华为海关信息系统vpn及加密解决方案7 海关信息系统VPN及加密解决方案客户需求安全可靠的网络互联和加密数据传输设计方案要点安全可靠的网络互联和基于VPN隧道的加密数据传输华为Quidway系列多协议路由器，支持PPP、FR、X25、SLIP、HDLC等网络协议，用户可通过各种广域网线路接入Internet及互联互访。

路由器内置安全防火墙、NAT、RADIUS安全认证，以及CALL BACK等多项互联安全防护功能；并通过CA认证协议的验证和IPSec隧道协议，在Internet上构建安全可靠的网络通道，基于硬件的数据加密，将保密数据加密后在隧道上传输，加密数据有可靠的保密性但牺牲了效率；非保密数据可以通过一般性安全处理在隧道上传输，保证较高的转发速率。

硬件加密的算法采用专门的芯片（经过国家相关部门批准）进行加密，密钥长度大于128位，并提供高强度的一次一密功能。

配合完全自主知识产权的软硬件平台，提供网络的安全互联和数据的安全传输的安全解决方案。

而"备份中心"的可靠性备份解决方案，实现多种线路之间的任意备份和业务分担，为网络提供业界最坚固的保护屏障，保证网络的可靠运行。

主要设备Quidway R1603/1604路由器Quidway R2501路由器Quidway R2509/2511路由器Quidway R3640/4508模块化路由器Quidway S2403以太网交换机虚拟私有网（VPN）技术及其应用深圳华为技术有限公司北京研究所王盛摘要：本文通过对VPN技术的介绍，阐述了VPN技术在应用方面的优势，同时结合华为公司的接入服务器，对VPN的功能进行了说明。

VPN概要和技术：VPN概述：虚拟私有网（Virtual Private Network,VPN），又称虚拟私有拨号网（Virtual Private Dialup Network,VPDN），是近年来随着Internet的发展而迅速发展起来的一种技术。

现代企业越来越多地利用Internet资源来进行促销、销售、售后服务，乃至培训、合作等活动。

许多企业趋向于利用Internet来替代它们私有数据网络。

这种利用Internet来传输私有信息而形成的逻辑网络就称为虚拟私有网。

虚拟私有网实际上就是将Internet看作一种公有数据网（Public Data Network），这种公有网和PSTN网在数据传输上没有本质的区别。

因为从用户观点来看，数据都被正确传送到了目的地。

相对地，企业在这种公共数据网上建立的用以传输企业内部信息的网络被称为私有网。

至于“虚拟”，则主要是相对现存企业Intranet的组建方式而言的。

通常企业Intranet相距较远的各局域网都是用PSTN物理线路相连的，而虚拟私有的是Internet上的虚拟链路。

这种利用Internet来组建私有网的方式对Internet服务提供商（ISP）和VPN用户都是有益的。

无庸置疑，ISP的利润大量来自于企业用户。

通过向企业提供VPN服务，ISP可以与企业建立更加紧密的长期合作关系，同时充分利用现有网络资源，提高业务量。

事实上，VPN 用户的数据流量较普通用户要大得多，而且时间上也是相互错开的。

VPN用户通常是上班时间形成流量的高峰，而普通用户的流量高峰期则在工作时间之外。

ISP对外提供两种服务，资源利用率和业务量都会大大增加。

而对于VPN用户而言，利用Internet组建私有网，将大笔的专线费用缩减为少量的市话费用和Internet费用，无疑是非常有吸引力的。

如果愿意，企业甚至可以不必建立自己的广域网维护系统，而将这一繁重的任务交由专业的ISP来完成。

正由于其强大的吸引力，VPN在全球发展得异常红火，在北美和欧洲，VPN已经是一项相当普遍的业务；在亚太地区，该项服务也迅速开展起来。

著名的网络提供商Global One 在香港地区的VPN服务已经大规模开通。

而在中国大陆，网络服务提供商也开始设立VPN 服务。

2、VPN的基本技术以某企业为例，通过VPN建立的企业内部网图示如下：图中可以看到，企业内部资源享用者通过PSTN网连入本地ISP的POP（Point of Presence）服务器，即可相互通信，而利用传统的W AN组建技术，彼此之间要有专线相连才可以达到同样的目的。

虚拟网组成后，出差员工和外地客户甚至不必拥有本地ISP的上网权限就可以访问企业内部资源。

这对于流动性很大的出差员工和分布广泛的客户来说是很有意义的。

企业开设VPN服务所需的设备很少，只需在资源共享处放置一台VPN的服务器（如一台Windows NT或支持VPN的路由器）就可以了。

资源享用者通过PSTN连入本地POP服务器后，直接呼叫企业的远程服务器（VPN服务器）。

呼叫的方式和拥有PSTN连接的呼叫方式完全是一样的，剩下的工作就完全由ISP 的接入服务器（Access Server）来完成。

下面简要说说ISP是如何完成这个任务的。

Figure2NAS（Network Access Server,网络接入服务器）主要使用了一种称之为tunneling的技术。

这种技术的主要思想是要将一种类型网络的数据包通过另一种类型网络进行传输。

上图中，用户通过PSTN网拨入ISP的NAS服务器，NAS服务器通过用户名或接入号码识别出该用户为VPN用户后，就和用户的目的VPN服务器建立一条连接，称为隧道，然后将用户数据包封装成IP报文后从该隧道传送给VPN服务器，VPN服务器收到数据包并拆封后就可以读到真正有意义的报文了。

反向的处理也一样。

隧道两侧可以对报文进行加密处理，使Internet上的其他用户无法读取，因而是安全可靠的。

对用户来说，隧道是其PSTN 链路的逻辑延伸，操作起来和存在物理链路相同。

支持这种tunneling技术的NAS--VPN Server间协议主要有三种。

一种是微软、Ascend、3COM等公司支持的PPIP（Point to Point Tunneling Protocol，点对点通道协议），在Windows NT 4.0以上版本中即有支持。

另一种是Cisco北方电信等公司支持的L2F（Layer2 Forwarding，二层转发协议），在Cisco路由器中有支持。

而由IETF起草，微软Ascend、Cisco、3COM等公司参予的L2TP（Layer2Tunneling Protocol，二层通道协议）结合上述两个协议的优点，为众多公司所接受，相信各公司的新产品都会对它进行支持。

由于传输的是私有信息，VPN用户对数据安全性比较关心，下面就这个问题略加说明。

在数据传输过程中，用户和他的VPN 服务器之间可以协商数据加密传输。

加密之后，即便是ISP的NAS，也无法看到数据包的内容。

而且即使是用户不对其数据加密，NAS和VPN 服务器建立的隧道两侧也可以协商加密传输，使得Internet上的其他用户无法看到隧道中传输的数据信息。

因此VPN服务的安全性是完全可以放心的。

A8010的VPN功能深圳市华为技术有限公司新研制的接入服务器A8010是一种高性能、大容量的接入服务器。

A8010的VPN功能也是非常丰富的，具体表现在它的多协议，多接入方式，业务开设和使用简单，支持多种新业务以及安全可靠等方面。

1、多协议：A8010的VPN支持全部PPTP、L2F和L2TP三种协议。

PPTP 的VPN服务器对象主要是Windows NT。

小型企业利用Windows NT作为VPN服务器，不用另购支持VPN的路由器。

操作也很简单，用户管理直接在Windows NT上完成。

L2F的VPN服务器对象则主要是Cisco路由器。

Windows NT作为VPN服务器对于大型企业而言，接入带宽不够，用户管理也不够安全，而用路由器配备Radius服务器来作VPN服务器，则能满足要求。

而L2TP 作为更优更新的标准，必为更多的设备所支持，将是使用最广泛的VPN协议。

Figure3多种VPN协议提供给用户足够的选择余地，而且协议的选择也非常的简单，只需在开设VPN业务时说明其VPN服务器类型及选择的协议。

企业可以有多台VPN服务器，也可以选择多种协议，并且由用户选择服务器和协议的优先选择顺序。

2、多接入方式：从连接链路的性质上分，A8010支持的接入方式包括模拟拨号用户，数字拨号用户和专线用户，这三种方式都提供有VPN 的支持。

而就VPN用户和普通用户的区分方式来说，A8010提供的VPN接入方式包括被叫号码接入，用户名接入和出租端口三种方式。

Figure4被叫号码接入方式中，企业在开设VPN业务时，ISP分给该企业一个特殊的被叫号码。

该企业的VPN用户在使用该项服务时，通过该号码连入A8010，A8010根据用户信息找到对应的VPN服务器，通信就可以开始了。

用户名接入方式中，用户仍和普通上网用户一样使用普通被叫号码呼叫ISP，呼通之后输入特定的用户名（通常是用户名@域名）。

A8010根据域名连接VPN服务器，余下的过程和被叫号接入方式完全相同。

还有一类用户，由于其VPN业务量大，需要保留若干条链路，以保证呼叫通畅。

这种情况下，A8010可以提供线路预留或出租中继的端口的业务。

3、支持的新业务：1)漫游：A8010支持漫游。

企业只需在一个地方申请VPN 业务，就可以在全国各地使用VPN服务。

用户拨入当地的ISP 时，甚至可以不必在该ISP上拥有帐户，这对出差职员或客户支持是非常有用的。

2)保留带宽：A8010可以为接入用户保留一定数量的链路，以保证用户呼叫时不至于更阻。

是否保留带宽和保留多少条链路则是在开设VPN业务时由企业自己决定的。

3)代理验证：A8010可以为企业代理验证VPN用户。

通常VPN用户是由企业的VPN服务器来进行验证和计费的，而对一些业务量大而又缺乏维护人力物力的企业来说，可以将验证、安全性检查和计费等任务交给A8010来完成。

4)拨出业务：A8010提供拨出业务。

在通讯的两端都有VPN 服务器或者需要支持回呼的情况下，A8010可以为用户提供拨出功能。