技術簡介
在傳統的企業網絡配置中，要進行異地局域網之間的互連，傳統的方法是租用DDN(數字數據網)專線或幀中繼。這樣的通訊方案必然導緻高昂的網絡通訊/維護費用。對于移動用戶(移動辦公人員)與遠端個人用戶而言，一般通過撥号線路(Internet)進入企業的局域網，而這樣必然帶來安全上的隐患。
虛拟專用網指的是依靠ISP（Internet服務提供商）和其它NSP（網絡服務提供商），在公用網絡中建立專用的數據通信網絡的技術。在虛拟專用網中，任意兩個節點之間的連接并沒有傳統專網所需的端到端的物理鍊路，而是利用某種公衆網的資源動态組成的。IETF草案理解基于IP的VPN為："使用IP機制仿真出一個私有的廣域網"是通過私有的隧道技術在公共數據網絡上仿真一條點到點的專線技術。所謂虛拟，是指用戶不再需要擁有實際的長途數據線路，而是使用Internet公衆數據網絡的長途數據線路。所謂專用網絡，是指用戶可以為自己制定一個最符合自己需求的網絡。
用戶在電信部門租用的幀中繼（Frame Relay）與ATM等數據網絡提供固定虛拟線路（PVC-Permanent Virtual CircuIT）來連接需要通訊的單位，所有的權限掌握在别人的手中。如果用戶需要一些别的服務，需要填寫許多的單據，再等上相當一段時間，才能享受到新的服務。更為重要的是兩端的終端設備不但價格昂貴，而且管理也需要一定的專業技術人員，無疑增加了成本，而且幀中繼、ATM數據網絡也不會像Internet那樣，可立即與世界上任何一個使用Internet網絡的單位連接。而在Internet上，VPN使用者可以控制自己與其他使用者的聯系，同時支持撥号的用戶。
所以我們說的虛拟專用網一般指的是建築在Internet上能夠自我管理的專用網絡，而不是Frame Relay或ATM等提供虛拟固定線路（PVC）服務的網絡。以IP為主要通訊協議的VPN，也可稱之為IP-VPN。
由于VPN是在Internet上臨時建立的安全專用虛拟網絡，用戶就節省了租用專線的費用，在運行的資金支出上，除了購買VPN設備，企業所付出的僅僅是向企業所在地的ISP支付一定的上網費用，也節省了長途電話費。這就是VPN價格低廉的原因。
越來越多的用戶認識到，随着Internet和電子商務的蓬勃發展，經濟全球化的最佳途徑是發展基于Internet的商務應用。随着商務活動的日益頻繁，各企業開始允許其生意夥伴、供應商也能夠訪問本企業的局域網，從而大大簡化信息交流的途徑，增加信息交換速度。這些合作和聯系是動态的，并依靠網絡來維持和加強，于是各企業發現，這樣的信息交流不但帶來了網絡的複雜性，還帶來了管理和安全性的問題，因為Internet是一個全球性和開放性的、基于TCP/IP技術的、不可管理的國際互聯網絡，因此，基于Internet的商務活動就面臨非善意的信息威脅和安全隐患。
提出原因
虛拟專用網的提出就是來解決這些問題：
(1)使用VPN可降低成本——通過公用網來建立VPN，就可以節省大量的通信費用，而不必投入大量的人力和物力去安裝和維護WAN(廣域網)設備和遠程訪問設備。
(2)傳輸數據安全可靠——虛拟專用網産品均采用加密及身份驗證等安全技術，保證連接用戶的可靠性及傳輸數據的安全和保密性。
(3)連接方便靈活——用戶如果想與合作夥伴聯網，如果沒有虛拟專用網，雙方的信息技術部門就必須協商如何在雙方之間建立租用線路或幀中繼線路，有了虛拟專用網之後，隻需雙方配置安全連接信息即可。
(4)完全控制——虛拟專用網使用戶可以利用ISP的設施和服務，同時又完全掌握着自己網絡的控制權。用戶隻利用ISP提供的網絡資源，對于其它的安全設置、網絡管理變化可由自己管理。在企業内部也可以自己建立虛拟專用網。
技術特點
安全保障
雖然實現VPN的技術和方式很多，但所有的VPN均應保證通過公用網絡平台傳輸數據的專用性和安全性。在非面向連接的公用IP網絡上建立一個邏輯的、點對點的連接，稱之為建立一個隧道，可以利用加密技術對經過隧道傳輸的數據進行加密，以保證數據僅被指定的發送者和接收者了解，從而保證了數據的私有性和安全性。在安全性方面，由于VPN直接構建在公用網上，實現簡單、方便、靈活，但同時其安全問題也更為突出。企業必須确保其VPN上傳送的數據不被攻擊者窺視和篡改，并且要防止非法用戶對網絡資源或私有信息的訪問。ExtranetVPN将企業網擴展到合作夥伴和客戶，對安全性提出了更高的要求。
服務質量保證
（QoS）
VPN網應當為企業數據提供不同等級的服務質量保證。不同的用戶和業務對服務質量保證的要求差别較大。如移動辦公用戶，提供廣泛的連接和覆蓋性是保證VPN服務的一個主要因素；而對于擁有衆多分支機構的專線VPN網絡，交互式的内部企業網應用則要求網絡能提供良好的穩定性；對于其它應用（如視頻等）則對網絡提出了更明确的要求，如網絡時延及誤碼率等。所有以上網絡應用均要求網絡根據需要提供不同等級的服務質量。在網絡優化方面，構建VPN的另一重要需求是充分有效地利用有限的廣域網資源，為重要數據提供可靠的帶寬。廣域網流量的不确定性使其帶寬的利用率很低，在流量高峰時引起網絡阻塞，産生網絡瓶頸，使實時性要求高的數據得不到及時發送；而在流量低谷時又造成大量的網絡帶寬空閑。QoS通過流量預測與流量控制策略，可以按照優先級分配帶寬資源，實現帶寬管理，使得各類數據能夠被合理地先後發送，并預防阻塞的發生。
可擴充性和靈活性
VPN必須能夠支持通過Intranet和Extranet的任何類型的數據流，方便增加新的節點，支持多種類型的傳輸媒介，可以滿足同時傳輸語音、圖像和數據等新應用對高質量傳輸以及帶寬增加的需求。
可管理性
從用戶角度和運營商角度應可方便地進行管理、維護。在VPN管理方面，VPN要求企業将其網絡管理功能從局域網無縫地延伸到公用網，甚至是客戶和合作夥伴。雖然可以将一些次要的網絡管理任務交給服務提供商去完成，企業自己仍需要完成許多網絡管理任務。所以，一個完善的VPN管理系統是必不可少的。VPN管理的目标為：減小網絡風險、具有高擴展性、經濟性、高可靠性等優點。事實上，VPN管理主要包括安全管理、設備管理、配置管理、訪問控制列表管理、QoS管理等内容。
安全技術
由于傳輸的是私有信息，VPN用戶對數據的安全性都比較關心。
VPN主要采用四項技術來保證安全，這四項技術分别是隧道技術（Tunneling）、加解密技術（Encryption & Decryption）、密鑰管理技術（Key Management）、使用者與設備身份認證技術（Authentication）。
隧道技術
隧道技術是VPN的基本技術類似于點對點連接技術，它在公用網建立一條數據通道（隧道），讓數據包通過這條隧道傳輸。隧道是由隧道協議形成的，分為第二、三層隧道協議。第二層隧道協議是先把各種網絡協議封裝到PPP中，再把整個數據包裝入隧道協議中。這種雙層封裝方法形成的數據包靠第二層協議進行傳輸。第二層隧道協議有L2F、PPTP、L2TP等。L2TP協議是IETF的标準，由IETF融合PPTP與L2F而形成。
第三層隧道協議是把各種網絡協議直接裝入隧道協議中，形成的數據包依靠第三層協議進行傳輸。第三層隧道協議有VTP、IPSec等。IPSec（IP Security）是由一組RFC文檔組成，定義了一個系統來提供安全協議選擇、安全算法，确定服務所使用密鑰等服務，從而在IP層提供安全保障。
加解密技術
加解密技術是數據通信中一項較成熟的技術，VPN可直接利用現有技術。
密鑰管理技術
密鑰管理技術的主要任務是如何在公用數據網上安全地傳遞密鑰而不被竊取。現行密鑰管理技術又分為SKIP與ISAKMP/OAKLEY兩種。SKIP主要是利用Diffie-Hellman的演算法則，在網絡上傳輸密鑰；在ISAKMP中，雙方都有兩把密鑰，分别用于公用、私用。
使用者與設備身份認證技術
使用者與設備身份認證技術最常用的是使用者名稱與密碼或卡片式認證等方式。
漏洞處理
安全問題是VPN的核心問題。VPN的安全保證主要是通過防火牆技術、路由器配以隧道技術、加密協議和安全密鑰來實現的，可以保證企業員工安全地訪問公司網絡。
但是，如果一個企業的VPN需要擴展到遠程訪問時，就要注意，這些對公司網直接或始終在線的連接将會是黑客攻擊的主要目标。因為，遠程工作員工通過防火牆之外的個人計算機可以接觸到公司預算、戰略計劃以及工程項目等核心内容，這就構成了公司安全防禦系統中的弱點。雖然，員工可以雙倍地提高工作效率，并減少在交通上所花費的時間，但同時也為黑客、競争對手以及商業間諜提供了無數進入公司網絡核心的機會。
但是，企業并沒有對遠距離工作的安全性予以足夠的重視。大多數公司認為，公司網絡處于一道網絡防火牆之後是安全的，員工可以撥号進入系統，而防火牆會将一切非法請求拒之其外；還有一些網絡管理員認為，為網絡建立防火牆并為員工提供VPN，使他們可以通過一個加密的隧道撥号進入公司網絡就是安全的。這些看法都是不對的。
在家辦公是不錯，但從安全的觀點來看，它是一種極大的威脅，因為，公司使用的大多數安全軟件并沒有為家用計算機提供保護。一些員工所做的僅僅是進入一台家用計算機，跟随它通過一條授權的連接進入公司網絡系統。雖然，公司的防火牆可以将侵入者隔離在外，并保證主要辦公室和家庭辦公室之間VPN的信息安全。但問題在于，侵入者可以通過一個被信任的用戶進入網絡。因此，加密的隧道是安全的，連接也是正确的，但這并不意味着家庭計算機是安全的。
黑客為了侵入員工的家用計算機，需要探測IP地址。有統計表明，使用撥号連接的IP地址幾乎每天都受到黑客的掃描。因此，如果在家辦公人員具有一條諸如DSL的不間斷連接鍊路（通常這種連接具有一個固定的IP地址），會使黑客的入侵更為容易。因為，撥号連接在每次接入時都被分配不同的IP地址，雖然它也能被侵入，但相對要困難一些。一旦黑客侵入了家庭計算機，他便能夠遠程運行員工的VPN客戶端軟件。因此，必須有相應的解決方案堵住遠程訪問VPN的安全漏洞，使員工與網絡的連接既能充分體現VPN的優點，又不會成為安全的威脅。在個人計算機上安裝個人防火牆是極為有效的解決方法，它可以使非法侵入者不能進入公司網絡。當然，還有一些提供給遠程工作人員的實際解決方法：
* 所有遠程工作人員必須被批準使用VPN
* 所有遠程工作人員需要有個人防火牆，它不僅防止計算機被侵入，還能記錄連接被掃描了多少次
* 所有的遠程工作人員應具有入侵檢測系統，提供對黑客攻擊信息的記錄
* 監控安裝在遠端系統中的軟件，并将其限制隻能在工作中使用
* IT人員需要對這些系統進行與辦公室系統同樣的定期性預定檢查
* 外出工作人員應對敏感文件進行加密
* 安裝要求輸入密碼的訪問控制程序，如果輸入密碼錯誤，則通過Modem向系統管理員發出警報
* 當選擇DSL供應商時，應選擇能夠提供安全防護功能的供應商。
解決方案
VPN有三種解決方案，用戶可以根據自己的情況進行選擇。這三種解決方案分别是：遠程訪問虛拟網（AccessVPN）、企業内部虛拟網（IntranetVPN）和企業擴展虛拟網（ExtranetVPN），這三種類型的VPN分别與傳統的遠程訪問網絡、企業内部的Intranet以及企業網和相關合作夥伴的企業網所構成的Extranet相對應。
AccessVPN
如果企業的内部人員移動或有遠程辦公需要，或者商家要提供B2C的安全訪問服務，就可以考慮使用AccessVPN。
AccessVPN通過一個擁有與專用網絡相同策略的共享基礎設施，提供對企業内部網或外部網的遠程訪問。AccessVPN能使用戶随時、随地以其所需的方式訪問企業資源。AccessVPN包括模拟、撥号、ISDN、數字用戶線路(xDSL)、移動IP和電纜技術，能夠安全地連接移動用戶、遠程工作者或分支機構。
AccessVPN最适用于公司内部經常有流動人員遠程辦公的情況。出差員工利用當地ISP提供的VPN服務，就可以和公司的VPN網關建立私有的隧道連接。RADIUS服務器可對員工進行驗證和授權，保證連接的安全，同時負擔的電話費用大大降低。
AccessVPN對用戶的吸引力在于：
* 減少用于相關的調制解調器和終端服務設備的資金及費用，簡化網絡
* 實現本地撥号接入的功能來取代遠距離接入或800電話接入，這樣能顯著降低遠距離通信的費用
* 極大的可擴展性，簡便地對加入網絡的新用戶進行調度
* 遠端驗證撥入用戶服務（RADIUS）基于标準，基于策略功能的安全服務
* 将工作重心從管理和保留運作撥号網絡的工作人員轉到公司的核心業務上來。
IntranetVPN
如果要進行企業内部各分支機構的互聯，使用IntranetVPN是很好的方式。
越來越多的企業需要在全國乃至世界範圍内建立各種辦事機構、分公司、研究所等，各個分公司之間傳統的網絡連接方式一般是租用專線。顯然，在分公司增多、業務開展越來越廣泛時，網絡結構趨于複雜，費用昂貴。利用VPN特性可以在Internet上組建世界範圍内的IntranetVPN。利用Internet的線路保證網絡的互聯性，而利用隧道、加密等VPN特性可以保證信息在整個IntranetVPN上安全傳輸。IntranetVPN通過一個使用專用連接的共享基礎設施，連接企業總部、遠程辦事處和分支機構。企業擁有與專用網絡的相同政策，包括安全、服務質量(QoS)、可管理性和可靠性。
IntranetVPN對用戶的吸引力在于：
* 減少WAN帶寬的費用
* 能使用靈活的拓撲結構，包括全網絡連接
* 新的站點能更快、更容易地被連接
* 通過設備供應商WAN的連接冗餘，可以延長網絡的可用時間。
ExtranetVPN
如果是提供B2B之間的安全訪問服務，則可以考慮ExtranetVPN。
随着信息時代的到來，各個企業越來越重視各種信息的處理。希望可以提供給客戶最快捷方便的信息服務，通過各種方式了解客戶的需要，同時各個企業之間的合作關系也越來越多，信息交換日益頻繁。Internet為這樣的一種發展趨勢提供了良好的基礎，而如何利用Internet進行有效的信息管理，是企業發展中不可避免的一個關鍵問題。利用VPN技術可以組建安全的Extranet，既可以向客戶、合作夥伴提供有效的信息服務，又可以保證自身的内部網絡的安全。
ExtranetVPN通過一個使用專用連接的共享基礎設施，将客戶、供應商、合作夥伴或興趣群體連接到企業内部網。企業擁有與專用網絡的相同政策，包括安全、服務質量(QoS)、可管理性和可靠性。
ExtranetVPN對用戶的吸引力在于：能容易地對外部網進行部署和管理，外部網的連接可以使用與部署内部網和遠端訪問VPN相同的架構和協議進行部署。主要的不同是接入許可，外部網的用戶被許可隻有一次機會連接到其合作人的網絡。
技術優點
Internet服務提供商（ISP）和企業将是VPN的直接受益者。ISP将VPN作為一項增值業務推向企業，并從企業得到回報。因此，VPN的最終目的是服務于企業，為企業帶來可觀的經濟效益，為現代化企業的信息共享提供安全可靠的途徑。
ISP受益
對于ISP來說，VPN提供了巨大商機。世紀互聯的薛滔先生介紹說：世紀互聯使用的是基于網通的全國網絡，有很好的硬件條件。面對IDC在2001年更加激烈的競争狀況，世紀互聯希望在IDC基礎之上找到新的增長點。因為網站縮水，所以世紀互聯将目光轉向大中型傳統企業，分析他們對電信資源有哪些需求，結果覺得VPN是一個機會。世紀互聯正在探索，VPN的方案和技術已經準備就緒。世紀互聯的目标用戶是全國有分支機構，信息化建設已經達到一定水平的單位，世紀互聯将整合現有資源，包括網絡、托管和技術力量來為用戶提供服務。通過向企業提供VPN增值服務，ISP可以與企業建立更加緊密的長期合作關系，同時充分利用現有網絡資源，提高業務量。事實上，VPN用戶的數據流量較普通用戶要大得多，而且時間上也是相互錯開的。VPN用戶通常是上班時間形成流量的高峰，而普通用戶的流量高峰期則在工作時間之外。ISP對外提供兩種服務，資源利用率和業務量都會大大增加。同時，VPN使ISP能夠經濟地維持開發客戶群、增加利潤、提供增強服務，如視頻會議、電子商務、IP電話、遠程教學、多媒體商務應用等等。
用戶受益
哪些用戶适于使用VPN呢？在滿足基本應用要求後，有三類用戶比較适合采用VPN：
1)位置衆多，特别是單個用戶和遠程辦公室站點多，例如企業用戶、遠程教育用戶；
2)用戶/站點分布範圍廣，彼此之間的距離遠，遍布全球各地，需通過長途電信，甚至國際長途手段聯系的用戶
3)帶寬和時延要求相對适中；
4)對線路保密性和可用性有一定要求的用戶。
相對而言，有四種情況可能并不适于采用VPN：
1)非常重視傳輸數據的安全性
2)不管價格多少，性能都被放在第一位的情況；
3)采用不常見的協議，不能在IP隧道中傳送應用的情況
4)大多數通信是實時通信的應用，如語音和視頻。但這種情況可以使用公共交換電話網（PSTN）解決方案與VPN配合使用。
對于企業來說，VPN提供了安全、可靠的Internet訪問通道，為企業進一步發展提供了可靠的技術保障。而且VPN能提供專用線路類型服務，是方便快捷的企業私有網絡。企業甚至可以不必建立自己的廣域網維護系統，而将這一繁重的任務交由專業的ISP來完成。
主要作用
由于VPN的出現，用戶可以從以下幾方面獲益：
實現網絡安全
具有高度的安全性，對于網絡是極其重要的。新的服務如在線銀行、在線交易都需要絕對的安全，而VPN以多種方式增強了網絡的智能和安全性。首先，它在隧道的起點，在現有的企業認證服務器上，提供對分布用戶的認證。另外，VPN支持安全和加密協議，如SecureIP（IPsec）和Microsoft點對點加密（MPPE）。
簡化網絡設計
網絡管理者可以使用VPN替代租用線路來實現分支機構的連接。這樣就可以将對遠程鍊路進行安裝、配置和管理的任務減少到最小，僅此一點就可以極大地簡化企業廣域網的設計。另外，VPN通過撥号訪問來自于ISP或NSP的外部服務，減少了調制解調器池，簡化了所需的接口，同時簡化了與遠程用戶認證、授權和記賬相關的設備和處理。
降低成本
VPN可以立即且顯著地降低成本。當使用Internet時，實際上隻需付短途電話費，卻收到了長途通信的效果。因此，借助ISP來建立VPN，就可以節省大量的通信費用。此外，VPN還使企業不必投入大量的人力和物力去安裝和維護WAN設備和遠程訪問設備，這些工作都可以交給ISP。VPN使用戶可以降低如下的成本：
移動用戶通信成本。VPN可以通過減少長途費或800費用來節省移動用戶的花費。
租用線路成本。VPN可以以每條連接的40%到60%的成本對租用線路進行控制和管理。對于國際用戶來說，這種節約是極為顯著的。對于話音數據，節約金額會進一步增加。
主要設備成本。VPN通過支持撥号訪問外部資源，使企業可以減少不斷增長的調制解調器費用。另外，它還允許一個單一的WAN接口服務多種目的，從分支網絡互連、商業夥伴的外連網終端、本地提供高帶寬的線路連接到撥号訪問服務提供者，因此，隻需要極少的WAN接口和設備。由于VPN可以完全管理，并且能夠從中央網站進行基于策略的控制，因此可以大幅度地減少在安裝配置遠端網絡接口所需設備上的開銷。另外，由于VPN獨立于初始協議，這就使得遠端的接入用戶可以繼續使用傳統設備，保護了用戶在現有硬件和軟件系統上的投資。
容易擴展
如果企業想擴大VPN的容量和覆蓋範圍。企業需做的事情很少，而且能及時實現：企業隻需與新的IPS簽約，建立賬戶；或者與原有的ISP重簽合約，擴大服務範圍。在遠程辦公室增加VPN能力也很簡單：幾條命令就可以使Extranet路由器擁有Internet和VPN能力，路由器還能對工作站自動進行配置。
可随意與合作夥伴聯網
在過去，企業如果想與合作夥伴連網，雙方的信息技術部門就必須協商如何在雙方之間建立租用線路或幀中繼線路。有了VPN之後，這種協商也毫無必要，真正達到了要連就連，要斷就斷。
完全控制主動權
借助VPN，企業可以利用ISP的設施和服務，同時又完全掌握着自己網絡的控制權。比方說，企業可以把撥号訪問交給ISP去做，由自己負責用戶的查驗、訪問權、網絡地址、安全性和網絡變化管理等重要工作。
支持新興應用
許多專用網對許多新興應用準備不足，如那些要求高帶寬的多媒體和協作交互式應用。VPN則可以支持各種高級的應用，如IP語音，IP傳真，還有各種協議，如RSIP、IPv6、MPLS、SNMPv3等。
正由于VPN能給用戶帶來諸多的好處，VPN在全球發展得異常紅火，在北美和歐洲，VPN已經是一項相當普遍的業務；在亞太地區，該項服務也迅速開展起來。
發展趨勢
在國外，Internet已成為全社會的信息基礎設施，企業端應用也大都基于IP，在Internet上構築應用系統已成為必然趨勢，因此基于IP的VPN業務獲得了極大的增長空間。Infornetics Research公司預言，在2001年，全球VPN市場将達到120億美元。據預測，到2004年，北美的VPN業務收入将增至88億美元。
在中國，制約VPN的發展、普及的因素大緻可分為客觀因素和主觀因素兩方面。
1．客觀因素包括因特網帶寬和服務質量QoS問題。
在過去無論因特網的遠程接入還是專線接入，以及骨幹傳輸的帶寬都很小，QoS更是無法保障，造成企業用戶甯願花費大量的金錢去投資自己的專線網絡或是甯願花費巨額的長途話費來提供遠程接入。随着ADSL、DWDM、MPLS等新技術的大規模應用和推廣，上述問題将得到根本改善和解決。譬如，過去專線接入速率最高才2Mbps，而以後，中國的企業用戶可以享受到10Mbps，乃至100Mbps的Internet專線接入，而骨幹網現在最高已達到40Gbps，并且今後幾年内将發展到上百乃至上千個Gbps，這已不是技術問題而是時間問題。随着互聯網技術的發展，可以說VPN在未來幾年内将會得到迅猛發展。
2．主觀因素之一是用戶總害怕自己内部的數據在Internet上傳輸不安全。
其實前面介紹的VPN技術已經能夠提供足夠安全的保障，可以使用戶數據不被查看、修改。主觀因素之二，也是VPN應用最大的障礙，是客戶自身的應用跟不上，隻有企業将自己的業務完全和網絡聯系上，VPN才會有了真正的用武之地。
可以想象，當我們消除了所有這些障礙因素後，VPN将會成為我們網絡生活的主要組成部分。在不遠的将來，VPN技術将成為廣域網建設的最佳解決方案，它不僅會大大節省廣域網的建設和運行維護費用，而且增強了網絡的可靠性和安全性。同時，VPN會加快企業網的建設步伐，使得集團公司不僅僅隻是建設内部局域網，而且能夠很快地把全國各地分公司的局域網連起來，從而真正發揮整個網絡的作用。VPN對推動整個電子商務、電子貿易将起到不可低估的作用。n
