校園網(wǎng)的VPN方案設(shè)計.pdf

1、虛擬專用網(wǎng)VPN——Virtual Private Network，基于ISP（互聯(lián)網(wǎng)服務(wù)提供商）所提供的公用網(wǎng)絡(luò)的接入，通過采用數(shù)據(jù)加密技術(shù)和訪問控制技術(shù)，在公用網(wǎng)絡(luò)(主要是Internet)中建立專用的數(shù)據(jù)通信網(wǎng)絡(luò)的技術(shù)。為解決跨區(qū)域網(wǎng)絡(luò)安全互聯(lián)，以及數(shù)據(jù)安全加密傳輸，提供了廉價便捷的解決方案。VPN技術(shù)在不同領(lǐng)域得到了廣泛的應(yīng)用。
　　 本文深入研究了常用的VPN技術(shù)，OSI中第二層中PPTP、12TP的VPN技術(shù)，以及第

2、三層中IPSEC的VPN技術(shù)，并且著重介紹了IPSEC的安全架構(gòu)，工作原理。根據(jù)當(dāng)前高校網(wǎng)絡(luò)發(fā)展現(xiàn)狀，歸納總結(jié)校園網(wǎng)內(nèi)三種主要的安全連接需求：異地園區(qū)網(wǎng)絡(luò)的相互安全訪問，同一園區(qū)網(wǎng)絡(luò)內(nèi)部敏感數(shù)據(jù)的安全訪問，校外終端對校內(nèi)網(wǎng)絡(luò)資源的安全訪問。針對三種訪問需求，以IPSEC技術(shù)為基礎(chǔ)，分別設(shè)計規(guī)劃了一套完整的安全解決方案，彌補(bǔ)了傳統(tǒng)解決方式的不足。各高校網(wǎng)絡(luò)普遍使用NAT來緩解IPV4網(wǎng)絡(luò)中地址不足的問題，IPSEC協(xié)議與NAT協(xié)議瓦不兼容

3、，不能在同一系統(tǒng)下協(xié)議工作。針對這個問題，目前有三種解決的方案，但都有各自的局限性，“NAT先于IPSEC”該方案難以實現(xiàn)，RSIP方案實施困難，UDP封裝ESP數(shù)據(jù)包只能夠部分解決二者不兼容問題，分析總結(jié)現(xiàn)有方案，提出改進(jìn)型的UDP封裝方案（UDP封裝IPSEC包）消除了IPSEC無法穿越NAT的問題。改進(jìn)型UDP封裝方案的可配置性、安全性、互操作性、防火墻的兼容性皆可以滿足系統(tǒng)要求。當(dāng)然這種方案也不是一種完美的解決辦法，隨著IPV6

4、時代的到來，IP地址枯竭問題將會徹底改變，這個問題也將得到最終解決。
　　 文章的主體內(nèi)容大體上分為四部分：第一部分是引言，簡要介紹了虛擬專用網(wǎng)的產(chǎn)生背景、發(fā)展和現(xiàn)狀，主要講述了虛擬專用網(wǎng)的的特點；第二部分簡要介紹了虛擬專用網(wǎng)的分類，詳細(xì)說明了IPSec協(xié)議框架以及工作原理；第三部分，結(jié)合實踐工作經(jīng)驗，明確校園網(wǎng)內(nèi)外安全需求，以IPSEC網(wǎng)關(guān)構(gòu)建虛擬專用網(wǎng)實現(xiàn)校園網(wǎng)內(nèi)不同安全通信需求，比較現(xiàn)行的實現(xiàn)方法和與傳統(tǒng)方案。最后，討論了