网络规划与设计中的VPN技术

• 从VPN技术分析入手，总结出了VPN在园区中的部署方式，并给出了VPN在教育城域网部署中的推荐模型。
• 对VPN实现的Tunnel技术影响转发速度，不适合通过Internet配置Tunnel的内部网络系统的问题，提出了在路由表中添加用于实现Tunnel的信息表和增加Tunnel表，来取代Tunnel Server Card的解决办法。
• 对VPN安全认证机制存在的安全隐患，提出虚拟工作流的概念，采用延迟后验，来弥补VPN方式的安全缺陷，提高系统的安全性。
• 把基于角色的访问控制（RBAC）模型引入到VPN教育城域网中，提出了保持角色互斥和最小权限的办法，并给出了基于RBAC的具体设计与实现办法。
• 同时，集IPsec具有的成本低、高效、安全优势和MPLS支持高层资源预留、QoS、主机行为定义等机制优势，摈弃IPsec不提供帧保序，多协议操作、QoS、VPN-ID的传输和MPLS不提供细粒度的安全服务，不适合构造复杂的、安全性要求非常高的应用的缺陷，给出IPsec + MPLS的VPN解决方案。

VPN采用忍俊不禁隧道、密钥管理、访问控制和身份认证技术，总结了VPN三种实现方式： 远程拨号型、点到点型和访问控制型VPN。

VPN部署有四种方式： 在防火墙外、 VPN在服务网上、VPN在防火墙内 和 VPN集成到防火墙中。

VPN主要采用的技术

第二层隧道协议：

• 安全隧道技术（Secure Tunneling）
• L2F(Layer 2 Forwarding)隧道协议
• PPTP(Point-to-Point Tunneling Protocol)隧道协议
• L2TP(Layer 2 Tunneling Ptotocol)隧道协议

第三层隧道协议：

• VIP
• GRE
• IPsec

密码管理技术（Key Management） SKIP && ISAKMP/Oakley

用户身份认证技术（User Authentication）  Kerberos && X.509目录认证服务系统

VPN的实现方式可分为远程拨号型、点到点型、访问控制型三种