淺析數據遠程VPN解決方案

華 杰

(金陵圖書館分館部,江蘇 南京,210019)

0 前言

VPN作為一項成熟的技術，廣泛應用于組織總部和分支機構之間的組網互聯，其利用組織已有的互聯網出口，虛擬出一條“專線”，將組織的分支機構和總部連接起來，組成一個大的局域網。VPN被用于軍事、銀行等高安全性的專用網絡，當前，政府機關部門也逐漸采用VPN專用網絡來提高網絡的安全等級，安裝VPN后不會對現有網絡造成任何影響，各種服務及應用均可正常使用，與現今的電子政務結合良好，在很大程度上避免電子政務網絡遭受網絡攻擊，保證整個政務網站的穩定運行，采用3G和 IPSec VPN結合來實現網絡的安全互聯和數據的安全保護可以滿足客戶的需求。

1 常見IPSec VPN組網方式

IPSec VPN作為一種高安全性的組網方式，廣泛用于金融、軍事、政府機構、企業等網絡組建中，可以方便在專網中劃分小專網，對重要信息進行安全加固，保證核心數據的安全性，同時IPSec VPN可支持多種國際主流的加密算法，實現數據高強度加密，并內置定制化的加密算法，提供更快的加密速度和加密效率。從IPSec VPN的組網方式來講，主要分為獨立IPSec VPN和模塊化的IPSec VPN。

2 IPSec VPN解決方案設計

VPN的應用范圍較廣，本文將選取兩個典型的VPN解決方案以做分析，方案一著重于對大型公司的專線網絡的需求滿足，為公司業務網絡提高高安全保障，應用產品占據大量的市場，方案二則是無線網絡與VPN的綜合應用，是當前VPN重點研究的對象，以滿足未來無線移動市場的專線接入需要。

方案一組網應滿足三個基本原則：安全的平臺，系統穩定可靠；能夠滿足各級分支和人員的便捷接入；具有彈性，能夠滿足未來業務的發展。方案二組網應具備的特點主要有以下4點：保障數據在公共網絡傳輸的安全性；國內跨運營商線路較多，保障數據在高延遲、高丟包3G線路上高效傳輸；方案根據客戶企業分支規模、應用場景、可擴展性實現固網與非固網的靈活經濟性的組建；管理：實現對整個網絡設備的集中管理和維護，線路流量統計，實現合理規劃。

3 大型公司專線網絡解決方案設計

圖1 IPSec VPN組網方式

隨著我國文化事業的快速發展，學生、學者、研究人員及社會大眾希望能夠快速、便捷地接入到大型圖書館及其下屬分館系統，實現知識檢索。我國圖書館系統較為龐大，數據交換規模甚巨，需要快速構建一個安全傳輸平臺來滿足業務的發展。

根據實際需求，VPN方案采用二級網絡架構，在總部部署加速VPN進行雙機熱備，所有的圖書館以及圖書館數據庫根據級別采用硬件VPN的接入形式，各用戶根據優先級和權限通過瀏覽器登錄的接入方式進行訪問。

通過部署千臺級VPN設備構建了覆蓋全國的安全傳輸網絡；運用多種優化技術，提高了系統訪問速度，生產效率得到提升；前瞻性的規劃保證了后期升級的需要，為業務發展奠定了基礎，保護了IT 投資。

該方案的設計充分利用已有的互聯網線路資源的思想，為用戶提出了更高性價比的解決方案。通過在總部和兩個相對較大的分支部署廣域網優化設備，在較小的分支機構部署IPSec/SSL二合一VPN設備，通過該組網方式不僅可以有較快的訪問速度，同時由于所有的數據都以加密方式傳輸，很好地保證了傳輸的安全性。

4 無線3G的VPN網絡設計

3G技術依賴其高速率、覆蓋廣、移動性強等特點，提供了傳統固網所無法比擬的便利性；數據大集中，企業業務和規模的進一步發展，分支覆蓋全國乃至全球區域，其數據信息的共享傳輸凸顯重要；一些無固定地點或者有線帶寬無法達到的地方，通過3G實現網絡互聯發揮了獨特的作用，成為企業組網的另外一種高效、經濟型的選擇方案。同時伴隨著移動互聯網的快速發展，更加速了無線VPN網絡的盛行。基于3G的VPN網絡的優勢主要表現在以下5個方面：

(1)數據安全加密：Sangfor 作為國家IPsec VPN標準制定者，擁有業界最多的專利技術，支持AES,DES,3DES.MD5，SHA,DH,RSA等算法，并且支持擴展國密辦、SCB2等其他加密算法；出了用戶名密碼認證外，提供基于網關硬件特征的高安全身份驗證技術；支持防火墻狀態檢測、多種攻擊等。

(2)快速靈活組網：企業可根據分支規模、區域運營商3G覆蓋程度，應用場景靈活選擇不同制式不同型號的一體化網關設備，同時能夠實現與第三方標準VPN廠家設備和具有IPsec VPN模塊設備實現靈活對接。

圖3 基于3G的VPN網絡應用拓撲

(3)高性價比投資：企業可基于現有網絡平臺，針對新建分支以及需要改造分支，選擇不同設備形態，一次性投入，不但滿足現有有線帶寬的接入，同時適應未來無線寬帶的3G接入，同時針對分支機構實現WIFI信號覆蓋。

(4)快速可控網絡：對于跨運營商線路（如電信3G、聯通3G、國內海外）等高丟線路優化，顯著提升訪問速度；全網設備的其中管控和維護，網絡設備監控以及線路流量的統計，有效降低IT管理運維成本。

(5)穩定備份線路：支持多線路同時建立VPN實現備份線路，保障一條線路故時業務切換到備份線路。

為了更靈活更貼切的滿足客戶需求，可采用外置3G USB上網卡和自帶天線內置SIM插槽2種3G VPN網關設備，同時為了給客戶帶來更多價值，還可以采用集成WIFI+3G的一體化VPN網關設備，幫助企業通過3G網路建立VPN互聯到總部，同時分支實現無線信號完美覆蓋。典型應用場景拓撲如圖3所示。

從圖3的網絡拓撲中可看出，異地數據中心或者重要分支機構通過固網互聯到集團，為了規避單一線路單點故障，可通過部署3G VPN實現建立備份線路，當固網發生故障后將業務切換到備份VPN線路，確保業務穩定交付。異地中小型分支機構，可根據分支規模，網絡場景、靈活選擇3G設備形態，通過3G網絡建立互聯網線路，并建立VPN實現與總部的互聯。采用3GVPN形態分外置3G USB上網卡、內置3G SIM卡及集成WIFI+3G一體化VPN網關（支持CDMA200、WCDMA），幫助企業實現便利、高效、靈活性的高性價比組網方案。對于固網方便搭建的環境，3G VPN依舊保留傳統有線VPN功能，實現在互聯網上快速建立VPN。對于高延遲、高丟包跨運營商線路，通過暢聯技術打造穩定、高效鏈路，保障業務交付效率，提高客戶體驗效果。

該組網方案可管理一體化網關安全網關設備，降低企業投資成本；多種認證方式及高安全數據加密，具備防火墻和權限控制，有效預防網絡風險；暢聯技術有效優化跨運營商線路所帶來業務交付慢問題，提高企業效率及競爭力；全網可管理性及多線路VPN優先級備份技術，增強網絡穩定性和易用性；多種3G VPN產品形態，幫助企業組網靈活、便利、高效的競爭性方案。

5 結語

本文以IPSec VPN為研究對象，首先對兩種組網方式進行了詳細說明，接著對當前主流的VPN應用場景和未來無線的VPN應用場景分別進行了組網方案設計，將VPN技術應用于大型企業網絡及無線3G網絡的組網中，提高了數據傳輸的安全性。

[1]閻琦,陳建.關于VPN技術的探討[J].渤海大學學報(自然科學版),2011,(02):101-103.

[2]李長春.基于IPSec的VPN技術應用與研究[J].通化師范學院學報,2012,(10): 26-28.

[3]李淑梅.中小企業基于IPSec VPN的網絡構建[J].現代計算機(專業版),2011,(09): 99-101.

[4]陳紅軍,周青云,張有順.基于IPSec的虛擬專用網實現研究[J].制造業自動化,2011,(04): 70-72.

[5]李曉英,侯群花.3G 應用 VPN 與 VPDN 解決方案[J].數字技術與應用,2013,(04):86-89.