军队院校校园网VPN技术应用设想

摘 要 vpn是一项迅速发展起来的新技术，其在电子商务、公司各部门信息传送方面已经显现出了很大的发展潜力。相信将来其在军队院校信息化建设和信息安全传输上也能发挥应有的作用。 关键词 vpn；虚拟专用网；ssl vpn；ipsec vpn 1 引言 vpn(virtual private network)即虚拟专用网，是一项迅速发展起来的新技术，主要用于在公用网络中建立专用的数据通信网络。由于它只是使用因特网而不是专线来连接分散在各地的本地网络，仅在效果上和真正的专用网一样，故称之为虚拟专用网。在虚拟专用网中，任意两个节点之间的连接并没有传统专用网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。一个网络连接通常由客户机、传输介质和服务器三个部分组成。vpn同样也由这三部分组成，不同的是vpn连接使用了隧道技术。所谓隧道技术就是在内部数据报的发送接受过程中使用了加密解密技术，使得传送数据报的路由器均不知道数据报的内容，就好像建立了一条可信赖的隧道。该技术也是基于tcp/ip协议的。 2 隧道技术的实现 假设某公司在相距很远的两地的部门a和b建立了虚拟专用网，其内部网络地址分别为专用地址20.1.0.0和20.2.0.0。显然，这两个部门若利用因特网进行通信，则需要分别拥有具有合法的全球ip的路由器。这里假设部门a、b的路由器分别为r1、r2，且其全球ip地址分别为125.1.2.3和192.168.5.27，如图1所示。

图1

现在设部门a的主机x向部门b的主机y发送数据报，源地址是20.1.0.1而目的地址是20.2.0.3。该数据报从主机x发送给路由器r1。路由器r1收到这个内部数据报后进行加密，然后重新封装成在因特网上发送的外部数据报，这个外部数据报的源地址是r1在因特网上的ip地址125.1.2.3，而目的地址是路由器r2在因特网上的ip地址192.168.5.27。路由器r2收到r1发送的数据报后，对其进行解密，恢复出原来的内部数据报，并转发给主机y。这样便实现了虚拟专用网的数据传输。 3 军队院校校园网建设vpn技术应用设想 随着我军三期网的建设，vpn技术也可广泛应用于军队院校的校园网建设之中。这是由军队院校的实际需求所决定的。首先，军队的特殊性要求一些信息的传达要做到安全可靠，采用vpn技术会大大提高网络传输的可靠性；第二，军队院校不但有各教研室和学员队，还包括保障部队、管理机构等，下属部门较多，有些部门相距甚至不在一个地方，采用vpn技术可简化网络的设计和管理；第三，采用了vpn技术后将为外出调研的教员、学员们以及其它军队院校的用户通过军队网访问本校图书馆查阅资料提供便利。 而vpn技术的特点正好能够满足以上几点需求。首先是安全性，vpn通过使用点到点协议(ppp)用户级身份验证的方法进行验证，这些验证方法包括：密码身份验证协议(pap)、质询握手身份验证协议(chap)、shiva密码身份验证协议(spap)、microsoft质询握手身份验证协议(ms-chap)和可选的可扩展身份验证协议(eap)，并且采用微软点对点加密算法(mppe)和网际协议安全(ipsec)机制对数据包进行加密。对于敏感的数据，还可以使用vpn连接通过vpn服务器将高度敏感的数据服务器物理地进行分隔，只有拥有适当权限的用户才能通过远程访问建立与vpn服务器的vpn连接，并且可以访问敏感部门网络中受到保护的资源。第二，在解决异地访问本地电子资源问题上，这正是vpn技术的主要特点之一，可以让外地的授权用户方便地访问本地的资源。

目前，主要的vpn技术有ipsec vpn和ssl vpn两种。其中ipsec技术的工作原理类似于包过滤防火墙，可以看作是对包过滤防火墙的一种扩展。当接收到一个ip数据包时，包过滤防火墙使用其头部在一个规则表中进行匹配。当找到一个相匹配的规则时，包过滤防火墙就按照该规则制定的方法对接收到的ip数据包进行处理。但是ipsec不同于包过滤防火墙的是，对ip数据包的处理方法除了丢弃，直接转发(绕过ipsec)外还能对ip数据包进行加密和认证。而ssl vpn技术则是近几年发展起来的新技术，它能够更加有效地进行访问控制，而且安全易用，不需要高额的费用。该技术主要具有以下几个特点：第一，安全性高；第二，便于扩展；第三，简单性；第四，兼容性好。 我认为军队院校校园网vpn技术应主要采用ssl vpn技术。首先因为其安全性好，由于ipsec vpn部署在网络层，因此，内部网络对于通过vpn的使用者来说是透明的，只要是通过了ipsec vpn网关，它可以在内部为所欲为。因此，ipsec vpn的目标是建立起来一个虚拟的ip网，而无法保护内部数据的安全，而ssl vpn则是接入企业内部的应用，而不是企业的整个网络。它可以根据用户的不同身份，给予不同的访问权限，从而保护具体的敏感数据。并且数据加密的安全性有加密算法来保证。对于军队机构，安全保密应该是主要考虑的方面之一。第二，ssl vpn与ipsec vpn相比，具有更好的可扩展性。可以随时根据需要，添加需要vpn保护的服务器。而ipsec vpn在部署时，要考虑网络的拓扑结构，如果增添新的设备，往往要改变网络结构，那么ipsec vpn就要重新部署。第三，操作的复杂度低，它不需要配置，可以立即安装、立即生效，另外客户端不需要麻烦的安装，直接利用浏览器中内嵌的ssl协议就行。第四，ssl vpn的兼容性很好，而不像传统的ipsec vpn对客户端采用的操作系统版本具有很高的要求，不同的终端操作系统需要不同的客户端软件。此外，使用ssl vpn还具有更好的经济性，这是因为只需要在总部放置一台硬件设备就可以实现所有用户的远程安全访问接入；但是对于ipsec vpn来说，每增加一个需要访问的分支就需要添加一个硬件设备。 虽然ssl vpn的优点很多，但也可结合使用ipsec vpn技术。因为这两种技术目前应用在不同的领域。ssl vpn考虑的是应用软件的安全性，更多应用在web的远程安全接入方面；而ipsec vpn是在两个局域网之间通过网络建立的安全连接，保护的是点对点之间的通信，并且，ipsec vpn工作于网络层，不局限于web应用。它构建了局域网之间的虚拟专用网络，对终端站点间所有传输数据进行保护，而不管是哪类网络应用，安全和应用的扩展性更强。可用于军校之间建立虚拟专用网，进行安全可靠的信息传送。 4 结论 总之，vpn是一项综合性的网络新技术，目前的运用还不是非常地普及，在军队网中的应用更是少之又少。但是随着全军三期网的建成以及我军信息化建设的要求，vpn技术将会发挥其应有的作用。 参考文献 [1] 谢希仁.计算机网络(第4版).北京：电子工业出版社，2003 [2] cisco systems公司，cisco networking academy program.思科网络技术学院教程(第一、二学期)(第三版).北京：人民邮电出版社，2004