工作方式是在ＴＣＰ／ＩＰ数据报中封装原始分组，例如包括控制信息在内的整个ＩＰＸ分组都将成为ＴＣＰ／ＩＰ数据报中的“数据”区，然后它通过因特网进行传输。另一端的软件分析数据报，去除增加的ＰＰＴＰ控制信息还原成ＩＰＸ分组并发送给ＩＰＸ协议进行常规处理。这一过程叫做隧道。使用ＰＰＴＰ对于原有的网络安全性并没有大的影响，因为原有ＬＡＮ的广泛的例行安全检查照样进行，其实ＰＰＴＰ对于网络用户是透明的。另外，它还通过压缩、数据加密等手段保证了网络的安全性。而Ｌ２ＴＰ是取代ＰＰＴＰ和早期的Ｌ２Ｆ的新标准。

３．２ ＶＰＮ的特征

     ＶＰＮ拥有开销少、灵活性好、成本低等优点。ＶＰＮ特别合适于下列情况的应用：

    站点众多且分散，特别是单个用户和远程办公室站点多；

    用户／站点分布范围广，彼此之间的距离远，遍布全球各地，诸如跨国公司；

    带宽和时延要求相对适中。

站点的数量是确定是否采用ＶＰＮ的关键因素。站点数量越多，站点之间的距离越远，ＶＰＮ解决方案越有利。

ＶＰＮ有以下几大功能：

    可以替换现有的专用网网段或子网；

    通过把特定应用分离出来满足相应需求，为专用网络提供有益的补充；

    在不影响现有专用网的情况下，处理新应用，增加新位置特别是国际性网站。

３．３ ＶＰＮ的应用要求

    ＶＰＮ有两个基本应用要求：使用互联网协议（ＩＰ）和ＩＰ地址；提供严格的安全性。

     对已经使用ＩＰ并注册了因特网地址的应用来说，第一个要求就迎刃而解。对使用专用或非正式ＩＰ地址的企业内部网（Ｉｎｔｒａｎｅｔ）或企业外部网（Ｅｘｔｒａｎｅｔ），可以采用各种隧道协议和地址租赁技术。点到点隧道协议（ＰＰＴＰ）和通用路由封装（ＧＲＥ）都可以在正式的ＩＰ数据报内部为专用的ＩＰ分组提供隧道。ＰＰＴＰ和ＧＲＥ还能够为非ＩＰ分组提供隧道，如使用ＮｅｔＷａｒｅ的ＩＰＸ或ＮｅｔＢＩＯＳ／ＮｅｔＢＥＵＩ的分组。可使用动态主机配置协议（ＤＨＣＰ）和网络地址转换协议（ＮＡＴ）租赁Ｉｎｔｅｒｎｅｔ地址。ＤＨＣＰ和ＮＡＴ只在会话过程中才分配一个Ｉｎ-ｔｅｒｎｅｔ地址，或用一个Ｉｎｔｅｒｎｅｔ地址代替专用地址。第二基本要求——安全性。它又分为两个方面：即用户认证和保密性。实际上，在使用因特网进行ＶＰＮ专用通信时，关键问题是安全性。现在提供了基于标准的解决方案，如：

（１）远程验证用户拨入服务（ＲＡＤＩＵＳ）。这是一个维护用户配置文件的数据库，包括口令和访问优先权。代理ＲＡＤＩＵＳ功能允许在Ｉｎ-ｔｅｒｎｅｔ服务提供者（ＩＳＰ）的接入点设备上接入客户的ＲＡＤＩＵＳ服务器，获得必要的用户配置文件信息。

（２）ＩＥＴＦ的ＩＰ安全（ＩＰＳｅｃ）加密标准解决了安全性的保密问题。ＩＰＳｅｃ的安全有效载荷封装允许选择数据加密标准（ＤＥＳ）或三重ＤＥＳ，这两种标准都提供了严格的保密性及强大的验证功能。

参考文献

１ 沈金龙．计算机通信．南京：东南大学出版社，１９９５

２ 陈俊良等．计算机网络实用教程．北京：科学出版社，１９９９．２２４～２３１

３ ｈｔｔｐ：／／ｗｗｗ．ｗｏｒｌｄｖｉｓｉｏｎｓ．ｃａ／ｔｕｎｎｅｌｖ

４ ｆｔｐ：／／ｏａｎｓ． ｃｉｃ．ｔｓｉｎｇｈｕａ．ｅｄｕ．ｃｎ／ｗｏｒｋ．ｆｏｒ．ｃｈｉｎａ／ｎｅｔｗｏｒｋ／ｒｏｕｔｉｎｇ＆ｒａｓ：下载软件名ｍｐｒｉ３８６．ｅｘｅ

５ 刘会杰，张乃通．网络协议ＶＬＡＮ和ＱｏＳ的应用研究．哈尔滨工业大学学报，１９９９，（３）

６ 赵慧玲．综合业务数字网技术及其应用．北京：人民邮电出版社，１９９５

（收稿日期：１９９９－１０－０３）