巧建設VPN虛擬私人網路

對VPN的要求
　　 由於VPN是為企業使用者服務的，關係到企業正常的運轉，所以下面從使用者角度分析對VPN的幾點要求。
　　 VPN的可用性：即建立的網路可以滿足使用者業務的要求。在進行企業使用者自身業務性質、流量分析後，建造一個採用何種技術的VPN滿足需求，如只用資料業務，可以全部採用非連線導向的IP技術；如果同時有話音業務，可以採用連線導向的FR/ATM技術或者IP VPN與VoIP的結合方案；如果再加入視頻業務，建議採用連線導向技術，同時還應該在頻寬方面有一定要求及計算規則。在設計中考慮VPN的冗餘備份及系統可以支援的最大最小容量及網路管理最大最小數量。
　　 VPN的安全性：如PVC的安全性、加密的安全性作為保證，同時還有賴於上層網路應用的認證系統，使用者授權系統等保證。
　　 VPN的可擴充性：首先是在物理網路上的擴充，即增加新的節點時，在技術角度和資金角度對全網的影響和擴充原則。其次是在功能上的擴充，包括支援Internet內部資料應用，外部Extranet資料處理，遠程接入，甚至於移動IP方式的應用。最後是在提供的應用業務上的擴充，即VPN的增值服務：IP Fax、辦公自動化系統、財務系統等。
　　 VPN的可管理性：對於不同業務模式和技術結合的網路有不同的VPN管理內容。基於NSP（網路服務供應商）提供的連線導向技術的VPN，VPN的管理內容應該基本等同於NSP自身的業務網路。因為NSP提供透明通道對VPN網路的管理資訊和使用者網路狀況不予幹涉。基於企業使用者自行布置的網路，由於只是在用戶端進行配置和控制，在網路傳輸部分是不被NSP所知和保障的，所以可管理性受NSP限制。
　　 VPN的建設及運營維護成本：VPN的成本主要分為兩部分：1.初期網路建設費用主要為裝置及初裝費用。2. 網路擴充及運營維護費用。其中初期網路建設及擴充費用可以較容易計算，並且大多數情況下和實際出入不大，而運營維護費用的多少和企業使用者的網路規模、對網路效能的要求、不同的業務模式、公司的IT技術力量和對網路管理的要求程度都有很大關係。
　　 結合以上幾個方面，筆者從實際應用出發談一下對企業構建VPN的建議。首先在安全性、可靠性上，筆者認為差別不大，而且多種純技術的安全性無可比性，只有結合全網路的安全性原則才可以有效地加強安全性。在網路管理方面，由於大多數企業使用者沒有足夠的管理IP網路的能力，並且希望和願意將網路託付給NSP進行管理，所以網路管理水平的差異主要是電訊廠商網路和管理水平的差異，其實如果出現從事網管代理維護的專業公司（目前已經有該類公司的雛形），完全可以搶佔大量市場，成為新的網路增值服務熱點。對於網路技術本身，雖然有大量的爭論、實驗和真實的運營案例，筆者還是比較認可利用FR/ATM技術進行VPN的構建。如在正常網路狀態下（不出現流量爆炸），IP、ATM無太大區別，但是出現流量突然增加的情況時，排隊機制、緩衝機制、CAC、CAR之類的技術都可以運行，但是到最終產生丟包時，由於ATM中的EPD、PPD都是針對一組可識別的隊列或者使用者進行丟棄，導致部分資料重傳或延時的，不會蔓延丟棄範圍。而IP網路是在正確的策略下大範圍的丟包，而且丟棄的包無關聯性，所以丟包後的業務重組將產生更多的流量，進一步惡化網路狀況。同時由於對企業使用者的流量模型特別是突發情況沒有把握，同時基於投入產出比的需要，網路電訊廠商不可能總是及時擴容網路的頻寬和最佳化網路的結構，更何況還存在網路的互聯情況。基於PVC的網路中，不增加骨幹頻寬的情況下，可以保障每個使用者的基本服務品質，而在實際運營的IP網路中，由於無規則的資料流在同一大通道內傳輸，所以當網路頻寬佔用率達到一定比例時，就會出現嚴重的丟包、延時增大等眾多現像。針對以上理解，筆者認為在構建企業VPN時，首先是分析自身的業務性質和流量模型。如果需要嚴格的QoS保障，如對延時、丟包等敏感的業務，應該適當加大投資，利用FR/ATM技術組建網路，同時加強網路管理和服務品質監測工作。如果僅僅是一些小流量或非即時突發流量，只是希望有一個相對安全、保密的通道，那麼可以利用IPSec技術建立VPN。
　 
　　 靈活選擇
　　 下面舉兩個例子用以說明客戶性質與網路技術的關聯性。
　　 1、 FR技術組網：有一家公司的業務是將一些電影或電視節目從美國總部通過網路發送到中國北京，當時該公司的要求為通過網路可以同步傳輸當時的進口大片，然後在中國內地做成可以出售的音像製品。由於視頻流對QoS，特別是頻寬的要求比較高，同時在設計中考慮由於時差原因，中美之間的資料網路在晚間流量很小等原因，該VPN的實現是通過開通CIR=1M同時可以支援突發到2M的FR PVC，網管方面提供給使用者基於Web的MRTG的流量監測視窗，使用者在使用過程中發現，幾乎只需要在夜間以突發速率就可以完成視頻資料的傳輸。
　　 2、 IP技術組網：2000年，某公司需要為其財務系統進行財務專用網路的建設，開始考慮采有FR技術，但設計中由於網路投資比較小，流量也小，而且不需要即時對賬，只要求當天對頭一天的賬務，每月進行一次匯總，所以就採用L2TP與IPSec結合的方式組建VPN網路。同時建議資料的更新在夜間流量少時進行，網路管理通過賬務系統內建的網路監視系統進行業務管理。網路運營初期一切正常，但是由於各電信電訊廠商的價格調整，特別是夜間的上網費用調整，費用下降上網人數增加，經常性的出現網路擁塞，在賬務系統的傳輸時，發生逾時間現象，已經無法滿足使用者需求，終端使用者建立利用FR技術的辦公自動化網路，同時載入賬務部分的業務才解決問題。
　　 以上的兩個案例，主要為了說明隨著使用者需求的不同和網路狀況的不同，在技術選擇上會有靈活多樣的變化，同時應該結合不同的節點情況進行統籌規劃和部署。在確定如何組建網路前，商業網路建設的決策者一定要詳細瞭解網路電訊廠商的網路狀況。如果接入服務供應商與骨幹傳輸電訊廠商是不同單位，一定要考慮接入線路與骨幹節點的介面情況是否影響VPN的擴充能力、是否可能成為網路瓶頸或單點故障。同時隨著網路服務供應商間的競爭越來越激烈，最好企業使用者和電訊廠商間有比較明確的服務品質協議（SLA），包括技術參數部分的約束和支援人員部分的承諾。一般在SLA方面企業使用者需要付出一定的費用，建議企業使用者根據自身需求和利益進行選擇，不要盲目追求高的QoS，而不考慮實際網路品質和業務性質。
　　 在確定採用何種技術和哪個電訊廠商以後，就是如何選擇VPN裝置。裝置的穩定性和處理能力是第一位的，高的MTTR可以有效降低運營維護成本，保障VPN網路較高的可用率。強大的處理能力為網路的擴充打下堅實基礎，在處理能力上特別對於加密/解密能力需要更高的要求。在Internet上加密/解密其實是安全性保障的唯一可行方法，加解密演算法的複雜性在帶來良好的安全性的同時，對裝置處理能力的要求幾乎呈現幾何增長，各種VPN產品的一個主要不同點在於採用密碼編譯演算法和密鑰的強度不同。由於加密是一項複雜的處理過程，特別是網路中有大量的資訊傳輸時，CPU要承擔大量的計算工作，所以目前VPN市場趨向於採用專用硬體裝置。
　　 裝置的可擴充性可以為VPN提供更多的增值服務的平台，如在支援現有區域網路的同時可擴充為支援無線區域網路，隨著話音業務的介入和擴充話音處理卡對FXO、FXS、E&M的支援等。裝置的管理能力及是否需要客戶自身的使用者身份認證和計費資訊也很重要，由於使用者的技術力量有限，所以要求網管系統具有圖形化使用者介面、介面友好、操作簡單，而且如果和使用者網管系統基於統一平台，可以考慮建立綜合網路管理系統。
　　 在考慮純VPN技術的同時應該在裝置商和整合商的協助下，將多種技術結合在一起，其中作為網路安全工具中最早應用並且已經非常成熟的防火牆技術是對VPN技術的良好補充。