虚拟专用网络vpn(virtual private network)是internet技术迅速发展的产物，他可以实现不同网络的组件和资源之间的相互连接。虚拟专用网络能够利用internet或其他公共互联网络的基础设施为用户创建隧道，并提供与专用网络一样的安全和功能保障。为了保障信息在公共网上传输的安全，vpn技术采用了认证、存取控制、加密、数据完整性等措施以保证信息在传输中不被偷看、篡改、复制。

1 支持实现vpn的主要技术

vpn技术的发展是基于隧道技术的基础上的，隧道技术是一种通过使用互联网络的基础设施在网络之间传递数据的方式。使用隧道传递的数据(或负载)可以是不同协议的数据帧或包。隧道协议将这些其他协议的数据帧或包重新封装在新的包头中发送。新的包头提供了路由信息，从而使封装的负载数据能够通过互联网络传递。

被封装的数据包在隧道的2个端点之间通过公共互联网络进行路由。被封装的数据包在公共互联网络上传递时所经过的逻辑路径称为隧道。一旦到达网络终点，数据将被解包并转发到最终目的地。注意隧道技术是指包括数据封装，传输和解包在内的全过程。

下面考察一些主要的隧道技术。具体包括：

1．1 对点隧道协议(pptp)

pptp协议是点到点协议(ppp)的扩充，pptp是一个第2层的协议，将ppp数据帧封装在ip数据报内通过ip网络，如internet传送。pptp还可用于专用局域网络之间的连接。rfc草案"点对点隧道协议"对pptp协议进行了说明和介绍。该草案由pptp论坛的成员公司，包括微软，ascend，3com，和eci等公司在1996年6月提交至ietf。可在站点http：／／www．ietf．org参看草案的在线拷贝。pptp使用一个tcp连接对隧道进行维护，使用通用路由封装(gre)技术把数据封装成ppp数据帧通过隧道传送。可以对封装ppp帧中的负载数据进行加密或压缩。

1．2 l2f

l2f是cisco公司提出隧道技术，作为一种传输协议l2f支持拨号接人服务器将拨号数据流封装在ppp帧内通过广域网链路传送到l2f服务器(路由器)。l2f服务器把数据包解包之重新注入(inject)网络。与pptp和l2tp不同，l2f没有确定的客户方。应当注意l2f只在强制隧道中有效。

1．3 第2层隧道协议(l2tp)

l2tp结合了pptp和l2f协议。他是一种网络层协议，支持封装的ppp帧在ip、x．25、帧中继或atm等的网络上进行传送。当使用ip作为l2tp的数据报传输协议时，可以使用l2tp作为internet网络上的隧道协议。l2tp还可以直接在各种wan媒介上使用而不需要使用ip传输层。

ip网上的l2tp使用udp和一系列的l2tp消息对隧道进行维护。l2tp同样使用udp将l2tp协议封装的ppp帧通过隧道发送。可以对封装ppp帧中的负载数据进行加密或压缩。l2tp协议允许对ip，ipx或netbeui数据流进行加密，然后通过支持点对点数据报传递的任意网络发送，如ip、x．25、帧中继或atm。

pptp和l2tp都使用ppp协议对数据进行封装，然后添加附加包头用于数据在互联网络上的传输。尽管2个协议非常相似，但是仍存在以下几方面的不同：

(1)pptp要求互联网络为ip网络 l2tp只要求隧道媒介提供面向数据包的点对点的连接。l2tp可以在ip(使用udp)、帧中继永久虚拟电路(pvcs)、x．25虚拟电路(vcs)或atm vcs网络上使用。

(2)pptp只能在2个端点间建立单一隧道 l2tp支持在2个端点间使用多隧道。使用l2tp，用户可以针对不同的服务质量创建不同的隧道。

(3)l2tp可以提供包头压缩 当压缩包头时，系统开销(overhead)占用4个字节，而pptp协议下要占用6个字节。

(4)l2tp可以提供隧道验证，而pptp则不支持隧道验证 但是当l2tp或pptp与ipsec共同使用时，可以由ipsec提供隧道验证，不需要在第2层协议上验证隧道。

1．4 安全ip(ipsec)隧道模式

ipsec是第3层的协议标准，支持ip网络上数据的安全传输。ipsec是一种由ietf设计的端到端的确保基于ip通讯的数据安全性的机制。ipsec支持对数据加密，同时确保数据的完整性。按照ietf的规定，不采用数据加密时，ipsec使用验证包头(ah)提供验证来源验证(source authentication)，确保数据的完整性；ipsec使用封装安全负载(esp)与加密一道提供来源验证，确保数据完整性。ipsec协议下，只有发送方和接受方知道秘密密钥。如果验证数据有效，接受方就可以知道数据来自发送方，并且在传输过程中没有受到破坏。

esp有2种工作模式：传送模式和隧道模式。在传送模式时只对ip的数据部分加密。一个ipsec隧道由一个隧道客户和隧道服务器组成，两端都配置使用ipsec隧道技术，采用协商加密机制。而在隧道模式时将通过设备对整个ip包加密(包括包头)，使ip包的源地址与目的地址隐藏。此时的ip包的包头为vpn设备(网关，路由器等)的ip地址。一个ipsec隧道由一个隧道客户和隧道服务器组成，两端都配置使用ipsec隧道技术，采用协商加密机制。

ipsec隧道模式具有以下功能和局限：

(1)只能支持ip数据流。

(2)工作在ip栈(ipstack)的