vpn是什么意思，什么是虚拟专用网络？-营销圈

在如今这个大数据时代，几乎一切事物都可以以数据的方式存在，因此大到国家、小到个人，数据的安全成了重中之重。

对于大企业而言，核心数据的重要性不言而喻，为了保护数据不被窃取，每个企业都会有属于自己的专用网络。

在讲虚拟专用网络(Virtual Private Network, VPN)之前，先给大家介绍什么是专用网络。

vpn是什么意思，什么是虚拟专用网络？

专用网络

专用网络也就是专线业务，大多面向企业、政府以及其他要求带宽稳定、对服务质量要求高的客户。一般具有固网 IP 地址，不需要进行接入认证；根据客户需求，不仅在接入层对带宽和接入业务类型有要求，而且会对业务的全程全网服务质量提出更详细的要求；而专线客户，往往由运营商提供更为主动、周全、及时、专业的客户服务支撑。

一家企业异地的局域网可以通过专线连接，如图1所示，北京、上海两个城市的局域网，可以通过数字数据网(DDN)专线业务、帧中继(FR)专线业务、数字用户线路(DSL)专线业务、同步数字(SDH)专线业务等进行连接。

vpn是什么意思，什么是虚拟专用网络？

图1 专用网络示意图

使用专线连接，成本高、通信质量好，专线通常用于内网通信，全网通常采用私有 IP 地址。华为HCNA路由与交换学习指南(异步图书出品)￥44.5购买

虚拟专用网络（VPN）

vpn是什么意思，什么是虚拟专用网络？

图2 VPN示意图

如图2所示，企业在北京的网络接入了 Internet，在上海的网络也接入了 Internet，这两个局域网通过 Internet 连接起来，但由于北京和上海的两个网络是私网，因此不能通过 Internet 直接相互通信，从而也确保了它们内网的数据安全。

通过配置两端的路由器 R1 和 R2，可以为两个局域网创建一条隧道，让两个局域网之间能够相互通信。通过加密和身份验证技术实现数据通信的安全，能够达到像专线一样的效果。这种在公共网络中建立的连接多个局域网的隧道就称为虚拟专用网络(VPN)，如图2所示。

通过 VPN，可利用 Internet 对两地的网络进行互联，只需要支付本地接入 Internet 的费用，费用低。使用 IPSec 能够保证数据通信安全，不改变使用习惯，使用私网地址和对方进行通信。

配置站点间 VPN

站点间 VPN 就是在 Internet 上创建 VPN 隧道，对多个局域网进行连接（就相当于两个地方只有当地内部人员才能访问的网络连接在一起，）。而远程访问 VPN，是在远程计算机上建立到企业内网的 VPN 连接，访问企业内网。

GRE 隧道 VPN

GRE(Generic Routing Encapsulation)是通用路由封装协议，它对某些网络层协议(如 IP 和 IPX)的数据包进行封装，使这些被封装的数据包能够在另一个网络层协议(如 IP)中传输。下面讨论的 GRE 隧道 VPN，用于将跨 Internet 的内网之间通信的数据包封装到具有公网地址的数据包中进行传输。

如图所示，北京和上海的两个局域网通过 Internet 连接，在 AR1 和 AR3 上配置 GRE 隧道，这时候大家应该把这条隧道当成连接 AR1 和 AR3 的一根网线。AR1 隧道接口的地址和 AR3 隧道接口的地址在同一个网段。这样理解，就很容易想到，要想实现这两个私网间的通信，需要添加静态路由。在 AR1 上添加到上海网段的路由，下一跳地址是 172.16.0.2;在 AR3 上添加到北京网段的路由，下一跳地址是 172.16.0.1。

vpn是什么意思，什么是虚拟专用网络？

GRE隧道VPN的网络拓扑

图中也画出了 PC1 与 PC2 通信的数据包，在隧道中(也就是在 Internet 中)传输时的封装格式示意图，可以看到 PC1 到 PC2 的数据包的外面又有一层 GRE 封装，最外面是隧道的目标地址和源地址。

GRE 隧道 VPN 的网络拓扑使用 eNSP 参照图搭建实验环境。

AR1 上的配置如下:

[AR1]interface GigabitEthernet 0/0/0 
[AR1-GigabitEthernet0/0/0]ip address 20.1.1.1 24
[AR1-GigabitEthernet0/0/0]quit
[AR1]interface Vlanif 1
[AR1-Vlanif1]ip address 10.1.1.1 24 
[AR1-Vlanif1]quit
[AR1]ip route-static 20.1.2.0 24 20.1.1.2      ---添加到20.1.2.0/24网络的路由

AR2 上的配置如下，不添加到北京和上海网络的路由，因为在 Internet 上的路由器中不会添加到私有网络的路由。

[AR2]interface GigabitEthernet 0/0/0 
[AR2-GigabitEthernet0/0/0]ip address
[AR2-GigabitEthernet0/0/0]quit
[AR2]interface GigabitEthernet 0/0/1 
[AR2-GigabitEthernet0/0/1]ip address
[AR2-GigabitEthernet0/0/1]quit

AR3 上的配置如下。

[AR3]interface GigabitEthernet 0/0/0 
[AR3-GigabitEthernet0/0/0]ip address 
[AR3-GigabitEthernet0/0/0]quit
[AR3]interface Vlanif 1
[AR3-Vlanif1]ip address 10.1.2.1 24 
[AR3-Vlanif1]quit
[AR3]ip route-static 20.1.1.0 24 20.1.2.2    --添加到20.1.1.0/24网络的路由

现在，在 AR1 上创建到上海网络的 GRE 隧道接口，并添加到上海网络的路由。

[AR1]interface Tunnel 0/0/0                  --指定隧道接口编号
[AR1-Tunnel0/0/0]tunnel-protocol ?           --查看隧道支持的协议
  gre          Generic Routing Encapsulation 
  ipsec        IPSEC Encapsulation
  ipv4-ipv6    IP over IPv6 encapsulation 
  ipv6-ipv4    IPv6 over IP encapsulation 
  mpls         MPLS Encapsulation
  none         Null Encapsulation 
[AR1-Tunnel0/0/0]tunnel-protocol gre         --隧道使用GRE协议
[AR1-Tunnel0/0/0]ip address 172.16.0.1 24    --指定隧道接口的地址
[AR1-Tunnel0/0/0]source 20.1.1.1             --指定隧道的起点(源地址)
[AR1-Tunnel0/0/0]destination 20.1.2.1        --指定隧道的终点(目标地址)
[AR1-Tunnel0/0/0]quit
[AR1]ip route-static 10.1.2.0 24 172.16.0.2  --添加到上海网络的路由

添加到上海网络的路由，下一跳地址也可以使用 Tunnel 0/0/0 替换。

[AR1]ip route-static 10.1.2.0 24 Tunnel 0/0/0

在 AR3 上创建到北京网络的 GRE 隧道接口，并添加到北京网络的路由。

[AR3]interface Tunnel 0/0/0 
[AR3-Tunnel0/0/0]tunnel-protocol gre 
[AR3-Tunnel0/0/0]ip address 172.16.0.2 24
[AR3-Tunnel0/0/0]source 20.1.2.1 
[AR3-Tunnel0/0/0]destination 20.1.1.1 
[AR3-Tunnel0/0/0]quit
[AR3]ip route-static 10.1.1.0 24 172.16.0.1

抓包分析GRE隧道中的数据包格式。如图所示，右击AR2路由器，单击“数据抓包”，再单击“GE 0/0/0”接口。

vpn是什么意思，什么是虚拟专用网络？