虛擬實驗室網(wǎng)絡(luò)研究張勃根據(jù)目標(biāo)需求分析，該網(wǎng)絡(luò)核心思想要求遠(yuǎn)端，大流量，高安全性。根據(jù)該目標(biāo)分析，初步網(wǎng)絡(luò)結(jié)構(gòu)圖。整個網(wǎng)絡(luò)主要關(guān)鍵技術(shù)有：VLAN,VPN。VLAN技術(shù)該系統(tǒng)的特點是傳輸距離遠(yuǎn)，各分公司地理上相距比較遠(yuǎn)，然而需要交換的數(shù)據(jù)量大，，對安全性要求高。VLAN技術(shù)將是該系統(tǒng)最適合的使用技術(shù)，VLAN是指網(wǎng)絡(luò)中的站點不拘泥于所處的物理位置，而可以根據(jù)需要靈活地加入不同的邏輯子網(wǎng)中的一種網(wǎng)絡(luò)技術(shù)?；诮粨Q式以太網(wǎng)的虛擬局域網(wǎng)在交換式以太網(wǎng)中，利用VLAN技術(shù)，可以將由交換機連接成的物理網(wǎng)絡(luò)劃分成多個邏輯子網(wǎng)。也就是說，一個虛擬局域網(wǎng)中的站點所發(fā)送的廣播數(shù)據(jù)包將僅轉(zhuǎn)發(fā)至屬于同一VLAN的站點。在交換式以太網(wǎng)中，各站點可以分別屬于不同的虛擬局域網(wǎng)。構(gòu)成虛擬局域網(wǎng)的站點不拘泥于所處的物理位置，它們既可以掛接在同一個交換機中，也可以掛接在不同的交換機中。虛擬局域網(wǎng)技術(shù)使得網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)變得非常靈活，例如位于不同樓層的用戶或者不同部門的用戶可以根據(jù)需要加入不同的虛擬局域網(wǎng)。劃分虛擬局域網(wǎng)主要出于三種考慮：第一是基于網(wǎng)絡(luò)性能的考慮。對于大型網(wǎng)絡(luò)，現(xiàn)在常用的WindowsNetBEUI是廣播協(xié)議，當(dāng)網(wǎng)絡(luò)規(guī)模很大時，網(wǎng)上的廣播信息會很多，會使網(wǎng)絡(luò)性能惡化，甚至形成廣播風(fēng)暴，引起網(wǎng)絡(luò)堵塞。那怎么辦呢?可以通過劃分很多虛擬局域網(wǎng)而減少整個網(wǎng)絡(luò)范圍內(nèi)廣播包的傳輸，因為廣播信息是不會跨過VLAN的，可以把廣播限制在各個虛擬網(wǎng)的范圍內(nèi)，用術(shù)語講就是縮小了廣播域，提高了網(wǎng)絡(luò)的傳輸效率，從而提高網(wǎng)絡(luò)性能。第二是基于安全性的考慮。因為各虛擬網(wǎng)之間不能直接進行通訊，而必須通過路由器轉(zhuǎn)發(fā)，為高級的安全控制提供了可能，增強了網(wǎng)絡(luò)的安全性。在大規(guī)模的網(wǎng)絡(luò)，比如說大的集團公司，有財務(wù)部、采購部和客戶部等，它們之間的數(shù)據(jù)是保密的，相互之間只能提供接口數(shù)據(jù)，其他數(shù)據(jù)是保密的。我們可以通過劃分虛擬局域網(wǎng)對不同部門進行隔離。第三是基于組織結(jié)構(gòu)上考慮。同一部門的人員分散在不同的物理地點，比如集團公司的財務(wù)部在各子公司均有分部，但都屬于財務(wù)部管理，雖然這些數(shù)據(jù)都是要保密的，但需統(tǒng)一結(jié)算時，就可以跨地域(也就是跨交換機)將其設(shè)在同一虛擬局域網(wǎng)之中，實現(xiàn)數(shù)據(jù)安全和共享。采用虛擬局域網(wǎng)有如下優(yōu)勢：抑制網(wǎng)絡(luò)上的廣播風(fēng)暴；增加網(wǎng)絡(luò)的安全性；集中化的管理控制?；诮粨Q式的以太網(wǎng)要實現(xiàn)虛擬局域網(wǎng)主要有三種途徑：基于端口的虛擬局域網(wǎng)、基于MAC地址(網(wǎng)卡的硬件地址)的虛擬局域網(wǎng)和基于IP地址的虛擬局域網(wǎng)。(1)基于端口的虛擬局域網(wǎng)基于端口的虛擬局域網(wǎng)是最實用的虛擬局域網(wǎng)，它保持了最普通常用的虛擬局域網(wǎng)成員定義方法，配置也相當(dāng)直觀簡單，就局域網(wǎng)中的站點具有相同的網(wǎng)絡(luò)地址，不同的虛擬局域網(wǎng)之間進行通信需要通過路由器。采用這種方式的虛擬局域網(wǎng)其不足之處是靈活性不好。例如，當(dāng)一個網(wǎng)絡(luò)站點從一個端口移動到另外一個新的端口時，如果新端口與舊端口不屬于同一個虛擬局域網(wǎng)，則用戶必須對該站點重新進行網(wǎng)絡(luò)地址配置，否則，該站點將無法進行網(wǎng)絡(luò)通信。在基于端口的虛擬局域網(wǎng)中，每個交換端口可以屬于一個或多個虛擬局域網(wǎng)組，比較適用于連接服務(wù)器。(2)基于MAC地址的虛擬局域網(wǎng)在基于MAC地址的虛擬局域網(wǎng)中，交換機對站點的MAC地址和交換機端口進行跟蹤，在新站點入網(wǎng)時根據(jù)需要將其劃歸至某一個虛擬局域網(wǎng)，而無論該站點在網(wǎng)絡(luò)中怎樣移動，由于其MAC地址保持不變，因此用戶不需要進行網(wǎng)絡(luò)地址的重新配置。這種虛擬局域網(wǎng)技術(shù)的不足之處是在站點入網(wǎng)時，需要對交換機進行比較復(fù)雜的手工配置，以確定該站點屬于哪一個虛擬局域網(wǎng)。(3)基于IP地址的虛擬局域網(wǎng)在基于IP地址的虛擬局域網(wǎng)中，新站點在入網(wǎng)時無需進行太多配置，交換機則根據(jù)各站點網(wǎng)絡(luò)地址自動將其劃分成不同的虛擬局域網(wǎng)。在三種虛擬局域網(wǎng)的實現(xiàn)技術(shù)中，基于IP地址的虛擬局域網(wǎng)智能化程度最高，實現(xiàn)起來也最復(fù)雜。使用VLAN具有以下優(yōu)點：1、控制廣播風(fēng)暴一個VLAN就是一個邏輯廣播域，通過對VLAN的創(chuàng)建，隔離了廣播，縮小了廣播范圍，可以控制廣播風(fēng)暴的產(chǎn)生。2、提高網(wǎng)絡(luò)整體安全性通過路由訪問列表和MAC地址分配等VLAN劃分原則，可以控制用戶訪問權(quán)限和邏輯網(wǎng)段大小，將不同用戶群劃分在不同VLAN，從而提高交換式網(wǎng)絡(luò)的整體性能和安全性。3、網(wǎng)絡(luò)管理簡單、直觀對于交換式以太網(wǎng)，如果對某些用戶重新進行網(wǎng)段分配，需要網(wǎng)絡(luò)管理員對網(wǎng)絡(luò)系統(tǒng)的物理結(jié)構(gòu)重新進行調(diào)整，甚至需要追加網(wǎng)絡(luò)設(shè)備，增大網(wǎng)絡(luò)管理的工作量。而對于采用VLAN技術(shù)的網(wǎng)絡(luò)來說，一個VLAN可以根據(jù)部門職能、對象組或者應(yīng)用將不同地理位置的網(wǎng)絡(luò)用戶劃分為一個邏輯網(wǎng)段。在不改動網(wǎng)絡(luò)物理連接的情況下可以任意地將工作站在工作組或子網(wǎng)之間移動。利用虛擬網(wǎng)絡(luò)技術(shù)，大大減輕了網(wǎng)絡(luò)管理和維護工作的負(fù)擔(dān)，降低了網(wǎng)絡(luò)維護費用。在一個交換網(wǎng)絡(luò)中，VLAN提供了網(wǎng)段和機構(gòu)的彈性組合機制。

三層交換技術(shù)

傳統(tǒng)的路由器在網(wǎng)絡(luò)中有路由轉(zhuǎn)發(fā)、防火墻、隔離廣播等作用，而在一個劃分了VLAN以后的網(wǎng)絡(luò)中，邏輯上劃分的不同網(wǎng)段之間通信仍然要通過路由器轉(zhuǎn)發(fā)。由于在局域網(wǎng)上，不同VLAN之間的通信數(shù)據(jù)量是很大的，這樣，如果路由器要對每一個數(shù)據(jù)包都路由一次，隨著網(wǎng)絡(luò)上數(shù)據(jù)量的不斷增大，路由器將不堪重負(fù)，路由器將成為整個網(wǎng)絡(luò)運行的瓶頸。

在這種情況下，出現(xiàn)了第三層交換技術(shù)，它是將路由技術(shù)與交換技術(shù)合二為一的技術(shù)。三層交換機在對第一個數(shù)據(jù)流進行路由后，會產(chǎn)生一個MAC地址與IP地址的映射表，當(dāng)同樣的數(shù)據(jù)流再次通過時，將根據(jù)此表直接從二層通過而不是再次路由，從而消除了路由器進行路由選擇而造成網(wǎng)絡(luò)的延遲，提高了數(shù)據(jù)包轉(zhuǎn)發(fā)的效率，消除了路由器可能產(chǎn)生的網(wǎng)絡(luò)瓶頸問題?？梢姡龑咏粨Q機集路由與交換于一身，在交換機內(nèi)部實現(xiàn)了路由，提高了網(wǎng)絡(luò)的整體性能。

在以三層交換機為核心的千兆網(wǎng)絡(luò)中，為保證不同職能部門管理的方便性和安全性以及整個網(wǎng)絡(luò)運行的穩(wěn)定性，可采用VLAN技術(shù)進行虛擬網(wǎng)絡(luò)劃分。VLAN子網(wǎng)隔離了廣播風(fēng)暴，對一些重要部門實施了安全保護；且當(dāng)某一部門物理位置發(fā)生變化時，只需對交換機進行設(shè)置，就可以實現(xiàn)網(wǎng)絡(luò)的重組，非常方便、快捷，同時節(jié)約了成本。如果兩臺交換機都有同一VLAN的計算機，怎么辦呢，我們可以通過VLANTrunk來解決。

如果交換機1的VLAN1中的機器要訪問交換機2的VLAN1中的機器，我們可以把兩臺交換機的級聯(lián)端口設(shè)置為Trunk端口，這樣，當(dāng)交換機把數(shù)據(jù)包從級聯(lián)口發(fā)出去的時候，會在數(shù)據(jù)包中做一個標(biāo)記（TAG），以使其它交換機識別該數(shù)據(jù)包屬于哪一個VLAN，這樣，其它交換機收到這樣一個數(shù)據(jù)包后，只會將該數(shù)據(jù)包轉(zhuǎn)發(fā)到標(biāo)記中指定的VLAN，從而完成了跨越交換機的VLAN內(nèi)部數(shù)據(jù)傳輸。VLANTrunk目前有兩種標(biāo)準(zhǔn)，ISL和802.1q，前者是Cisco專有技術(shù)，后者則是IEEE的國際標(biāo)準(zhǔn)，除了Cisco兩者都支持外，其它廠商都只支持后者。這種技術(shù)現(xiàn)在已經(jīng)廣泛應(yīng)用于各種局域網(wǎng)，內(nèi)部網(wǎng)，以及許多需要高保密性，高傳輸速率而又相距較遠(yuǎn)的遠(yuǎn)端傳輸。其設(shè)置方法也因交換機的不同而不一樣，但是大致設(shè)置步驟如下：（見網(wǎng)絡(luò)工程師書，，可靠，，很詳細(xì)，，，照著搞就可以）VPN技術(shù)VPN的概念

VPN(VirtualPrivateNetwork)，即虛擬專用網(wǎng)或虛擬私用網(wǎng)，是指利用開放的公共網(wǎng)絡(luò)資源建立私有傳輸通路，將遠(yuǎn)程的分支機構(gòu)，商業(yè)伙伴，移動辦公人員等連接起來，并且提供安全的端到端的數(shù)據(jù)通信的一種技術(shù)。它有兩層含義：第一，它是“虛擬的”，即用戶實際上并不存在一個獨立專用的網(wǎng)絡(luò)，既不需要建設(shè)或租用專線，也不需要裝備專用的設(shè)備，而是將其建立在分布廣泛的公共網(wǎng)絡(luò)上，就能組成一個屬于自己專用的網(wǎng)絡(luò);第二，它是“專用的”，相對于“公用的”來說，它強調(diào)私有性和安全可靠性。而對于這個問題，也是很值得探討的，在文獻(xiàn)中指出有兩方面值得注意，就是安全性和可用性。在這里我們姑且不必著眼于個別字眼，而就按我們通常的理解來進行討論。VPN技術(shù)簡介我們通常認(rèn)為VPN具備以下幾個特點：安全保障，QoS，可擴充性和靈活性，可管理性。在為保證數(shù)據(jù)的安全性方面，目前主要采用四項技術(shù)：隧道(Tunneling)技術(shù)，加解密(Encryption&Decryption)技術(shù)，密鑰管理(KeyManagement)技術(shù)，使用者與設(shè)備認(rèn)證(Authentication)技術(shù)。VPN有三種解決方案，分別是AccessVPN(接入VPN)，IntranetVPN(內(nèi)部VPN)，ExtranetVPN(外部VPN)。企業(yè)的內(nèi)部人員移動或有遠(yuǎn)程辦公需要，或者商家要提供B2C的安全訪問服務(wù)，就可以考慮使用AccessVPN。要進行企業(yè)內(nèi)部各分支機構(gòu)的互聯(lián)，使用IntranetVPN是很好的方案。如果是提供B2B之間的安全訪問服務(wù)，則可以考慮。ExtranetVPN。而VPN的設(shè)計一般包含以下原則：安全性、網(wǎng)絡(luò)優(yōu)化、VPN管理等。VPN可分為傳統(tǒng)意義的VPN和IPVPN。所謂傳統(tǒng)意義上的VPN，即在DDN網(wǎng)或公用分組交換網(wǎng)或幀中繼網(wǎng)上組建VPN，并具有一個共同的特點，即利用DDN網(wǎng)或公用分組交換網(wǎng)或幀中繼網(wǎng)的部分網(wǎng)絡(luò)資源如傳輸線路、網(wǎng)絡(luò)模塊、網(wǎng)絡(luò)端口等劃分成一個分區(qū),并設(shè)置相對獨立的網(wǎng)絡(luò)管理機構(gòu)，對分區(qū)內(nèi)數(shù)據(jù)量及各種資源進行管理，分區(qū)內(nèi)的各節(jié)點共享分區(qū)內(nèi)的網(wǎng)絡(luò)資源，它們之間的數(shù)據(jù)處理和傳送相對獨立，就好像真正的專用網(wǎng)一樣。所謂IPVPN是依靠ISP和其它NSP（網(wǎng)絡(luò)服務(wù)提供商）在公用網(wǎng)絡(luò)中建立專用的數(shù)據(jù)通信網(wǎng)絡(luò)的技術(shù)。其中，IETF草案基于IPVPN的理解是“使用IP機制仿真出一個私有的廣域網(wǎng)”，即通過私有的隧道技術(shù)在公共數(shù)據(jù)網(wǎng)絡(luò)上仿真一條點到點的專線技術(shù)。所謂“虛擬”，是指用戶不再需要擁有實際的長途數(shù)據(jù)線路，而是使用Internet公眾數(shù)據(jù)網(wǎng)絡(luò)的長途數(shù)據(jù)線路。所謂“專用網(wǎng)絡(luò)”，是指用戶可以為自己制定一個最符合自己需求的網(wǎng)絡(luò)。

一般我們說的VPN，，就是IPVPN

二、IPVPN的分類

按照網(wǎng)絡(luò)連接方式的不同，一般把IPVPN分為以下三種類型。

1．遠(yuǎn)程訪問虛擬專網(wǎng)（AccessVPN）

AccessVPN與傳統(tǒng)的遠(yuǎn)程訪問網(wǎng)絡(luò)相對應(yīng)，它通過一個擁有與專用網(wǎng)絡(luò)相同策略的共享基礎(chǔ)設(shè)施，提供對企業(yè)內(nèi)部網(wǎng)或外部網(wǎng)的遠(yuǎn)程訪問。如圖1所示。在AccessVPN方式下遠(yuǎn)端用戶不再像傳統(tǒng)的遠(yuǎn)程網(wǎng)絡(luò)訪問那樣通過長途電話撥號到公司遠(yuǎn)程接入端口，而是撥號接入到遠(yuǎn)端用戶本地的ISP，采用VPN技術(shù)在公眾網(wǎng)上建立一個虛擬的通道。AccessVPN能使用戶隨時隨地以其所需的方式訪問企業(yè)資源。AccessVPN包括模擬撥號、ISDN、數(shù)字用戶線路(xDSL)、移動IP和電纜技術(shù)，能夠安全地連接移動用戶、遠(yuǎn)程工作者或分支機構(gòu)。

2．企業(yè)內(nèi)部虛擬專網(wǎng)（IntranetVPN）

越來越多的企業(yè)需要在全國乃至世界范圍內(nèi)建立各種辦事機構(gòu)、分公司、研究所等，各個分公司之間傳統(tǒng)的網(wǎng)絡(luò)連接方式一般是租用專線。顯然，在分公司增多、業(yè)務(wù)開展越來越廣泛時，網(wǎng)絡(luò)結(jié)構(gòu)趨于復(fù)雜，費用昂貴。利用VPN特性可以在Internet上組建世界范圍內(nèi)的IntranetVPN，如圖2所示。利用Internet的線路保證網(wǎng)絡(luò)的互聯(lián)性，而利用隧道、加密等VPN特性可以保證信息在整個IntranetVPN上安全傳輸。IntranetVPN通過一個使用專用連接的共享基礎(chǔ)設(shè)施，連接企業(yè)總部、遠(yuǎn)程辦事處和分支機構(gòu)。企業(yè)擁有與專用網(wǎng)絡(luò)的相同政策，包括安全、服務(wù)質(zhì)量(QoS)、可管理性和可靠性。

3．?dāng)U展的企業(yè)內(nèi)部虛擬專網(wǎng)(ExtranetVPN）

信息時代的到來使各個企業(yè)越來越重視各種信息的處理，希望可以提供給客戶最快捷方便的信息服務(wù)，通過各種方式了解客戶的需要，同時各個企業(yè)之間的合作關(guān)系也越來越多，信息交換日益頻繁。Internet為這樣的一種發(fā)展趨勢提供了良好的基礎(chǔ)，而如何利用Internet進行有效的信息管理，是企業(yè)發(fā)展中不可避免的一個關(guān)鍵問題。利用VPN技術(shù)可以組建安全的ExtranetVPN，如圖3所示，既可以向客戶、合作伙伴提供有效的信息服務(wù)，又可以保證自身的內(nèi)部網(wǎng)絡(luò)的安全。其在網(wǎng)絡(luò)組織方式上與IntranetVPN沒有本質(zhì)的區(qū)別，但由于是不同公司的網(wǎng)絡(luò)相互通信，所以要更多的考慮設(shè)備的互連、地址的協(xié)調(diào)、安全策略的協(xié)商等問題。

三、IPVPN的安全機制

由于IPVPN是在不安全的Internet中進行通信，而通信的內(nèi)容可能涉及到企業(yè)的機密數(shù)據(jù)，因此其安全性就顯得非常重要，必須采取一系列的安全機制來保證VPN的安全。IPVPN的安全機制通常由加密、認(rèn)證及密鑰交換與管理組成。

1．加密技術(shù)簡介

在VPN中為了保證重要的數(shù)據(jù)在公共網(wǎng)上傳輸時不被他人竊取，采用了加密機制。在現(xiàn)代密碼學(xué)中，加密算法被分為對稱加密算法和非對稱加密算法。

對稱加密算法采用同一把密鑰進行加密和解密，優(yōu)點是速度快，但密鑰的分發(fā)與交換不便于管理。而采用不對稱加密算法進行加密時，通訊各方使用兩個不同的密鑰，一個是只有發(fā)送方知道的專用密鑰d，另一個則是對應(yīng)的公用密鑰e，任何人都可以獲得公用密鑰。專用密鑰和公用密鑰在加密算法上相互關(guān)聯(lián)，一個用于數(shù)據(jù)加密，另一個用于數(shù)據(jù)解密。不對稱加密還有一個重要用途即數(shù)字簽名。

2．認(rèn)證技術(shù)簡介

認(rèn)證技術(shù)可以區(qū)分被偽造、篡改過的數(shù)據(jù)，這對于網(wǎng)絡(luò)數(shù)據(jù)傳輸，特別是電子商務(wù)是極其重要的。認(rèn)證協(xié)議一般都要采用一種稱為摘要的技術(shù)。摘要技術(shù)主要是采用HASH函數(shù)將一段長的報文通過函數(shù)變換，映射為一段短的報文即摘要。由于HASH函數(shù)的特性，使得要找到兩個不同的報文具有相同的摘要是困難的。該特性使得摘要技術(shù)在VPN中有兩個用途：

驗證數(shù)據(jù)的完整性

發(fā)送方將數(shù)據(jù)報文和報文摘要