競星劍——虛擬專網(wǎng)應(yīng)用方案 邊界概述虛擬專網(wǎng)的邊界是指需要通過互聯(lián)網(wǎng)組成VPN網(wǎng)絡(luò)時，不同地域局域網(wǎng)的互聯(lián)網(wǎng)邊界。用戶敏感數(shù)據(jù)將通過不安全的公眾網(wǎng)絡(luò)進(jìn)行傳輸，組成異地虛擬專網(wǎng)。風(fēng)險與需求分析越來越多的行業(yè)用戶（特別是大型企事業(yè)單位）在網(wǎng)絡(luò)建設(shè)過程中，由于自身發(fā)展規(guī)模擴(kuò)大等因素，需要用一種安全的方法，通過廣域網(wǎng)傳輸私有的敏感數(shù)據(jù)，從而把分散在各地的分支機(jī)構(gòu)互聯(lián)起來，在實(shí)現(xiàn)這一目標(biāo)的過程中就產(chǎn)生了如下安全需求：數(shù)據(jù)安全傳輸大量的私有敏感數(shù)據(jù)需要在不安全的廣域網(wǎng)上傳輸，數(shù)據(jù)在傳輸過程中的機(jī)密性、完整性和可用性必須得到切實(shí)保障；必須采取嚴(yán)格的技術(shù)手段對數(shù)據(jù)進(jìn)行認(rèn)證、加密等，防止在廣域網(wǎng)中發(fā)生數(shù)據(jù)被竊聽、假冒、盜取、篡改等安全事件。鏈路備份對于已經(jīng)進(jìn)行專線組網(wǎng)的用戶而言，越來越多的用戶需要一套備份線路，一旦專線線路發(fā)生故障，可以快速切換到備份線路上，保障自身的業(yè)務(wù)系統(tǒng)不會因?yàn)閷＞€線路長時間中斷而造成損失。同時，備份線路的安全性要和專線一樣有保障。集中管理需要組建虛擬專網(wǎng)的用戶，網(wǎng)絡(luò)特點(diǎn)通常都是規(guī)模較大、地域分散。在保證數(shù)據(jù)能夠有效、安全傳輸?shù)耐瑫r，具備強(qiáng)大的集中管控能力同樣是非常重要的環(huán)節(jié)，通過集中管理，可監(jiān)控各地設(shè)備狀態(tài)、進(jìn)行策略統(tǒng)一管理等。組網(wǎng)方式不同類型的網(wǎng)絡(luò)往往需要不同的組網(wǎng)方式，例如，有的網(wǎng)絡(luò)節(jié)點(diǎn)不多，也沒有一個核心節(jié)點(diǎn)，常需要點(diǎn)對點(diǎn)自由建立隧道；有的網(wǎng)絡(luò)具備中心節(jié)點(diǎn)，更多的是其與分支節(jié)點(diǎn)間進(jìn)行通信；還有一種情況是，網(wǎng)絡(luò)具備多級管理結(jié)構(gòu)，希望在多個級別的節(jié)點(diǎn)上進(jìn)行控制，形成一種級聯(lián)式的管理模式。方案概述采用VPN技術(shù)進(jìn)行組網(wǎng)是解決數(shù)據(jù)異地安全傳輸問題的首選方案，其主要協(xié)議——IPSEC協(xié)議具備多種安全特性，能保證用戶的自有數(shù)據(jù)即使在不安全的網(wǎng)絡(luò)中同樣可以安全地傳遞。同時，可以很好地滿足專線備份鏈路的需求，以同樣安全的VPN組網(wǎng)技術(shù)保障業(yè)務(wù)數(shù)據(jù)的不間斷傳輸。部署方式對于不同類型的網(wǎng)絡(luò)，聯(lián)想網(wǎng)御總結(jié)出多種不同的組網(wǎng)方式：自由互聯(lián)型組網(wǎng)星形組網(wǎng)（hub－spokes）樹狀組網(wǎng)自由互聯(lián)型組網(wǎng)即各個節(jié)點(diǎn)通過部署在節(jié)點(diǎn)前的VPN網(wǎng)關(guān)設(shè)備進(jìn)行自主隧道建立與維護(hù)；星形組網(wǎng)和樹狀組網(wǎng)是更