基于互聯(lián)網(wǎng)的虛擬專用網(wǎng)絡(luò)(VPN)是在20世紀(jì)90年代通過在不安全的互聯(lián)網(wǎng)上安全地提供具有成本效益的連接的一種服務(wù)方式，并且隨著當(dāng)今技術(shù)的發(fā)展，VPN為SD-WAN技術(shù)提供的支持使得該技術(shù)得以普及。

VPN的定義

虛擬專用網(wǎng)絡(luò)(VPN)的定義是通過不太安全的網(wǎng)絡(luò)傳輸(例如互聯(lián)網(wǎng))創(chuàng)建安全網(wǎng)絡(luò)。

VPN用于連接網(wǎng)絡(luò)中的兩個(gè)或多個(gè)節(jié)點(diǎn)，最常用于將各個(gè)用戶的機(jī)器連接到端點(diǎn)，或者作為端點(diǎn)之間的連接。也可以實(shí)現(xiàn)兩個(gè)用戶之間的連接，但用例很少所以部署也少。

其中一個(gè)可能的用例是將物體連接到網(wǎng)絡(luò)，雖然現(xiàn)在這種用例還比較罕見，但隨著物聯(lián)網(wǎng)的發(fā)展，通過VPN連接到網(wǎng)絡(luò)的設(shè)備將會(huì)不斷增加。

[[229417]]

遠(yuǎn)程訪問VPN

遠(yuǎn)程訪問VPN是最常見的類型，能夠讓用戶在沒有直接連接到公司網(wǎng)絡(luò)的情況下訪問公司資源。遠(yuǎn)程訪問VPN通常都是臨時(shí)連接，并且用戶完成工作之后就會(huì)關(guān)閉。

為確保隱私，在用戶端點(diǎn)(如筆記本電腦、移動(dòng)設(shè)備或家庭計(jì)算機(jī))之間建立安全通道，建立呼叫并進(jìn)行某種認(rèn)證，如密碼、令牌、生物識(shí)別。

有時(shí)用戶名和密碼會(huì)被嵌入用戶端的VPN軟件中，以方便用戶連接，但總是需要經(jīng)過某種形式的認(rèn)證。

遠(yuǎn)程訪問VPN的優(yōu)勢(shì)

使用遠(yuǎn)程訪問VPN的優(yōu)勢(shì)是工作人員不管身在何方都可以連接到公司的資源，且不需要專用的物理鏈路。這樣可以降低成本，也可以實(shí)現(xiàn)之前無法實(shí)現(xiàn)的連接。

遠(yuǎn)程訪問VPN挑戰(zhàn)

通過VPN進(jìn)行遠(yuǎn)程訪問的缺點(diǎn)是，性能可能會(huì)因多種因素而有很大差異。這些因素包括正在使用的互聯(lián)網(wǎng)服務(wù)，加密方法和用戶連接的端點(diǎn)。這些問題遠(yuǎn)遠(yuǎn)超出了公司IT部門的控制范圍，因此很難做到提高績效。

任何企業(yè)服務(wù)都可以通過遠(yuǎn)程訪問VPN進(jìn)行訪問，而且大多數(shù)企業(yè)服務(wù)都可以運(yùn)行，但消耗大量帶寬或具有低延遲要求的應(yīng)用程序可能會(huì)受到很大的影響。

IPSec vs. SSL VPN

遠(yuǎn)程訪問VPN通常使用IPSec或SSL將用戶安全地連接到公司網(wǎng)絡(luò)，兩者之間有一個(gè)顯著的區(qū)別。IPSec VPN使得員工像在辦公室一樣訪問公司資源，因此所有共享驅(qū)動(dòng)器、應(yīng)用程序和其他資源都是可見的。

SSL VPN通常提供單個(gè)應(yīng)用程序的連接，而不是整個(gè)內(nèi)部網(wǎng)絡(luò)連接。SSL VPN越來越受歡迎，因?yàn)镾SL協(xié)議需要的計(jì)算資源更少，使得IT能夠更好地控制遠(yuǎn)程用戶訪問的內(nèi)容。限制對(duì)特定應(yīng)用程序的訪問可以在用戶設(shè)備遭到破壞的情況下保護(hù)組織。

SSL VPN和物聯(lián)網(wǎng)

物聯(lián)網(wǎng)包括了各種各樣的設(shè)備，其中很多是用于企業(yè)網(wǎng)絡(luò)的傳感器，這些傳感器需要收集各種數(shù)據(jù)。一個(gè)常見的需求是這些設(shè)備要能夠與公司網(wǎng)絡(luò)進(jìn)行通信，而SSL VPN是一個(gè)理想的方式，它們可以配置為限制對(duì)物聯(lián)網(wǎng)設(shè)備執(zhí)行其功能所需的服務(wù)除外的所有訪問。

對(duì)遠(yuǎn)程訪問VPN的需求逐漸減少

隨著軟件即服務(wù)(SaaS)日益普及，IT部門提供遠(yuǎn)程訪問VPN的需求也逐漸減少。應(yīng)用程序和數(shù)據(jù)正在從公司數(shù)據(jù)中心轉(zhuǎn)移到云端，用戶可以直接訪問這些服務(wù)。

端到端VPN

端到端VPN將分支機(jī)構(gòu)連接到公司網(wǎng)絡(luò)，通過端到端VPN，在網(wǎng)絡(luò)設(shè)備(路由器、防火墻或?qū)Ｓ肰PN設(shè)備)上實(shí)現(xiàn)網(wǎng)絡(luò)連接，而不是在終端用戶設(shè)備上。

實(shí)施端到端VPN的原因之一與網(wǎng)絡(luò)專業(yè)人士實(shí)施遠(yuǎn)程訪問VPN的原因類似：將站點(diǎn)連接到專用租線太昂貴或不切實(shí)際。

端到端MPLS VPN

另一類端到端VPN是連接到運(yùn)營商提供的MPLS云而不是公共互聯(lián)網(wǎng)，從而將VPN連接卸載到運(yùn)營商。服務(wù)提供商在其MPLS網(wǎng)絡(luò)上的端點(diǎn)之間建立虛擬連接。

這種類型的VPN主要優(yōu)點(diǎn)是網(wǎng)絡(luò)敏捷性和網(wǎng)絡(luò)的mesh功能，在典型的端到端網(wǎng)絡(luò)中，每個(gè)分支都連接到數(shù)據(jù)中心，并且任何分支都將流量分流到中心集線器。通過mesh功能，分支機(jī)構(gòu)可以實(shí)現(xiàn)直接連接。

對(duì)于視頻會(huì)議和其他貸款密集型和延遲敏感的應(yīng)用來說，這種直接連接非常重要，MPLS VPN非常契合這種用例。

MPLS VPN的劣勢(shì)在于其成本，MPLS這樣的私有IP服務(wù)非常昂貴，尤其是國際連接。

VPN和SD-WAN

SD-WAN是網(wǎng)絡(luò)從業(yè)人員口中的熱門話題，因?yàn)樗軌蛱峁┗诨ヂ?lián)網(wǎng)的VPN成本優(yōu)勢(shì)以及MPLS VPN的性能和靈活性。

借助SD-WAN，企業(yè)可以用更經(jīng)濟(jì)的互聯(lián)網(wǎng)連接取代至少部分高價(jià)的MPLS鏈路，并使用SD-WAN的優(yōu)化和多路徑功能來確保每個(gè)工作負(fù)載的性能保持足夠高的水平。

而且，由于SD-WAN的控制元素已經(jīng)從基礎(chǔ)設(shè)施中解耦，因此可以通過集中式門戶配置網(wǎng)絡(luò)，只需點(diǎn)擊幾下鼠標(biāo)就可以完成對(duì)SD-WAN的更改。

VPN技術(shù)已經(jīng)存在了數(shù)十年，SD-WAN應(yīng)該被稱為是該技術(shù)的下一個(gè)主要應(yīng)用方向。