论文报告
- 格式：doc
- 大小：991.50 KB
- 文档页数：6
第三章基于VPN的企业VOIP网络安全解决方案3.1 VPN的概念及特点
1)VPN的概念
VPN的英文Virtual Private Network的缩写，可翻译为虚拟专用网。
虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。
VPN是利用公共网络基础设施，通过“隧道”技术等手段达到类似私有专网的数据安全传输。
虚拟专用网是对企业内部网的扩展。
当移动用户或远程用户通过拨号方式远程访问公司或企业内部专用网络的时候，采用传统的远程访问方式不但通讯费用比较高，而且在与内部专用网络中的计算机进行数据传输时，不能保证通信的安全性。
为了避免以上的问题，通过拨号与企业内部专用网络建立VPN连接是一个理想的选择。
虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。
通过将数据流转移到低成本的压网络上，一个企业的虚拟专用网解决方案将大幅度地减少用户花费在城域网和远程网络连接上的费用。
同时，这将简化网络的设计和管理，加速连接新的用户和网站。
另外，虚拟专用网还可以保护现有的网络投资。
随着用户的商业服务不断发展，企业的虚拟专用网解决方案可以使用户将精力集中到自己的生意上，而不是网络上。
虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
2)VPN的特点
（1）降低成本：企业不必租用长途专线建设专网，不必大量的网络维护人员和设备投资。
利用现有的公用网组建的Intranet，要比租用专线或铺设专线要节省开支，而且当距离越远时节省的越多。
如：某企业的北京与纽约分部之间的连接，不太可能自铺专线：当一个远程用户在纽约想要连到北京的Intranet，
用拔号访问时，花的是国际长途话费；而用VPN技术时，只需在纽约和北京分别连接到当地的Internet就实现了互联，双方花的都是市话费。
（2）容易扩展：网络路由设备配置简单，无需增加太多的设备，省时省钱。
对于发展很快的企业来说，VPN就更是不可不用了。
如果企业组建自己的专用网，在扩展网络分支时，考虑到网络的容量，架设新链路，增加互联设备，升级设备等；而实现了VPN就方便多了，只需连接到公用网上，对新加入的网络终端在逻辑上进行设置，也不需要考虑公用网的容量问题、设备问题等。
（3）完全控制主动权：VPN上的设施和服务完全掌握在企业手可。
例如，企业可以把拨号访问交给NSP去做，由自己负责用户的查验、访问权、网络地址、安全性和网络变化管理等重要工作。
VPN通过采用“隧道”技术，并在Internet或国际互联网工程工作组（IETF）制定的Ipsec标准统一下，在公众网可形成企业的安全、机密、顺畅的专用链路。
图一
3)VPN的工作原理
从图1中,我们可以看出,这是一个比较传统的网络互联方案,这里采用的主要是通过ISDN网络设备进行拨号,达到不同网络间企业资源共享,数据交换的目的.因此从这种情形来看，PPP（点对点协议）数据包流是通过专用线路来进行传输的。
当然,有些大型企业或公司会去选择租用E1专线,但这些都是属于物理上
的,实实在在的专用线路的连接.而对于VPN技术而言，PPP数据包流是由一个LAN 上的路由器发出，通过共享IP网络上的隧道进行传输，再到达另一个LAN上的路由器。
这两者的关键不同点是隧道代替了实在的专用线路。
隧道好比是在WAN 中拉出一根串行通信电缆。
从图2中我们可以很明显的看出来:
图二
那么像图二这种做法，它的好处是什么呢？显而易见，第一个最大的好处就是降低了企业的成本；第二个好处便是可以加强企业总公司与分公司之间数据交流的安全性，因为企业设计了这么一个VPN的网络后，所有的重要数据都可以进行加密，然后通过IP隧道进行点到点的传输。
那么，下面的方案中，我们将着重讨论基于IPSec VPN网络的解决方案。
3.3 企业VPN网络解决方案拓扑图
MPSec VPN3010E
MyPower VG800MyPower VG800
3.4 企业VPN网络解决方案拓扑说明
从上图中，我们可以看到，在公司总部，我们采用了一台MPSec VPN3010的安全网关，MPSec VPN3010E标配4个百兆以太口，最多支持4个以太接口，明文吞吐率达到100Mbps ，密文吞吐量达到50Mbps。
其实它在这里，可谓是身兼多职，因此，我们很有必要来看一看他的一些关键特性：
·支持基于预共享密钥和数字证书的强身份认证
·支持IPSec NAT穿越技术
·支持远程动态IP>地址接入和DDNS功能
·支持虚拟安全域技术
·支持隧道自动协商、DPD（Dead Peer Detection）和VPN隧道通知删除技术·支持多种网络危机处理机制
·支持DHCP over IPSec功能，实现移动用户的内部IP自动配置
·实现VPN安全网络的“0配置”
·支持全面的路由协议和防火墙功能
·采用中文图形化网络管理系统，支持SNMP V3协议，可基于用户组管理·提供丰富的软件协议和标准加密认证算法
同时，我们在分公司一和分公司二都采用了MPSec VPN3005C的安全网关，MPSec VPN3005C标配2个百兆以太口，最多支持3个以太接口，明文吞吐能力达到
20Mbps ，密文吞吐量达到10Mbps，并提供VOIP插槽可插入VOIP语音模块实现VOIP与VPN的融合。
它的功能特性和3010的基本上差不多，只是在技术参数方面有些不同，相比之下支持的模块要多，线速要快，吞吐率要高。
在图中，我们在公司总部安置了一台IPSECVPN Server服务器，这里主要的作用是为了提供移动办公的用户，或者是选程家庭用户方便访问公司资源。
在本方案中，主要选用迈普的这几款VPN设备，其主要目的就是为了跟本文中最上面的那个整体方案相融合，做到VOIP与VPN完全融合的效果，一来为企业降低成本开销，二来可以保证语音及数据的安全传输。
3.5 基于VPN网络解决方案的特点
3.5.1 好管理
人性化管理，方便：可以让出差或在家的员工在授权的情况下随时登陆到公司内部存取所需数据。
总公司的一切数据都可以在这个大局域网实现共享,同时又可以实现细到基于每台PC权限控制,消除距离所带来的管理不便。
3.5.2 高安全
总部与分公司之间形成一个虚拟的局域网，整个隧道是经过加密和压缩的安全隧道，经过此隧道传输的数据都是经过安全认证的流文件，保证了企业互连的安全性，达到网上银行级别的可靠效果。
下面的解决方案将提供基于互联网的安全专网服务，基于IPSec VPN的VOIP网络，保证了VOIP的保密性，同时也解决了VOIP中的NAT穿越，IP地址规划问题。
3.5.3 高灵活
由于在总公司里面设置了IPSEC VPN Server服务器，分公司、远程用户或是移动用户，如果想访问公司内部网络，则只需在服务器上创建相应的用户名和密码，就可以随时随地的来进行访问，获得第一手资料，进行数据交换。
3.5.4 高效率
分布式资源的共享，如共享打印、文档等；远程维护、监控计算机，升级相关应用程序。
减少总部IT人员劳苦奔波，提高该部门的工作效率、降低分公司及各部门计算机出现故障对公司带来的相关损失。
3.5.5 低成本
采用VPN虚拟专用网，一方面可以为公司节省去租用专用链路的开销，另一方面在设备的集成方面也体现了极大的优势，由于，VPN设备上本身就自带路由于VOIP的功能，因此，企业在做VOIP和路由时就可以省下一大笔的设备开销。
最后一点就是，采用VPN网络设计，还可以有效的利用带宽，从而能够支持更多的用户接入，并为此可以提高工作效率，提高公司业绩。
