利用IPSec VPN技术完善电力数据网络

　　北电网络企业网事业部工程师 邹松鹤

　　互联网的发展极大地改变了人们的生活方式，提高了企业的办公效率。然而时至今日，在国内，绝大部分企业对互联网的认识和利用还仅限于获取信息和发布信息，却忽略了互联网的两个最大优势——无处不在的连接和廉价的接入。这对于电力行业这种跨地域的大型企业组网尤其有意义。利用IPSec VPN解决了互联网安全问题之后，电力公司、发电集团完全可以合理地利用互联网来完善电力数据网结构，提高网络效率和可靠性，并且降低网络的投资和运维费用。

　　什么是IPSec VPN

　　如前所述，企业利用互联网在于互联网的无处不在和低廉的价格。然而，互联网的设计起初并未考虑安全问题，所以企业利用互联网的前提是必须确保传输关键应用数据的安全。VPN（虚拟专网）技术正是为解决这一问题而产生的。

　　虚拟专网是指在公共网络中模拟 专网，数据通过安全的“隧道”在公共网络中传播，常用方法有L2TP、PPTP、IPSec等，其中IPSec是目前最安全、使用最广泛的虚拟专网协议。

　　IPSec提供三种不同的形式来保护通过互联网传送的私有数据：

　　● 认证——通过多种方式（如用户名/口令、数字证书等）确保所接受的数据与所发送的数据是一致的，同时可以认证申请发送者是真实发送者，而不是伪装的。

　　● 数据完整——通过Hash算法保证数据从原发地到目的地的传送过程中，没有任何不可检测的数据丢失与改变。

　　● 机密性——通过加密算法（如DES、3DES等）使相应的接收者能获取发送的真正内容，而其他人无法获知数据的真正内容。

　　IPSec由三个基本要素来提供以上三种保护形式：认证协议头（AH）、安全负载封装（ESP）和互联网IPSec密钥管理协议（ISAKMP）。认证协议头和安全负载封装可以通过分开或组合使用来达到所希望的保护等级。

　　因此，电力企业完全可以采用IPSec VPN技术，并结合互联网的优势完善其数据网络系统。

　　采用IPSec VPN的好处

　　电力数据网络分为调度网和办公网。考虑到调度网对安全性的极高要求，利用IPSec VPN技术改善电力数据网络仅限于办公网。

　　电力办公网络运行着电力办公自动化系统、信息管理系统、市场营销系统以及可能的视频会议系统、ERP系统和地理信息系统GIS等。这些应用是提高企业的办公效率、节省成本和增加企业竞争力的根本保障，电力企业日常的生产、管理、运作、贸易往来等会越来越依靠这些应用系统。如何保证诸多应用系统的承载平台——办公网的可靠性会越来越重要，为此电力企业需要建立备份网络系统来提高网络可靠性。

　　传统的备份网组网方式有：

　　一种是利用PSTN（公共电话网），但这种传统的拨号备份方式有着致命的弱点：带宽低（最高56Kbps）、质量差，当企业规模增大时，拨号备份的方式会造成核心节点维护的复杂和维护费用的增加。还有，PSTN网络在安全性上也有问题。因此，这种方式不可取。其实在欧美信息技术发达的国家，这种方式早已成为历史。

　　另一种是利用电信的专线（DDN、帧中继等），这种方式代价昂贵，尤其是长途专线费用，更何况组建的网络只是备份网络，因此这种方式也不可取。

　　如何既廉价又高性能地组建电力办公网络备份系统呢？IPSec VPN提供了很好的解决办法。尤其对于发电集团而言，下属发电企业几乎都有互联网接入，通过互联网建立IPSec VPN在费用上只有一次性投入费用（VPN设备的费用），十分经济。并且，现有互联网带宽无论是接入带宽还是骨干带宽，都可以完全满足电力企业网络应用的需求。

　　作为VPN市场的领导者，北电网络的VPN设备Contivity在满足企业建立VPN需求的同时，还可以通过内置的、获得国家公安部认证的状态监测防火墙进一步保证网络的安全性，以满足电力系统对安全性的严格要求。并且，北电网络的VPN设备Contivity的安全路由技术（SRT），可以在IPSec VPN网络上直接运行动态路由协议（如RIP、OSPF等），支持大规模网络的备份。

摘自 计算机世界报