单位虚拟专用网的组建
２００７年６月
技术Ｖｏｌ．１５Ｎｏ．３
Ｊｕｎ．２００７
０引言
笔者所在单位下辖５家子报（均分散于城中各处），并在省内各地州市设有记者站。随着广告业务的拓展和新闻采编量的增加，各分社（站）之间的数据交换频繁，再加之出差人员迫切需要随时随地的访问单位采编网，单位网络的优化升级就提上了议程。综合考虑数据传输的安全性、可靠性及办公成本，决定使用ＶＰＮ技术来解决以上问题。
１ＶＰＮ简介
ＶＰＮ（虚拟专用网）是一种“基于公共数据网，给用户一种直接连接到私人局域网感觉的服务”，ＶＰＮ对用户端透明，用户好象使用一条专用线路在客户计算机和企业服务器之间建立点对点连接来进行数据的传输。
ＶＰＮ可分为ＩｎｔｒａｎｅｔＶＰＮ、ＡｃｃｅｓｓＶＰＮ和Ｅｘ－ｔｒａｎｅｔＶＰＮ３类，分别提供网关到网关及客户端到网关的连接。
隧道技术是实现ＶＰＮ的关键。目前ＶＰＮ隧道协议有４种：点到点隧道协议ＰＰＴＰ、第二层隧道协议Ｌ２ＴＰ、网络层隧道协议ＩＰＳｅｃ以及ＳＯＣＫＳｖ４／ｖ５。其中ＩＰＳｅｃ被用于提供ＩＰ层的数据保护和透明的安全通信。现在流行的趋势是将Ｌ２ＴＰ和ＩＰＳｅｃ结合起来，用Ｌ２ＴＰ作为隧道协议，用ＩＰＳｅｃ协议保护数据。
２ＶＰＮ组网条件
根据对用户需求的分析，笔者认为此次ＶＰＮ方案的实施必须满足以下条件：
（１）各欲访问ＶＰＮ的部门（移动用户）均可以连接上Ｉｎｔｅｒｎｅｔ。
（２）总部有ＩＳＰ提供的固定ＩＰ地址，并提供足够的带宽以保证ＶＰＮ的访问速度。分支机构可以有固定的ＩＰ地址，也可以由ＩＳＰ动态分配ＩＰ地址。
（３）总部及各子报刊社内部有成熟的局域网络互联，以便任意一台合法的ＰＣ均可享受总部服务器提供的服务。
（４）总部的中心路由器及各子报刊社的网关均能支持ＶＰＮ功能。
（５）总部服务器的操作系统支持远程访问功能。３ＶＰＮ的组建
上述硬件条件满足后，就可以着手组建自己的ＶＰＮ了。
３．１ＬＡＮｔｏＬＡＮ子报与总部的ＶＰＮ连接
单位已获得ＩＳＰ提供的固定ＩＰ地址，采用的是ＡＴＩＡＲ－７４０Ｓ型路由器（支持ＶＲＲＰ、ＩＰＳｅｃ、Ｌ２ＴＰ、ＧＲＥ、ＩＰ、ＩＰＸ等多种协议路）。由于它本身就提供对
第１５卷第３期２００７年６月电脑与信息
ＣｏｍｐｕｔｅｒａｎｄＩｎｆｏｒｍａｔｉｏｎＴｅｃｈｎｏｌｏｇｙ
文章编号：１００５－１２２８（２００７）０３－００６４－０２
单位虚拟专用网的组建
周为
（湖南日报社，湖南长沙４１０００５）
摘要：文章以单位组建虚拟专用网为实例，简单介绍了ＶＰＮ的发展及其技术特点，着重讲叙了ＶＰＮ组网的各个步骤。
通过对ＶＰＮ网络的实际应用，认为ＶＰＮ具有节约成本、更安全、易扩充和好管理等方面的优势。
关键词：虚拟专用网技术；ＩＰＳｅｃ协议；ＶＰＮ路由器
中图分类号：ＴＰ３９３文献标识码：Ａ
ＢｕｉｌｄＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋｆｏｒＮｅｗｓｐａｐｅｒＯｆｆｉｃｅ
ＺＨＯＵＷｅｉ
（ＨｕｎａｎＤａｉｌｙＮｅｗｓｐａｐｅｒＯｆｆｉｃｅ，Ｃｈａｎｇｓｈａ，Ｈｕｎａｎ４１０００５，Ｃｈｉｎａ）
Ａｂｓｔｒａｃｔ：ＴｈｉｓａｒｔｉｃｌｅｓｉｍｐｌｅｉｎｔｒｏｄｕｃｅｓＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋｔｅｃｈｎｏｌｏｇｙ’ｓｃｈａｒａｃｔｅｒｉｓｔｉｃａｔｆｉｒｓｔ，ａｎｄｔｈｅｎｎａｒｒａｔｅｓａｌｌｓｔｅｐｓｏｆｂｕｉｌｄｉｎｇＶＰＮ．Ｆｉｎａｌｌｙ，ｂｙｕｓｉｎｇｔｈｅＶＰＮ，ｔｈｅａｕｔｈｏｒｃｏｎｓｉｄｅｒｓＶＰＮｎｏｔｏｎｌｙｈａｖｅｍａｎｙａｄｖａｎｔａｇｅｓｏｎｒｅｔｒｅｎｃｈｉｎｇｃｏｓｔｂｕｔａｌｓｏｂｅｉｎｇｓｅｃｕｒｅｒ．
Ｋｅｙｗｏｒｄｓ：ｖｉｒｔｕａｌｐｒｉｖａｔｅｎｅｔｗｏｒｋｔｅｃｈｎｏｌｏｇｙ；ＩＰＳｅｃｐｒｏｔｏｃｏｌ；ＶＰＮｒｏｕｔｅｒ
收稿日期：２００７－０６－０６
作者简介：周为（１９７９－），男，助理工程师，研究方向：计算机网络。
第１５卷第３期ＶＰＮ的支持，所以在总部我们无须更换设备和改变网
络的原有结构，而在其他分支机构一般使用普通的
ＡＤＳＬ宽带路由器，考虑到兼容性，笔者建议统一更换
成ＡＴＩＡＲ－３２０Ｚ。
完成硬件连接后，我们还必须依照ＩＰ地址表对路由器进行相关的配置，见表１：
要注意的是：各部门的内部网段不能是同一网段。如果相同就必须修改其中之一。
中心路由器ＲｏｕｔｅｒＡ配置：
（１）先配置基本网络ＩＰ地址及子网划分；（２）启用安全模式登陆；
（３）设置预共享密匙ｋｅｙ１，ｃｒｅａｔｅｅｎｃｏｋｅｙ＝１ｔｙｐｅ＝
ｇｅｎｖａｌ＝ｈｎｒｂ
注：ｖａｌ后的值可以为任意，但必须和分支路由器ＲｏｕｔｅｒＢ的值相同
（４）配置防火墙相关策略；（５）配置ＩＳＡＫＭＰ；
ｃｒｅａｔｅｉｓａｋｍｐｐｏｌｉｃｙ＝ｃｅｎｔｅｒｋｅｙｐｅｅｒ＝ａｎｙｋｅｙ＝１ｓｅｔｉｓａｋｍｐｐｏｌｉｃｙ＝ｃｅｎｔｅｒｋｅｙｓｅｎｄｄ＝ｔｒｕｅｓｅｔｃ＝ｔｒｕｅ
注：由于ＲｏｕｔｅｒＢ为动态获得ＩＰ地址，所以ｐｅｅｒ参数为ａｎｙ
（６）配置ＩＰＳｅｃ变换集；
ｃｒｅａｔｅｉｐｓｅｃｓａｓ＝１ｋｅｙ＝ｉｓａｋｍｐｐｒｏｔ＝ｅｓｐｅｎｃ＝ｄｅｓｈａｓｈａ＝ｓｈａ
ｃｒｅａｔｅｉｐｓｅｃｂｕｎｄ＝１ｋｅｙ＝ｉｓａｋｍｐｓｔｒｉｎｇ＝“１”
安全协议ＥＳＰ，加密方式ＤＥＳ，认证方式ＳＨＡ，用
ｉｓａｋｍｐ进行密钥管理
（７）配置ＩＰＳｅｃ策略，用ＩＰＳｅｃ加密相关通讯数据；
ｃｒｅａｔｅｉｐｓｅｃｐｏｌ＝“ｉｓａｋｍｐ”ｉｎｔ＝ｅｔｈ０ａｃ＝ｐｅｒｍｉｔｓｅｔｉｐｓｅｃｐｏｌ＝“ｉｓａｋｍｐ”ｌｐ＝５００ｒｐ＝５００ｔｒａ＝ｕｄｐｃｒｅａｔｅｉｐｓｅｃｐｏｌ＝“ｈｎｒｂｖｐｎ”ｉｎｔ＝ｅｔｈ０ａｃ＝ｉｐｓｅｃｋｅｙ＝ｉｓａｋｍｐｂｕｎｄ＝１ｐｅｅｒ＝ｄｙｎａｍｉｃｓｅｔｉｐｓｅｃｐｏｌ＝“ｈｎｒｂｖｐｎ”ｌａｄ＝１９２．１６８．１８．０
ｌｍａ＝２５５．２５５．２５５．０ｒａｄ＝１９２．１６８．２０．０ｒｍａ＝２５５．２５５．２５５．０
（８）启用ＩＳＡＫＭＰ和ＩＰＳｅｃ；
ｅｎａｂｌｅｉｓａｋｍｐ
ｅｎａｂｌｅｉｐｓｅｃ
ＲｏｕｔｅｒＢ的配置与上述类似，只是要注意Ｐｒｅ－ｓｈａｒｅｄｋｅｙ必须与ＲｏｕｔｅｒＡ中的值协商一致，并在ＩＳＡＫＭＰ配置中把对端（ＲｏｕｔｅｒＡ）的ＩＰ地址改成实际
的固定ＩＰ地址（５６．６８．１８７．２１）即可。正确配置路由器并顺利通过测试后，总部就能和各级子报社相互连通了，就像处于一个真正的物理局域网内一样。
３．２ＰＣｓｔｏＬＡＮ移动用户与总部的ＶＰＮ连接
对于出差在外的员工连接ＶＰＮ的问题，需要利用Ｗｉｎｄｏｗｓ操作系统内置的Ｌ２ｔｐＯｖｅｒＩｐｓｅｃ来实现远程访问。相对Ｗｉｎｄｏｗｓ２０００而言，ＷｉｎｄｏｗｓＸＰ对Ｌ２ＴＰＯＶＥＲＩＰＳｅｃ的支持很完善，ＩＰＳｅｃ认证对端节
点的方式也可以在Ｐｒｅ－ｓｈａｒｅｄｋｅｙ和数字证书之间方便地选择，因此不需更改ＷｉｎｄｏｗｓＸＰ注册表。而且，在创建ＶＰＮ连接时，已经有Ｌ２ＴＰＩＰＳｅｃＶＰＮ类型选择，不需再专门配置“ＩＰ安全策略”，所有的工作都可以在创建ＶＰＮ连接时完成，极大地简化了客户端的配置。
首先利用“网络连接向导”创建一个新的“ＶＰＮ连接”，根据向导提示输入中心路由器的外部静态公网ＩＰ地址，在拨号的“
属性”选项里选择“安全”选项卡，点击选择“使用预共享的密匙作身份验证”，这里要注意“预共享的密匙”的值必须和中心路由器中设置的预共享的密匙值相同，否则将不可能通过服务器的认证，最后在“网络”选项卡里将服务类型选择为“Ｌ２ＴＰＩＰＳｅｃＶＰＮ”
。完成这些简单的步骤后，ＷｉｎｄｏｗｓＸＰ的ＶＰＮ网络连接就完成了。但我们仍要对中心路由器进行相关的配置，使其能接收所有合法用户的Ｌ２ｔｐＯｖｅｒＩＰＳｅｃ连接，配置方法也十分简单，这里就不再赘述。
完成以上工作，移动出差用户就可以随时在任何可连接Ｉｎｔｅｒｎｅｔ的地方，用预先约定的密匙、帐号及密码通过拨号的方式接入集团总部的服务器，而且所传输的数据都能经过安全的加密保护，不必担心自己的重要资料被窃取。
４结束语
通过借助于公共网络服务平台来组建ＶＰＮ，不但
解决了物理地域分散的各分支机构信息交换问题，还在有限的网络投入和管理工具条件下，提供了较高的网络性能，同时还可以通过各种安全技术的引入来保证通信的安全性。
参考文献：
［１］中国ＩＴ认证实验室．ＶＰＮ专题［ＥＢ／ＯＬ］．ｈｔｔｐ：／／ｗｗｗ．ｃｈｉｎａｉｔｌａｂ．ｃｏｍ／
ｗｗｗ／ｓｐｅｃｉａｌ／ｖｐｎ．ａｓｐ，２００６．
［２］博兰普拉格德肯哈利德韦恩纳．ＩＰＳｅｃＶＰＮ设计［Ｍ］．袁国忠译．北京：人民邮电出版社，２００６．
［３］高海英，薛元星，辛阳．ＶＰＮ技术［Ｍ］．北京：机械工业出版社，２００４．［４］
王达．虚拟专用网精解／网络工程师系列丛书［Ｍ］．北京：清华大学出版社，２００４．
表１
路由器的ＩＰ地址分配
ＬＡＮ
ＶＬＡＮ１：１９２．１６８．１８．１／２４ＶＬＡＮ１：１９２．１６８．２０．１／２４
ＷＡＮ
ＥＴＨ０：５６．６８．１８７．２１ＥＴＨ０：ＩＳＰ动态分配ＩＰ地址
路由器
ＲｏｕｔｅｒＡ（中心路由器ＡＲ７４０Ｓ）ＲｏｕｔｅｒＢ（分支路由器ＡＲ３２０）周为：单位虚拟专用网的组建?６５?