VPN手艺浅谈之怎样安排远程办公网络

【VPN手艺】本文从端到站点VPN的看法简述、手艺选择、安排与使用这三面举行睁开解说，希望能够资助列位读者深入相识到怎样安排远程办公网络。

宣布时间：2020-02-17
点击量：
点赞：

分享至

我想谈论

前言

在武汉爆发新型冠状病毒疫情的配景下，各公司都已经启动了节后在家办公的机制，中国正上演一场全球最大规模的在家远程办公，志同道合战疫情。为了使远程办公的员工清静、便捷地会见公司内网资源，使用VPN手艺是最合适的选择。

什么是VPN手艺？VPN属于远程会见手艺，简朴地说就是使用公用网络架设专用网络。远程办公的员工可以通过VPN在互联网上架设一条清静的通道到公司的内网并会见公司资源。

随着VPN手艺的生长，目今保存许多差别的VPN手艺，若是凭证营业用途可以将VPN分为“站点到站点VPN”和“端到站点VPN”两类。站点到站点VPN常用于两个公司之间的网络互通，典范的场景是总部和分支之间，好比L2TP VPN、L2TP over IPSec VPN、IPSec VPN、GRE over IPSec VPN、SSL VPN等。端到站点VPN常用于远程办公职员和公司网络互通，好比PPTP VPN、L2TP VPN、L2TP over IPSec VPN、SSL VPN等。本文从端到站点VPN的看法简述、手艺选择、安排与使用这三面举行睁开解说，希望能够资助列位读者深入相识到怎样安排远程办公网络。

97国际支持VPN的装备有许多种，差别装备对各VPN手艺的支持情形略有差别，本文以97国际网关装备为例给各人解说VPN的选择与安排，如读者使用其他装备欢迎联系97国际工程师或到97国际官网咨询，谢谢。

▲ 图1：常见企业VPN接入拓扑模子

端到站点VPN手艺简述

1、PPTP VPN手艺

PPTP最早由微软等厂商主导开发的一种点对点二层隧道手艺，PPTP通讯需要建设两个毗连，控制毗连和隧道毗连，控制毗连使用TCP协议（TCP端口号1723）建设控制通道来发送控制下令，隧道毗连使用GRE通道（IP协议号47）来封装PPP数据包来发送数据。

97国际·(中国区)集团官方网站

▲ 图2：PPTP报文名堂（控制报文）

97国际·(中国区)集团官方网站

▲ 图3：PPTP报文名堂（数据报文）

PPTP VPN手艺目今保存一些缺乏，首先PPTP VPN只能在IP网络上使用；其次由于正常情形下GRE报文无法通过NAT，使得NAT装备需要支持应用层网关（Application Layer Gateway，ALG）功效才华安排；最后PPTP VPN对传输的数据不加密，清静性较低，以是微软已经不再建议使用这个协议。

ALG：通俗NAT实现了对UDP或TCP报文中的IP地址及端口转换，但对应用层数据载荷中的字段无能为力，导致一些协议不可被NAT，好比DNS、FTP、H323、PPTP、TFTP、SIP。ALG手艺能对多通道协议举行应用层报文信息的剖析和地址转换，将载荷中需要举行地址转换的IP地址和端口或者需特殊处置惩罚的字段举行响应的转换和处置惩罚，以后包管以上协议NAT后的准确性。

2、L2TP VPN手艺和L2TP over IPSec VPN手艺

L2TP和PPTP相同也提供一种跨越原始数据网络（如IP网络）构建二层隧道的机制，L2TP团结了PPTP和L2F这两种协议的优点。关于L2TP和PPTP作者经常被问到一个问题，PPTP和L2TP是否是统一个手艺、两者有什么差别？着实它们是实现相同功效的差别手艺，都是作为隧道手艺实现对PPP数据帧的封装，总结来说有如下三点差别：

a、L2TP通讯使用的控制毗连和隧道毗连都是UDP协议（UDP端口号1701），使得L2TP比PPTP能更好地穿越NAT装备

b、L2TP支持对隧道的验证及包头压缩，而PPTP不支持

c、L2TP支持在IP网络、以太网等多协议之上传输，而PPTP只支持在IP网络中传输

L2TP VPN传输的数据仍未举行加密，为解决L2TP VPN的清静性问题，L2TP over IPSec VPN手艺团结了L2TP和IPSec两种手艺的优势，先用L2TP封装再用IPSec封装，通过L2TP实现用户验证和地址分派，并使用IPSec包管数据的清静性。

97国际·(中国区)集团官方网站

▲ 图4：L2TP报文名堂（控制报文和数据报文相同名堂）

97国际·(中国区)集团官方网站

▲ 图5：L2TP over IPSec报文名堂

3、SSL VPN手艺

SSL VPN是基于SSL协议建设远程清静会见通道的VPN手艺，SSL协议建设好底层的VPN隧道，交互的数据封装在隧道中传输。

SSL VPN相比于另外三种VPN手艺有如下四点优势：

a、客户端安排简朴：用户若是使用WEB方法接入SSL VPN，终端无需举行设置，可直接使用浏览器会见HTTP资源；若是使用清静隧道方法接入SSL VPN，只需第一次使用时装置SSL VPN客户端，后续直接使用客户端登录即可

b、精准的用户权限控制：可对使用SSL VPN的差别用户或用户组授权基于IP、协议、端口中分派差别资源权限

c、安排利便无邪：相比于PPTP VPN和L2TP VPN只能使用协议默认的TCP 1723和UDP 1701端口，SSL VPN可以使用恣意端口，且由于SSL协议位于传输层与应用层之间不会改变IP报文和TCP报文，以是使得SSL VPN可以无邪穿透NAT装备

d、较高的清静性：SSL VPN使用加密和署名手艺，包管了传输数据的清静性和完整性，并支持使用数字证书对身份源举行验证，可实现对传输数据举行加密、完整性校验和身份源验证三重清静�；�

端到站点VPN手艺选择

端到站点VPN手艺看起来许多，着实选择一个适合自己企业的VPN手艺并不难。读者可从清静性、使用VPN的终端类型、安排网络情形这三个角度举行判断便能快速确定出适用的VPN手艺。

首先，要关注使用VPN隧道传输的数据是否需要加密。其次，要关注使用VPN的终端类型，差别的VPN手艺目今支持的终端类型有所差别。最后，要关注VPN装备是作为出口NAT装备照旧穿透出口NAT装备，如图6所示。

97国际·(中国区)集团官方网站

▲ 图6：VPN装备安排方法模子图

97国际·(中国区)集团官方网站

▲ 表1：VPN手艺支持情形一览表

端到站点VPN手艺安排与使用

本节主要解惑两个问题：

1、怎样在VPN装备上安排VPN手艺

2、怎样在终端上举行VPN设置

本文重点为各人先容目今推荐使用的两种VPN手艺，L2TP over IPSec VPN和SSL VPN的设置要领。

VPN安排办法

VPN装备安排在出口NAT装备之下场景，设置时通常有如下三个办法：

1) 出口NAT装备举行端口映射,下表列出各VPN手艺使用的端口以供参考

2) 添加路由，包管VPN网段的内网可达

3) VPN装备举行VPN设置

97国际网关SSL VPN在默认情形下使用TCP443端口和UDP443端口，端口号可修改。其中TCP端口用于提供HTTPS服务，如用户会见SSL VPN登录页面，而UDP端口用于提供清静隧道服务,如隧道协商、IP地址分派等。以是若是只使用SSL VPN的WEB接入时仅映射TCP端口即可，若是使用SSL VPN的清静隧道接入（SSL VPN客户端接入）时需同时映射TCP和UDP端口。

VPN装备作为出口NAT装备场景设置时只需设置以上办法二和办法三即可。

97国际·(中国区)集团官方网站

▲ 表2：VPN手艺使用的端口情形

VPN装备设置及使用

1、L2TP over IPSec VPN

1) 登录装备的WEB界面，单击“网络”“VPN设置”进入VPN设置界面，单击“我在总部”下面的“最先设置”

97国际·(中国区)集团官方网站

▲ 图7：97国际网关装备VPN设置界面

2) 随后进入VPN设置向导界面，单击“L2TP IPSec”。没有履历的使用者可以凭证自身需求单击“隧道需加密”“支持IOS终端”“支持安卓终端”“支持WIN使用”其中的一项或多项，装备会推荐最合适的VPN类型

97国际·(中国区)集团官方网站

▲ 图8：VPN类型选择设置界面

3) 在举行VPN基本信息的设置时需要注重，客户端使用地址要确保未在局域网中使用，不然会造成通讯异常，别的建议DNS服务器设置成和局域网用户相同的DNS阻止资源会见异常

97国际·(中国区)集团官方网站

▲ 图9：VPN基础设置界面

4) 关于VPN用户身份源，可以使用“外地账号”或“Radius服务器账号”，读者可以凭证企业自身情形无邪选择

97国际·(中国区)集团官方网站

▲ 图10：VPN用户账号设置界面

5) 在设置IPSec的IKE战略和转换集时需要注重，要提前确认好VPN终端支持的IPSec协商参数，确保所有VPN终端都可以和VPN装备IPSec协商乐成，若是无法确认可以使用以下的协商参数（IKE战略：DES-SHA-Group1，转换集：ESP-DES、ESP-SHA-HMAC），现在大大都主流的终端装备都支持该协商参数

97国际·(中国区)集团官方网站

▲ 图11：L2TP IPSec参数设置界面

6) 在L2TP over IPSec VPN设置乐成界面有终端设置指南的链接，网络管理员可将链接同步给VPN使用者，便于指导VPN使用者怎样在终端上举行VPN设置

97国际·(中国区)集团官方网站

▲ 图12：VPN设置完成界面

2、SSL VPN

1) 登录装备的WEB界面，单击“网络”“SSLVPN设置”进入SSL VPN设置页面，单击“最先设置”

97国际·(中国区)集团官方网站

▲ 图13：97国际网关装备SSL VPN设置界面

2) 随后进入SSL VPN设置向导界面，单击“典范应用”，该安排模式适用于终端远程办公场景

97国际·(中国区)集团官方网站

▲ 图14：SSL VPN安排模式设置界面

3) 在举行SSL VPN基本信息的设置时，可自行界说SSL VPN服务端口，别的建议DNS服务器设置成和局域网用户相同的DNS阻止有些资源会见异常。关于SSL VPN用户认证方法，可以使用“外地认证”、“Radius服务器”和“优先外地认证”三种方法，读者可以凭证企业自身情形无邪选择

97国际·(中国区)集团官方网站

▲ 图15：SSL VPN基本设置界面

4) 在举行SSL VPN客户端网段的设置时需要注重，客户端使用地址要确保未在局域网中使用，不然会造成通讯异常

97国际·(中国区)集团官方网站

▲ 图16：SSL VPN接入资源设置界面

5) SSL VPN可对差别用户或用户组授权差别资源，在用户登录SSL VPN后SSL VPN装备就会把授权的资源下发到终端（SSL VPN装备以下发路由的形式下发到终端的路由表中）。网关默认有两个资源“所有网络”和“局域网”（当给用户授权“所有网络”SSL VPN装备会给终端下发一条0.0.0.0/0下一跳是SSL VPN装备的默认路由，当给用户授权“局域网”SSL VPN装备会给终端下发10.0.0.0/8、172.16.0.0/12、192.168.0.0/16三条下一跳是SSL VPN装备的路由）读者可凭证网络现真相形基于IP、协议、端口界说差别的资源授权给用户。用户登录SSL VPN乐成后可以通过审查本机的路由表审查到下发的路由（Windows终端在CMD上通过route print下令可以审查本机路由表）。

97国际·(中国区)集团官方网站