IPSec VPN运营之我见

谢先兵

　　联通宽带运营现状

　　中国联通大力发展宽带业务战略目的是满足消费者对数据信息和语音视频的需求。伴随着宽带业务和ＣＤＭＡ１Ｘ无线上网产品的大量应用，用户可以在互联网上传输更为广泛的数据。

　　但是在宽带接入迅速发展、为用户解决了接入问题的同时，用户数据传输的安全问题也突显出来了，互联网的数据安全传输解决方案能很好的与中国联通的大力发展增值业务的战略相结合，能协助运营商开拓未来增值服务市场。

　　ＩＰＳｅｃ ＶＰＮ业务需求分析

　　随着经济的发展，企业规模的不断扩大，许多大型企业成立了一系列的子公司或分支机构，而快速掌握沟通信息、传输分析数据是公司在日趋激烈的竞争中取胜的关键。公司的分支机构间传输数据的方式主要有两种模式：①、专线方式；②、利用Ｉｎｔｅｒｎｅｔ传输。

　　专线方式的优点是具有较好的安全性，但是价格昂贵，一般的企业难以承受。

　　利用Ｉｎｔｅｒｎｅｔ传输因为只是简单的使用公用网络，所有信息都是以明文方式传送，虽然节约了成本，但因为公用网络固有的安全因素，存在线路不稳定、传输安全性差、容易受到攻击、感染病毒等隐患。

　　在这种情况下，为了拓展宽带业务市场的新业务，采用了ＩＰＳｅｃ隧道加密技术，在ＡＤＳＬ接入／宽带接入业务的基础上推出了主要针对商用客户的ＩＰＳｅｃ ＶＰＮ新业务，为商用客户既提供了高带宽低资费的企业网络联网服务，又提供了在公用网络上拥有私有ＩＰＳｅｃ ＶＰＮ网络的数据传输安全保障服务，可以为广大商用客户解决互联网的安全传输问题。

　　ＩＰＳｅｃ ＶＰＮ技术是最经济简单的互联网安全传输技术，可以满足用户如下的需求：

　　（１） 安全数据传输

　　（２） 拓展ＥＩＰ、ＥＲＰ系统到全球

　　（３） 支持安全移动访问

　　上述三大客户需求中，“支持安全移动访问”的需求，目前只有ＩＰＳｅｃ ＶＰＮ技术可以很好的满足，而使用专线接入，ＭＰＬＳ ＶＰＮ等技术都无法满足这一要求。

　　作为一种新的业务，对于ＩＰＳｅｃ ＶＰＮ的部署而言，既可以由企业用户来部署，也可以由运营商来部署。两种方式比较，对于数量众多的中小企业而言，迫切地需要运营商能够提供ＩＰＳｅｃ ＶＰＮ业务。

　　ＩＰＳｅｃ ＶＰＮ的用户群

　　ＩＰＳｅｃ ＶＰＮ的一个突出优点是具有极高的传输安全性，同时经济实用，拥有大量的潜在用户，这些用户的特征是：

　　（１） 需要借助互联网安全传输数据；

　　（２） 需要将现有ＥＩＰ、ＥＲＰ拓展到全球范围使用；

　　（３） 需要支持安全移动访问数据。

　　具有上述需求的用户是非常多的，例如具有大量分支机构的商业企业；大规模连锁经营的超市；具有跨地域组织方式的企事业单位；金融、证券行业；医疗、医药经营连锁等；

　　ＩＰＳｅｃ ＶＰＮ的用户组网模式

　　（１）大型用户的组网模式

　　在企业的公司总部，必须有一个固定的ＩＰ地址，并把总部的ＩＰＳｅｃ ＶＰＮ网关的地址设置为这个固定的ＩＰ地址。在其他的分支机构或者移动用户，可以使用动态ＩＰ地址的方式来连接到互联网。

　　在这种工作方式下，企业总部和各个分支机构、移动用户组成一个星型网络。所有的通信数据都经过加密后，在总部的ＩＰＳｅｃ ＶＰＮ网关上进行转发，从而实现通信的安全性。

　　（２）中小用户的组网模式

　　对于中小用户而言，通常无法使用大用户的ＩＰＳｅｃ ＶＰＮ组网方式。因为中小用户通常不具备固定ＩＰ方式的互联网接入。通常中小企业使用ＡＤＳＬ或者宽带方式接入互联网，这种接入方式下，ＩＰ地址是临时动态分配的，而不是固定的ＩＰ地址，因此无法使用固定ＩＰ的组网方式。

　　根据ＶＰＮ虚拟专用网的组网原理，当创建ＶＰＮ隧道时网络中至少一方要具有固定的ＩＰ地址，由于申请固定ＩＰ地址的月租费用远远高于动态ＩＰ地址的月租费，因此如果用户想采用宽带接入进行ＶＰＮ组网的话，如能在网络的两端均申请动态ＩＰ地址的宽带接入方式将大大降低组网成本。

　　对于中小企业，一种很好的选择是使用运营商提供的ＩＰＳｅｃ ＶＰＮ服务。

　　运营商给小企业提供ＶＰＮ服务，运营商在局端部署ＶＰＮ３０２０设备，在企业的各个ＶＰＮ业务点上部署一台ＶＰＮ３００５。业务点上的ＶＰＮ３００５将隧道建到运营商的中心ＶＰＮ３０２０上面，由中心ＶＰＮ３０２０设备转发ＩＰＳｅｃ报文，实现ＶＰＮ隧道的互联互通。

　　运营商在局端的ＶＰＮ３０２０设备可以使用迈普特有的“虚拟安全域技术”，使一台ＶＰＮ３０２０可以为多个用户提供ＩＰＳｅｃ ＶＰＮ服务，而保证信息的安全隔离。因为多个用户公用一台ＶＰＮ３０２０，这种模式将降低运营商开通小企业ＶＰＮ业务的成本。

　　值得一提的是，用户只需要在联通申请ＩＰＳｅｃ ＶＰＮ服务，无需使用ＤＤＮＳ服务，就可以享受ＩＰＳｅｃ ＶＰＮ服务。

----《通信世界报》