IPSec-VPN、SSL-VPN和MPLS-VPN的介绍与比较.doc

IPSecVPN、SSLVPN和MPLSVPN的介绍与比较

随着信息化向纵深发展，解决信息孤岛、促进信息交流、进行信息资源的共建共享以及最终提高信息系统的应用实效已经成为各部门、各系统信息化发展的一个努力方向。因此，许多单位都有将移动用户、分支机构以及商业伙伴等连入到内部网络并促进信息应用的现实需求，在许多情况下，构建虚拟专网是一种即有较高的安全性又不需要高昂的建设成本的最佳方案。
目前，常见的VPN主要包括IPSecVPN、SSLVPN和MPLSVPN这三类VPN。浙江省党校系统虚拟专网就是属于MPLSVPN。这三类VPN即有很多的相同点，又有不少的差异性，本文将从较直观的角度对这三类VPN进行初步的介绍与比较。
一、IPSecVPN、SSLVPN和MPLSVPN的介绍
IPSecVPN通过在两站点间创建隧道提供直接（非代理方式）接入，实现对整个网络的透明访问。它是在网络层实现数据加密和验证，可以提供访问控制、数据源的验证、无连接数据的完整性验证、数据内容的机密性、抗重放保护以及有限的数据流机密性保证等服务。IPsec加密后的数据包仍然是一般的IP数据包，它是工作在第三层即网络层中。作为网络层的安全标准，IPSec为IP协议提供了一整套的安全机制，IPSec在网络层提供的安全服务对任何IP上层协议及应用进程透明，IPSecVPN是Intemet上提供安全保障最通用的方法。
SSL（安全套接层）协议是一种在Internet上保证发送信息安全的通用协议。它处于应用层。SSL用公钥加密通过SSL连接传输的数据来工作。SSL协议指定了在应用程序协议（如HTTP、Telnet和FTP等）和TCP/IP协议之间进行数据交换的安全机制，为TCP/IP连接提供数据加密、服务器认证以及可选的客户机认证。SSL协议包括握手协议、记录协议以及警告协议三部分。握手协议负责确定用于客户机和服务器之间的会话加密参数。记录协议用于交换应用数据。警告协议用于在发生错误时终止两个主机之间的会话。将SSL与VPN有机结合产生了SSLVPN应用，SSLVPN指的是使用者利用浏览器内建的SSL封包处理功能，用浏览器连接公司内部SSLVPN服务器，然后透过网络封包转向的方式，让使用者可以在远程计算机执行应用程序，读取公司内部服务器数据。它采用标准的安全套接层对传输中的数据包进行加密，从而在应用层保护了数据的安全性。
MPLSVPN结合了第二层的交换和第三层路由的特点，第三层的路由在网络的边缘实施，而在MPLS的网络核心则工作在第二层。MPLS是一种特殊的转发机制，它为进入网络中的IP数据包分配标记，并通过对标记的交换来实现IP数据包的转发。标记作为IP包头在网络中的替代品而存在，在网络内部MPLS在数据包所经过的路径沿途不是通过IP包头而是通过交换标记来实现转发，当数据包要退出MPLS网络时，数据包被解开封装，继续按照IP包的路由方式到达目的地。
二、IPSecVPN、SSLVPN和MPLSVPN的比较
尽管IPSec、SSL和MPLS这三类VPN技术都能够在共享的基础网络设施上，向用户提供安全的网络连接，即实现虚拟专用网络的目的。但这三类VPN技术在许多方面还是有差异的。
1、安全性方面
IPSecVPN是在IP层上实现了加密、认证、访问控制等多种安全技术，极大地提高了TCP/IP的安全性，在互联网中建立的安全通道很难被人篡改，是一种公认的安全的IP协议。但它在用户主机和内部网络部分存在较多的不安全因素，容易遭受黑客和病毒的入侵并进而影响整个网络。
SSLVPN建立的是一条会话层的通道，是基于应用的。通过SSLVPN,用户的远程资源访问被严格的控制。对所有的用户,不论他们在什么地方上网,都提供了细粒化的访问权限控制。借助于SSLVPN技术,对应用程序和网络的访问控制可以根据需要由一般到特殊进行设置。
MPLSVPN在安全性能方面是它劣势，MPLSVPN必须依赖路由协议来准确地传播可达性信息，完成与标记分发相关的工作。因此MPLS对路由协议的依赖性要高于IP网络，但是到目前为止，路由系统的故障还是一个很难解决和分析的问题。MPLSVPN采用路由隔离，地址隔离等手段提供抗攻击和欺骗的方法，但传输的数据是明文的，存在较大的安全漏洞。
2、网络服务质量（QoS）方面
MPLSVPN是建立在骨干网之上，在网络服务质量方面具有最好的效果，MPLS可以指定数据包传送的先后顺序，使用标记交换，网络路由器只需要判别标记后即可进行转送处理，在根本程度上改变了传统IP网络逐跳路由、IGP路由汇聚、路由表过长、尽力传送等问题。MPLSVPN具有优先权和QoS保证，MPLS标签使服务提供商可以区分出流量（甚至业务），准许它们具有不同的优先权。
IPSecVPN保证的是端点到端点的网络传输