基于IPSec的VPN技术研究

刘莉

摘 要：IPSec协议是一个IP安全标准，是一组开发协议的总称，通过加密来确保网络的安全通信。VPN即虚拟专用网，是在公共网络上建立一个专用的逻辑上的虚拟网络。VPN可以提供高的安全性、可靠性和易管理性。采用基于IPSec的VPN技术，可以从传统的专用网络转移到对公共网络的利用上，极大地降低运营成本，同时保护通信数据的安全性。

关键词：IPSec；VPN；通信

随着互联网的发展，计算机网络在电信、交通、教育、军事、商业等各个方面的作用日益增加，人们对于网络的依赖性也越来越大，但随之而来的问题也越来越多，其中网络安全问题受到了广泛的关注。然而，网络中广泛使用的TCP/IP协议在设计之初并没有考虑到数据传输的安全性，造成了巨大的安全隐患。

对于企业而言，企业内部之间和企业之间进行交流的时候，需要考虑数据传输的安全性和可靠性问题。通常采用的方法是，租用或者组件专用网来实现，但是这样做会产生昂贵的成本，并且不利于企业对网络的管理。因此，企业需要成本低、易于管理、安全性高的方案，来应用于企业外联网和企业内部网络中。基于IPSec的VPN技术，很好的解决了这一问题，并在企业网建设中得到了广泛的应用。

1 VPN技术概述

虚拟专用网VPN是在公共网络中建立私有的专用虚拟链路进行通信的网络，通过公共网络来完成私有网络的数据传输，其中涉及加密、认证等多种网络安全技术。

根据不同的需求，可以构造三类VPN：企业内部虚拟专用网Intranet VPN、远程访问虚拟专用网Remote Access VPN和企业扩展虚拟专用网Extranet VPN。

简单来说，Intranet VPN是总部与分公司之间的用户进行通信的内部网VPN，用户之间进行通信的数据都需要经过加密和认证，Remote Access VPN是企业员工在企业外部访问企业内网所构建的VPN，Extranet VPN则是不同企业之间进行通信的VPN。

2 基于IPSec的VPN技术

IPSec VPN技术保证了利用公共网络进行数据传递的安全性和可靠性，其实质就是利用IPSec协议来建立安全隧道进行数据通信的VPN技术。

IPSec（IP Security），即IP安全协议，是IETF（因特网工程任务组）于1998年11月公布的IP安全标准，它是一组开发协议的总称。IPSec协议目标是为IPv4和IPv6提供具有较强的互操作能力、高质量和基于密码的安全。它是一个开放性的标准框架，不仅为因特网提供了基本的安全功能，而且为创建健壮安全的虚拟专用网络（VPN）提供了灵活的手段。

大部分IPSec实施方案的组件都包括：认证头AH和封装安全载荷ESP，安全策略数据库SPD，安全联盟数据库SADB，Internet密钥交换IKE，策略和SA管理，以及一系列加密认证算法等。

AH协议用来向IP通信提供数据完整性和身份验证，同时可提供抗重播服务。

ESP协议提供IP加密保证和验证数据源以对付网络上的监听，因为AH虽然可以保护通信免受篡改，但并不对数据进行变形变换，数据对于黑客而言仍然是清晰的，为了有效地保证数据传输安全，提供ESP进一步来提供数据保密性同时防止篡改。

IPSec VPN具有高的灵活性、强大的安全性、多业务性、降低建网费用、冗余性、通道分离性、易于管理等特点。使用IPSec VPN通信的时候，需要在发送方进行身份认证，以便于系统划分客户权限，在VPN交换机根据安全策略为数据包加上AH或者ESP头，然后进行IKE处理，对处理之后的数据包采用隧道模式封装，进而进行数据的发送。接收方收到数据包之后，剥离IP头，使用数据包中的AH或者ESP头调用IESec层，摘录出SPI，并从SAD中去除SA，以判断数据包是否丢弃，然后进行安全性、完整性验证等操作。

IPSec VPN提供了强大的安全性，其结合现有的RADIUS、LDAP等认证技术实现用户的认证授权，支持多种通道协议、数据加密方法和过滤功能，并且内置防火墙功能，可以实现从公网到私网的接口数据传输。

由于VPN直接利用公共网络建立，因此造价低廉，并且由于公共网络布网的全球性，使得IPSec VPN十分灵活，可以连接到任意地点的分支。

为了保障VPN隧道和设备的可靠性，可以采用冗余机制，增加备份链路和设备。由于对用户的权限进行了设置，可以使得用户安全、灵活地访问内部网络、外部网络和其他联网企业的网络资源，同时IPSec VPN支持IP话音、视频等多种业务数据的传输，满足不同用户的需求。

3 小结

IPSec协议作为IP网络通信中的安全保障，在网络安全通信中起着非常重要的作用，而基于IPSec的VPN技术，利用公共网络建设虚拟隧道进行通信，大大降低了网络建设和运营的成本，同时为数据的传输提供了可靠的安全保障，目前已经得到广泛应用，且性能稳定。

参考文献：

[1] Kent S， Atkinson R. IP Encapsulating Security Payload[S]. RFC2406 IETF，1998.

[2] 郑博.基于IPSec的VPN技术及应用[J].数字技术与应用，2011（9）：53-54.

[3] 何亚辉，肖路，陈凤英.基于IPSec的VPN技术原理与应用[J].重庆工学院学报，2006，20（11）：114-117.

[4] 王凤领.基于IPSec的VPN技术的应用研究[J].计算机技术与发展，2012，22（9）：250-253.