論VPN技術在高校校園網中的應用

彭城

摘 要：高校的教育隨著網絡技術的發展正悄然的發生變化，實體的圍墻封閉不住數據包的傳遞，越來越多的高校校園網選擇VPN技術來擴展自身的影響力。我們應該首先認清VPN技術的分類與使用范圍，然后再根據高校校園網的實際情況有的放矢地搭建屬于自己的VPN。

關鍵詞：高校校園網;VPN技術;架設方案

中圖分類號： G64 ? ? ? ? ? ?文獻標識碼： A ? ? ? ? ? ?文章編號： 1673-1069（2016）30-159-2

0 ?引言

高校的信息化建設水平一直是國家教育事業發展的重點內容，加快信息化的建設步伐不僅能夠提高學校的教育功能，更有利于加大學校在社會的影響力，將教育資源的應用率發揮到最大。從傳統的學校面授到網絡幕課，帶給學生的改變不僅僅是“同學”數量的增加，而是全新的教學方式的改變。在校園網內，師生可以利用電腦、手機等終端任意訪問這些數字資源，可以說這是一個永不閉館的數字學校。這些利用互聯網技術優化教育資源的例子不勝枚舉，但是與此同時網絡的局限性也紛紛顯示了出來。高校擁有自己的教育網，用戶如果在教育網外訪問網內資源就會無法訪問。同時，某些教學互動軟件只能夠在局域網環境中使用，跨網絡的使用是無法進行的。傳統的解決方式是使用端口映射，但是端口映射會增加安全隱患，同時操作起來也非常的煩瑣，穩定性也不好，需要專業人員進行維護。針對這樣的情況，越來越多的高校選擇利用VPN技術來解決上述的問題。

1 ?VPN概述

所謂“VPN”就是“虛擬專用網絡”，換句話說就是利用現有的網絡環境虛擬出一條專用線路，在這條虛擬專線上能夠實現專用網絡的功能。需要說明的是，這種“專用網絡”是由Internet服務提供商（ISP）的網絡資源動態組成的，先由訪問發起端向當地ISP提出要求，再由ISP負責與需訪問端建立會話。高校可以根據自身網絡建設的具體要求，選擇一個最符合自己需求的網絡建設方案選擇。為此，我們要考慮到這樣幾個問題：專線對面的終端是否足夠的信任，是否需要限制對方的訪問權限？是否能夠快捷的將遠程訪問的VPN端與真實的本地局域網絡分隔通訊？如果遠程端出現故障，是否可以方便快捷的解決故障？為此，我們必須需要先來探討一下VPN的實現技術。

對于高校校園網來說，涉及辦公OA系統、學校資料管理、校園卡安全消費等各個方面，因此對于VPN的安全技術要求非常高，同時VPN本身的技術也非常復雜，因此網絡的數據封裝與安全技術是高校VPN技術的核心。

VPN中源局域網與公網的接口連接稱為隧道技術，如同架設一個隧道將內、外網打通，如同修路一樣，隧道能否順利打通、如何打通是VPN構建的核心要點。數據包在源局域網終端和公網終端之間傳輸時，發送數據的終端先將目標地址寫進數據內部，然后發送到自己一側的VPN網關，而VPN網關拿到數據并驗證目標地址屬于VPN網絡后，將數據進行封裝，相當于在信件的外面再套上一個信封，然后書寫上接收端一側VPN網關的對外地址，這樣數據就可以在公網內傳輸。接收端VPN網關拿到“信件”后，拆掉外層封裝的“信封”，就可以讀到目標地址，并進行數據的傳遞，反之亦然。在這個過程中，數據在傳輸時，源局域網、雙方VPN網關、所經過的邏輯路徑就被稱為“隧道”。

高校VPN架設主要有這樣幾種隧道協議：點對點隧道協議（PPTP協議）、第二層隧道協議（L2TP）協議、網絡協議安全協議（IPSec協議）和SSL VPN。應用最為廣泛的是第二層隧道協議，該協議又稱國際標準隧道協議，最初是由IETF基于微軟的點對點隧道協議 （PPTP）和思科2層轉發協議（L2F）進行制定，因此它繼承了PPTP協議的優點，通俗地來說就是PPTP協議像景區的檢票口，它會將入口處的“散客游人”與“景區”進行連接。而L2TP協議使用多隧道更像是旅行社組團，并利用許多輛大巴車將游人直接送入景區，這樣就可以加大數據的吞吐量。而且，L2TP協議在傳輸數據時所使用的消息類型有兩種：數據控制消息和數據傳輸消息，非常類似于一個是導游，控制著數據傳輸路徑，一個是大巴車司機，專門負責數據的運輸。但是，L2TP也有一個比較大的缺點是沒有數據加密的措施，如同游客乘坐的大巴車沒有任何車廂保護和安全措施，這樣就加大了數據被劫持、重放的風險。因此很多情況下，高校在架設自己的VPN網絡時大多采用L2TP+IPSec組合協議。用L2TP隧道協議傳輸數據，用IPSec協議保護數據。IPSec的安全協議主要包含兩個方面：認證報頭AH和安全封裝ESP，需要說明的是無論是AH還是ESP都具備了通信保護的功能，都可以提供數據完整性檢測和數據源認證。雖然IPSec在IPV4規范中僅僅是作為選用，但是在IPV6中是強制的，在配置VPN網絡時要注意這一點。

在實際操作過程中，我們會發現IPSec VPN雖然成熟、安全，但是需要在終端安裝專用軟件才能正常使用，這樣一方面讓動手能力弱的電腦望而卻步，也讓越來越普及的手機用戶望而興嘆，基于這種原因SSL VPN應運而生。SSL存在于任意一個瀏覽器內，工作在應用層，指定了瀏覽器與TCP/IP數據交換時的安全機制，并提供數據加密、用戶認證、客戶機選擇以及數據的封裝與加密等功能支持。在數據傳輸之初，SSL VPN首先確認雙方身份，統一加密算法，最有將數據加密密鑰傳輸給雙方。數據傳輸過程中借助的是可靠的傳輸協議如TCP，傳輸質量非常穩定。并且由于使用的是瀏覽器接口，隱藏了終端和服務器，避免了病毒或者黑客對內部服務器的破壞。

2 ?VPN架設方案

2.1 VPN方案的選擇

在建立VPN網絡時需要先期將學校的校園網絡建設完成，并能正常連接互聯網，這里不再贅述。在實際使用過程中，在校園網中的VPN要能夠給出差在外地的老師、分校區員工、不在校園網內的學生等提供直接連接到校園局域網的服務。同時還應該考慮到分校區間多媒體教學的需要。因此在構建VPN網絡時綜合考慮網絡的負載平衡，確定VPN網關的吞吐能力和數據加密的性能。學校網絡連接互聯網的方式也是需要構建VPN網絡時需要考慮的問題，客戶端可以采取撥號或者光纖的接入方式，而服務器端要采用固定IP地址的連接方式，這樣才能夠方便連接。在服務器端還應配備VPN的數據接入服務器，在多用戶同時接入時服務器應能夠自動平衡負載。校園網常用的VPN方案主要就是IPsec VPN和SSL VPN，如果VPN承擔的主要工作是各個校區之間的數據連接，那么可以選擇IPSEC VPN;如果VPN承擔的主要工作是零散終端就可以選擇SSL VPN。

2.2 VPN方案的部署方式

首先要借助VPN的管理系統在網絡內部建立域方便管理相關的VPN設備，特別是防火墻和VPN網關等重要設備更要做到實時的監控。目前常用的管理軟件都可以對建立的域進行“內部域名”的編輯，將同一域內的網絡設備“捆綁”在一個域名下，相關的域又可以建立多達三層的子域，大大方便了VPN的管理。在此基礎上，管理員還可以為不同子域配備不同的“區域”管理人員。針對手機、平板電腦等移動用戶，要在管理系統里部署不同權限的組，新用戶加入時先對其用戶身份進行甄別，然后將用戶加入到不同權限的組內，以獲得訪問權限，當用戶退出VPN網絡時只需將用戶從組內刪除，這樣可以加快移動端訪問VPN網絡的速度。

3 ?校園網在使用VPN時應注意的問題

VPN在高校工作中應用意義重大，可以將校園教科研延伸到校外，但是網絡的速度受限于ISP提供的網速，同時穩定性也不在學校的控制下。因此在VPN部署過程中先要仔細分析和規劃，認真選擇軟硬件，避免兼容性不好的問題。在運行過程中還應由專業技術人員仔細監控各個環節的運行情況。在規劃VPN網絡是要留足升級的空間，特別是針對用戶數量增加后軟硬件的升級更要考慮到。

4 ?總結

可以說日益成熟的校園網VPN技術無限地擴展了教師辦公和學生學習的距離，構建學校自己的虛擬專用網不僅可以提高教學效率，還能最大化的發揮內網資源的利用率。而這些提升不需要太多的改變校園網的網絡架構，成本低廉。相信隨著網絡技術的發展VPN在校園網中的作用將越來越重要。

參 考 文 獻

[1] 楊沛.VPN技術在圖書管理信息系統中的應用[J].現代情報，2005（05）.

[2] 薛芳，何世珍.利用VPN技術實現內網與外網的聯通[J].采礦技術，2005（01）.