【文章內(nèi)容簡介】 以提供標(biāo)準(zhǔn)加密算法下350Mbps以上的加密吞吐量，百兆VPN網(wǎng)關(guān)通過專業(yè)的硬件加密處理器可以提供標(biāo)準(zhǔn)加密算法下60Mbps以上的加密吞吐量；VPN Server企業(yè)網(wǎng)絡(luò)OA應(yīng)用服務(wù)器CAMS/Radius VPN ManagerMail服務(wù)器分支結(jié)構(gòu)局域網(wǎng)VPN Client分支結(jié)構(gòu)局域網(wǎng)VPN Client分支結(jié)構(gòu)局域網(wǎng)VPN ClientADSLLANADSL IPSec VPN方式組網(wǎng)特點：252。 VPN客戶端設(shè)備相對來說比較簡單。部署要點252。 VPN客戶端可以使用動態(tài)地址接入服務(wù)器，但為了防止客戶端IPSec配置泄露造成的安全隱患，建議VPN客戶端口采用靜態(tài)地址。同時，這樣也便于使用VPN Manager的配置管理功能。方案特點 252。 組網(wǎng)簡單，易于部署；252。 由于IPSec不能承載路由協(xié)議，需要在分支結(jié)構(gòu)和園區(qū)網(wǎng)配置大量的靜態(tài)路由。252。 單純的IPSec封裝，對于帶寬資源消耗較??； IPSec over GRE VPN方式組網(wǎng)特點：252。 部分業(yè)務(wù)流量需要IPSec保護，另一部分業(yè)務(wù)流量不需要IPSec保護，僅需要GRE隧道完成VPN功能。252。 VPN內(nèi)部需要建立統(tǒng)一的OSPF路由域。部署要點252。 兩端的VPN網(wǎng)關(guān)的之間建立GRE隧道，然后將IPSec策略應(yīng)用到GRE隧道接口上從而建立IPSec隧道，進行數(shù)據(jù)封裝、加密和傳輸；252。 在GRE隧道接口上使能OSPF；方案特點 252。 GRE可以承載多種協(xié)議，擴展性強。252。 IPSec只適用于IP協(xié)議，所以對于企業(yè)網(wǎng)內(nèi)非IP協(xié)議，不能使用。252。 IPSec是基于策略的，GRE是基于路由的。如果企業(yè)網(wǎng)內(nèi)部分流量需要IPSec保護，而另一部分不需要。建議使用IPSec over GRE的方式。252。 不需要配置大量的靜態(tài)路由，配置簡單。252。 GRE還支持由用戶選擇記錄Tunnel接口的識別關(guān)鍵字，和對封裝的報文進行端到端校驗；252。 GRE收發(fā)雙方加封裝、解封裝處理以及由于封裝造成的數(shù)據(jù)量增加等因素的影響，這就導(dǎo)致使用GRE會造成路由器一定的負(fù)擔(dān)； GRE over IPSec VPN方式組網(wǎng)特點：252。 VPN內(nèi)部需要建立統(tǒng)一的OSPF路由域。252。 VPN內(nèi)部可以支持MPLS、IPX等非IP協(xié)議的網(wǎng)絡(luò)。部署要點252。 兩端的VPN網(wǎng)關(guān)的Loopback接口之間建立GRE隧道，然后將IPSec策略應(yīng)用到Wan接口上從而建立IPSec隧道，進行數(shù)據(jù)封裝、加密和傳輸；252。 在GRE隧道接口上使能OSPF；方案特點 252。 GRE的特點是可以承載多種協(xié)議，而IPSec只能承載IP協(xié)議。如果企業(yè)網(wǎng)內(nèi)有IPX、MPLS等應(yīng)用，建議可以先借用GRE承載非IP協(xié)議，然后才能使用IPSec保護GRE報文。252。 GRE是基于路由的，而IPSec是基于策略。如果需要在企業(yè)網(wǎng)內(nèi)統(tǒng)一規(guī)劃路由方案，GRE over IPSec的方式邏輯就比較清晰。因為IPSec的策略是針對GRE隧道的，而GRE隧道是基于路由的，所以整個VPN內(nèi)的路由是統(tǒng)一的。252。 對業(yè)務(wù)流量，諸如路由協(xié)議、語音、視頻等數(shù)據(jù)先進行GRE封裝，然后再對封裝后的報文進行IPSec的加密處理。252。 不必配置大量的靜態(tài)路由，配置簡單。252。 GRE還支持由用戶選擇記錄Tunnel接口的識別關(guān)鍵字，和對封裝的報文進行端到端校驗；252。 GRE收發(fā)雙方加封裝、解封裝處理以及由于封裝造成的數(shù)據(jù)量增加等因素的影響，這就導(dǎo)致使用GRE會造成路由器數(shù)據(jù)轉(zhuǎn)發(fā)效率有一定程度的下降； L2TP over IPSec VPN方式組網(wǎng)特點：252。 IPSec隧道保護RouterA和RouterB之間的公網(wǎng)鏈路。252。 對于分支設(shè)備的安全要求較高，在IPSec認(rèn)證之外，還需要對分支設(shè)備進行L2TP的認(rèn)證。252。 通常情況下，L2TP的客戶端是撥號連接到LAC的用戶主機。此時用戶與LAC的連接總是PPP連接。如果使用LAC同時作為客戶端，那么用戶與LAC之間的連接就不受限于PPP連接，而只要是一個IP連接就可以了，這樣LAC能夠?qū)⒂脩舻腎P報文轉(zhuǎn)發(fā)到LNS。使用LAC同時作為客戶端，是在LAC上建立一個虛擬的PPP用戶，該用戶與LNS保持一個常連接。其它所有實際用戶的IP報文都是通過此虛擬用戶轉(zhuǎn)發(fā)給LNS的；部署方式252。 在LAC創(chuàng)建VT模擬用戶，配置地址、驗證方式、用戶名、密碼等信息；252。 分支設(shè)備的用戶端不能由LNS分配地址，必須由用戶手工配置地址，而且需要保證與LNS的VT地址在同一網(wǎng)段，否則OSPF路由不同互通。252。 如果沒有部署OSPF等動態(tài)路由協(xié)議，必須在LAC上需要配置一條靜態(tài)路由，將VPN內(nèi)的流量指向VT接口。方案特點 252。 中心網(wǎng)關(guān)可以對分支設(shè)備進行認(rèn)證和計費，提高系統(tǒng)安全性。L2TP收發(fā)雙方加封裝、解封裝處理以及由于封裝造成的數(shù)據(jù)量增加等因素的影響，這就導(dǎo)致使用L2TP會造成路由器數(shù)據(jù)轉(zhuǎn)發(fā)效率有一定程度的下降； 移動用戶IPSec VPN接入方式組網(wǎng)特點252。 移動用戶靈活接入，安全認(rèn)證、數(shù)據(jù)保護。部署要點252。 通過客戶端軟件iNode多鏈路形式接入企業(yè)內(nèi)部VPN252。 使用L2TP+IPSEC完成用戶身份認(rèn)證和報文加密252。 認(rèn)證方式可以采用Sec key252。 IKE協(xié)商使用預(yù)共享密鑰的方式進行252。 對于L2TP用戶認(rèn)證計費采用遠(yuǎn)端Radius（CAMS）進行252。 VPN服務(wù)器側(cè)可以考慮使用單臺設(shè)備，也可以考慮使用雙VPN服務(wù)器備份方案特點252。 靈活、安全 動態(tài)VPN（DVPN）接入方式DVPN采用了Client和Server的方式，Client設(shè)備（DVPN應(yīng)用中，作為Client接入DVPN域的設(shè)備）需要在DVPN Server設(shè)備（DVPN應(yīng)用中，作為Server接入DVPN域的設(shè)備）進行注冊。DVPN域中一臺DVPN接入設(shè)備作為Server，其他的DVPN接入設(shè)備作為Client。Client在DVPN Server注冊成功后，會與其建立Session（會話隧道），通過Session完成Client的私有網(wǎng)絡(luò)和DVPN Server的私有網(wǎng)絡(luò)的互聯(lián)，Client成功加入到一個DVPN域；Sever會保存所有登錄到DVPN域中的Client信息。如果Client訪問其他Client下面的私有網(wǎng)絡(luò)，首先通過DVPN Server進行數(shù)據(jù)轉(zhuǎn)發(fā)，完成網(wǎng)絡(luò)的訪問。DVPN Server進行數(shù)據(jù)轉(zhuǎn)發(fā)時，如果Client之間可以建立Session，可以使用Redirect（重定向）報文把目的端信息發(fā)送給發(fā)起端。Client接收到Redirect報文，得到對端Client的信息，會在Client之間建立一條新的直連的Session，后續(xù)Client之間的數(shù)據(jù)不需要通過DVPN Server進行轉(zhuǎn)發(fā)，可以通過直連的Session進行數(shù)據(jù)通信。所以一臺合法的Client設(shè)備只需要有DVPN Server設(shè)備的信息就能夠加入到DVPN域，可以和域中其它的Client設(shè)備自動建立會話隧道，實現(xiàn)私有網(wǎng)絡(luò)的直接互聯(lián)，而不需要通過DVPN Server進行轉(zhuǎn)發(fā)。DVPN實現(xiàn)了對所有的控制報文的安全保護，對通過公有網(wǎng)絡(luò)傳輸?shù)乃矫艿淖詤f(xié)商報文和會話協(xié)商報文，都可以使用通用的加密算法（支持DES、3DES、AES算法）進行加密保護。對于需要DVPN進行轉(zhuǎn)發(fā)的私有網(wǎng)絡(luò)的數(shù)據(jù)報文，通過IPSec進行加密處理以后，再通過DVPN進行轉(zhuǎn)發(fā)，保證了所有的轉(zhuǎn)發(fā)數(shù)據(jù)都通過IPSec進行保護處理。DVPN實現(xiàn)了身份認(rèn)證功能，保證Client和DVPN Server的身份合法性。在Client向DVPN Server進行注冊過程中，Client可以根據(jù)配置需要對DVPN Server的身份使用presharedkey進行驗證，保證Client接入一個合法的DVPN Server；DVPN Server可以根據(jù)需要使用AAA對需要接入到DVPN域的Client進行身份驗證，保證只有通過身份驗證的Client才可以接入到DVPN域。DVPN對所有的轉(zhuǎn)發(fā)數(shù)據(jù)報文采用IPSe