时间：2022-04-10 21:21:21
关键词：VPN，多出口，校园网，远程访问，ISP
1.校园网问题分析及其解决方案的提出
虚拟专用网（VPN），是对企业内部网的扩展。它通过“隧道”技术、加密技术、认证技术和访问控制等手段提供一种通过公用网络（通常是因特网）安全地对单位内部专用网络进行远程访问的连接方式。
近年来，随着高校信息化建设工作的深入开展，校园网用户对校园网的要求也越来越高，传统的单一公网接入模式已经很难满足日趋复杂的应用需求。大多数的教师习惯于利用家里的计算机上网查资料、写论文。如果要去学校图书馆网站，或者是教育网内查资料，一般情况下是无法查找并下载的，因为学校图书馆的电子资源都做了访问限制，普通Internet用户也是不能访问教育网的。在每年期末考试后，老师在线提交成绩时，都要登录学校内部“教务处”的网站在线提交，这时也只能到学校提交。
为此，校园网的建设可采用多ISP连接的网络访问模式：在原有的教育网出口的基础上增加一个当地ISP（移动、联通或电信宽带ISP）出口，形成多ISP连接的校园网络结构，并且需学校的网络中心在学校组建VPN服务器，供教职工在校外使用校内资源。在组建VPN服务器时，使用当地ISP出口，为校外的教职工提供VPN接入服务，因为校外教职工大多使用当地ISP提供的ADSL宽带业务。当校外职工使用VPN接入学校的VPN服务器后，就可以访问校园网与教育网上的资源，这将为教职工提供很大的便利。
2.VPN关键技术研究
⑴隧道技术：隧道是指在公用网建立一条数据通道，让数据包通过这条隧道传输。隧道技术可分别以第2层或第3层隧道协议为基础。第2层隧道协议对应于OSI模型的数据链路层，使用帧作为数据交换单位。PPTP（点对点隧道协议）、L2TP（第二层隧道协议）和L2F（第2层转发协议）都属于第2层隧道协议，是将用户数据封装在点对点协议（PPP）帧中通过互联网发送。第3层隧道协议对应于OSI模型的网络层，使用包作为数据交换单位。MPLS、SSL以及IPSec隧道模式属于第3层隧道协议，是将IP包封装在附加的IP包头中，通过IP网络传送。无论哪种隧道协议都是由传输的载体、不同的封装格式以及用户数据包组成的。它们的本质区别在于，用户的数据包是被封装在哪种数据包中在隧道中传输。
⑵安全技术：VPN安全技术主要包括加解密技术、密钥管理技术、使用者与设备身份认证技术。加解密技术是数据通信中一项较成熟的技术，VPN可直接利用现有技术；密钥管理技术的主要任务是如何在公用数据网上安全地传递密钥而不被窃取；使用者与设备身份认证技术最常用的是使用者名称与密码认证等方式。
3.基于VPN技术的多出口校园网的设计
3.1 网络结构规划
为了满足可扩展性和适应性目标，网络结构采用典型的层次化拓扑，即核心层、分布层、访问层。核心层路由器用于优化网络可用性和性能，主要承担校园网的高速数据交换任务，同时要为各分布层节点提供最佳数据传输路径；分布层交换机用于执行策略，分别连接图书馆、办公楼、实验楼以及各院系；接入层通过低端交换机和无线访问节点连接用户。毕业论文。网络拓扑图如图1所示。
图1 网络拓扑图
3.2 网络工作原理
在该组网方案中，学校通过核心层路由器分别接入教育网与Internet，然后通过一硬件防火墙与分布层交换机连接，分布层交换机负责连接图书馆、办公楼、实验楼以及各院系的接入层设备，校园网内的终端计算机直接与接入层设备相连。终端计算机可直接使用教育网分配的IP地址。校园网内有一台安装了ISAServer2006的VPN服务器，给其分配一个教育网IP地址（假设Ip：202.102.134.100，网关地址202.102.134.68），在防火墙中将一个公网地址（假设为222.206.176.12）映射到该地址。VPN服务器可通过“防火墙”与“核心层路由器”访问Internet与教育网，Internet上的用户，可以通过“Internet上的VPN客户端—>Internet网络—>核心层路由器—>防火墙—>分布层交换机—>ISA Server2006VPN服务器”的路线连接到VPN服务器，之后，ISAServer2006 VPN服务器通过防火墙和核心层路由器访问教育网，并且ISA Server2006 VPN服务器通过分布层交换机提供了到学校内网的访问。
3.3 技术要点
⑴防火墙内网地址问题。如果防火墙是透明模式接入，各个网口是不需要地址的。若防火墙是假透明，就需要给防火墙的每个网口配置同一个网段的IP。如果是路由模式，需要给防火墙的每个网口配置不同网段的IP，就象路由器一样。现在有一些防火墙已经有所谓的混合模式，也就是透明和路由同时工作，这属于路由模式的扩展。毕业论文。
⑵VPN服务器的注意事项。ISA Server2006VPN服务器要求至少有“两块网卡”才能做VPN服务器，若服务器上只有一块网卡，需为其安装一块“虚拟网卡”。另外，VPN服务器不一定要直接连接在分布层交换机上，也可以是图书馆、办公楼、实验楼以及各院系的一台服务器，只要映射一个公网地址即可。
⑶设定ISA Server2006接受VPN呼叫。VPN 可通过默认设置的动态主机配置协议（Dynamic Host Configuration Protocol，DHCP）或者通过使用路由选择和远程访问控制台分配的一组地址来分配地址。如果选择了DHCP，VPN客户端永远不会同DHCP服务器进行直接通信，运行ISA Server2006的VPN服务器将分配从DHCP服务器所获得的地址；它将基于运行ISA Server2006的VPN 服务器的内部接口配置来分配名称服务器地址。如果拥有多个内部接口，运行ISA Server的VPN 服务器将选择其中之一。
⑷VPN客户端地址的分配。在给VPN客户端分配IP地址时，在为VPN客户端分配IP地址的时候，要保证所分配的地址不能与VPN服务器本身以及VPN服务器所属内网、公网的地址冲突，否则VPN客户端在访问内网时，会造成寻址问题而不能访问。毕业论文。为了避免出现问题，直接分配私网的IP地址即可，比如192.168.14.0/24网段。另外，校园网外的教职工，在拨叫VPN服务器时，应是防火墙映射的地址，本文中即222.206.176.12。
4.结束语
多出口是目前许多高校组建校园网时所采取的方式，多出口解决了教育网与Internet之间的出口速度很慢的问题，将VPN技术应用到具有多出口的高校校园网，可以让校外Internet用户更容易、更方便的获得对教育网、校园网数字资源的使用权。
参考文献
[1]曹利峰,杜学绘,陈性元.一种新的IPsecVPN的实现方式研究[J].计算机应用与软件,2008,07
[2]贾毅峰.双出口校园网中策略路由的应用[J].铜仁学院学报,2009,11
[3]吴建国,王铁,许兴华.校园网双(多)出口的基本解决策略和方法[J].云南师范大学学报,2010.01
[4]何胜辉.多出口校园网体系结构分析设计.网络通讯及安全,2008.02
关键词 广播电视网络；承载网络；安全；业务隔离
中图分类号 G2 文献标识码 A 文章编号 1674-6708（2017）189-0031-01
随着广播电视网络的日益发展，网络内部多业务多系统并存的现象越来越普遍，单纯运用传统路由器很难完成局域网中不同业务的完整隔离。LAN中业务隔离的传统办法有两种：应用VLAN隔离业务，将用户划分在一个独立的VLAN中或者应用CE设备隔离业务，为每个用户部署一个独立的CE路由器。这些业务应用在广电业务中有许多能通过VLAN隔离，一旦涉及到多业务应用就需要多CE路由器就会对广电网络来说大量资金投入，这些投入既需要大量金钱投入，又需求更多的网络管理工作和用户站点部署。如何把钱花在刀刃上成为一个让人头疼的问题，既要减少设备投入，又要业务安全隔离互补干扰。在这里笔者给大家介绍一下VPN-INSTANCE在广电承载网络中的应用与维护。
1 Vpn实例在广电网络中的作用
广电网络近几年发展迅猛，接入网设备从WiFi、cmts、pon、eoc或者ipqam等设备五花八门，终端设备有pc、pad、stb等业务类型复杂多样。相对应的核心网络在对前端接入设备只是分配ipv4的地址，完成设备的互联互通。当核心网络发展到一定程度负责维护网络的人员就会发现，在核心网络层上各个ipv4的地址都是在同一个动态地址路由转发表里面，或ospf、或静态路由插入。假设说一个用户从上网终端设备获取到dhcp分配的ipv4地址后，不用pppoe拨号就能ping通自己机顶盒ipv4地址，或者其他人获得的ipv4终端地址。其互联互通的特性必将导致安全方面的问题，如果发生病毒、入侵等安全事件，广电网络就会完全暴露在攻击中。笔者认为广电网络中的用户所使用的大量应用会存在某些不稳定的因素，与其要求客户端的安全，不如在核心设备一侧将业务隔离。
2 Vpn实例极简配置与技术细节
Vpn-instance（vpn实例：俗称虚拟化技术中的一虚多技术穷人版）在bgp＼Mpls vpn中，不同的vpn之间路由隔离经过vpn-instance完成。Pe（汇聚层设备）为每个直接的站点树立并维护独立的vpn-instance。Vpn-instance包含独立的路由表和D发表。使用vpn-instance可以在一台路由器上虚拟出多立逻辑的路由器，从而实现广电网络IP三层网络路由隔离。这一功能可以在广电网络环境中得到应用，将不同的业务分配到不同的vpn-instance中直到外网防火墙、bars等终结地址设备。完成从业务终端到核心一整条链路的业务二、三层隔离。
#
ip vpn-instance ipvpn （生成vpn-instance实例）
ipv4-family （生成采用ipv4）
route-distinguisher xxxx：xxx （生成路由标识符）
vpn-target xxxx：xxx export-extcommunity （vpn实例输出标签）
vpn-target xxxx：xxx import-extcommunity （vpn实例输入标签）
#
interface Vlanif xxxx （三层VLAN接口xxxx）
ip binding vpn-instance ipvpn （绑定vpn实例）
ip address xxx.xxx.xxx.xxx 255.255.255.252
ospf xxx vpn-instance ipvpn （vpn实例中ospf）
import-route static （允许静态地址插入）
area 0.0.0.0
network xxx.xxx.xxx.xxx xxx.xxx.xxx.0
network xxx.xxx.xxx.xxx 255.255.255.252
ip route-static vpn-instance ipvpn xxx.xxx.xxx.xxx xxx.xxx.xxx.xxx xxx.xxx.xxx.xxx
（vpn实例中静态路由）
3 Vpn-instance案例
正常情况下数据互不干扰，各自运行。
发生网络攻击时候的数据走向：
图1
由于dhcp分配的地址所属各自业务都在同一张ospf网络内，理论上都是互联互通的，黑客攻击可以通过ddos、arp等方式攻击网络。如图所示：area102许多用户获取不到正确的IP地址，area100网络arp攻击访问不了出口网络。由于网络的联通性，很难查找到攻击源在哪里，只能通过故障现象发现某一区域有用户故障，从而导致业务处理时间延长。
运行vpn-instance后每台逻辑上的路由器都具有自己的路由表与转发表，完成不同vpn-instance间的IP地址通信。绑定在vpn-instance下的端口转发与其一致的报文的对端设备通信，当发生不同接口报文接错时，则该路径被视为故障链路。笔者还认为vpn-instance虚拟化技术能将一台物理路由器虚拟成多台逻辑路由器，从而减少设备数量，简化网络管理，减少运维人员成本。
4 结论
虽然vpn-instance能实现虚拟化技术，网络三层隔离。但并不是所有的设备都支持该功能。并且一个ospf进程只能属于一个vpn-instance，一个vpn-instance下可以存在多个ospf进程，但在多ospf进程下会导致动态路由环路的情况
发生。
参考文献
关键词：VPN，管理，管理技术
一、VPN服务及其应用
VPN，即Virtual Private Network，是建立于公共网络基础之上的虚拟私有网络，如利用Internet连接企业总部及其分支。VPN能够给企业提供和私有网络一样的安全性、可靠性和可管理性等，并且能够将通过公共网络传输的数据加密。利用VPN，企业能够以较低的成本提供分支机构、出差人员的内网接入服务。
如果访问企业内部网络资源，使用者需要接入本地ISP的接入服务提供点，即接入Internet，然后可以连接企业边界的VPN服务器。如果利用传统的WAN技术，使用者和企业内网之间需要有一根专线，而这非常不利于外出办公人员的接入。而利用VPN，出差人员只需要接入本地网络。论文写作，管理。如果企业内网的身份认证服务器支持漫游的话，甚至可以不必接入本地ISP，并且使用VPN服务所使用的设备只是在企业内部网络边界的VPN服务器。
二、VPN管理
VPN能够使企业将其内部网络管理功能从企业网络无缝延伸到公共网络，甚至可以是企业客户。这其中涉及到企业网络的网络管理任务，可以在组建网络的初期交给运营商去完成，但企业自身还要完成许多网络管理的任务。所以，一个功能完整的VPN管理系统是必需的。
通过VPN管理系统，可以实现以下目的：
1、降低成本：保证VPN可管理的同时不会过多增加操作和维护成本。
2、可扩展性：VPN管理需要对日益增加的企业客户作出快速的反应，包括网络软件和硬件的平滑升级、安全策略维护、网络质量保证QOS等。论文写作，管理。
3、减少风险：从传统的WAN网络扩展到公共网络，VPN面临着安全与监控的风险。网络管理要求做到允许公司分部、客户通过VPN访问企业内网的同时，还要确保企业资源的完整性。
4、可靠性：VPN构建于公共网络之上，其可控性降低，所有必须采取VPN管理提高其可靠性 。
三、VPN管理技术
1、第二层通道协议
第二层通道协议主要有两种，PPTP和L2TP，其中L2TP协议将密钥进行加密，其可靠性更强。
L2TP提高了VPN的管理性，表现在以下方面：
（1）安全的身份验证
L2TP可以对隧道终点进行验证。不使用明文的验证，而是使用类似PPPCHAP的验证方式。论文写作，管理。
（2）内部地址分配
用户接入VPN服务器后，可以获取到企业内部网络的地址，从而方便的加入企业内网，访问网络资源。地址的获取可以使用动态分配的管理方法，由于获取的是企业内部的私有地址，方便了地址管理并增加安全性。论文写作，管理。
（3）网络计费
L2TP能够进行用户接口处的数据流量统计，方便计费。
（4）统一网络管理
L2TP协议已成为标准的协议，相关的MIB也已制定完成，可以采用统一SNMP管理方案进行网络维护和管理。
2、IKE协议
IKE协议，即Internet Key Exchange，用于通信双方协商和交换密钥。IKE的特点是利用安全算法，不直接在网络上传输密钥，而是通过几次数据的交换，利用数学算法计算出公共的密钥。数据在网络中被截取也不能计算出密钥。使用的算法是Diffie Hellman，逆向分析出密钥几乎是不可能的。
在身份验证方面，IKE提供了公钥加密验证、数字签名、共享验证字方法。并可以利用企业或独立CA颁发证书实现身份认证。
IKE解决了在不安全的网络中安全可靠地建立或更新共享密钥的问题，是一种通用的协议，不仅能够为Ipsec进行安全协商，还可以可以为OSPFv2 、RIPv2、SNMPv3等要求安全保密的协议协商安全参数。
3、配置管理
可以使VPN服务器支持MIB，利用SNMP的远程配置和查询功能对VPN网络进行安全的管理。
（1）WEB方式的管理
利用浏览器访问VPN服务器，利用服务器上设置的账户登录，然后将Applet下载到浏览器上，就可以对服务器进行配置。论文写作，管理。用户登录后，服务器会只授权登录的IP地址和登录客户权限，从而避免伪造的IP地址和客户操作。而且利用这种方式，还解决了普通SNMP协议只有查询没有配置功能的缺点。
（2）分级统一管理
如果企业网络规模扩大，可以对VPN服务器进行统一配置管理，三级网络中心负责数据的收集与统计，然后向上层汇总。收集的数据包括VPN用户数量、VPN用户的数据流量等。通过分级管理，一级网络中心就能够获取全部VPN用户的数量、流量并进行统计，分析出各地情况，从而使用合适的方案。
4、IPSec策略
IPSec是一组协议的总称，IPsec被设计用来提供入口对入口通信安全分组通信的安全性由单个结点提供给多台机器或者是局域网，也可以提供端到端通信安全，由作为端点的计算机完成安全操作。上述两种模式都可以用来构VPN，这是IPsec最主要的用途。
IPSec策略包括一系列规则和过滤器，以便提供不同程度的安全级别。论文写作，管理。在IPSec策略的实现中，有多种预置策略供用户选择，用户也可以根据企业安全需求自行创建策略。IPSec策略的实施有两种基本的方法，一是在本地计算机上指定策略，二是使用组策略对象，由其来实施策略。并且利用多种认证方式提升VPN的安全管理性。
利用上述VPN管理技术，可以大大提高企业网络资源的安全性、完整性，并能够实现资源的分布式服务。以后还将结合更多的技术，实现VPN网络灵活的使用和安全方便的管理。其使用的领域也会越来越广泛。
参考文献：
[1]帕勒万等著刘剑译.无线网络通信原理与应用[M].清华大学出版社，2002.11
[2]朱坤华，李长江.企业无线局域网的设计及组建研究[J].河南科技学院学报2008.2:120-123
[3]潘爱民.计算机网络（第四版）[M].清华大学出版社2004.8
（第二炮兵工程学院，西安 710025）
摘要：虚拟专用网(VPN)是利用公共网络构建私有专用网络的技术，通过附加的安全隧道、用户认证和访问控制等技术，实现与专用网络相类似的安全性能的虚拟专用网络。无论是企业还是高校都希望能够构建一种网络，既确保安全，又便于维护。VPN能够帮助企业通过一个公用网络建立一个临时的、安全稳定的通讯隧道，使用这条隧道可以对数据进行几倍加密达到安全使用互联网的目的。本文结合几种VPN技术设计了一种内部网络的构建方案，既保证了协议之间的兼容，又实现了安全传输。
关键词：VPN技术；MPLS VPN；SSL；IPSec；VOIP VPN；基于VPN的安全多播
0引言
随着Internet和信息化技术的发展，企业和个人在Internet上的交易日益频繁，随之而来的安全问题也日益突出。虚拟专用网就是利用不可靠的公用互联网络作为信息传输媒介，通过附加的安全隧道、用户认证和访问控制等技术，实现与专用网络相类似的安全性能的一种专用网络。
近年来，宽带接入的蓬勃发展带动了VPN在宽带网络平台上的各种应用飞速发展，反过来，VPN的应用又促进宽带内容的不断丰富。
在国外网络通信发达的围家，VPN应用已经非常普及。国外的VPN技术发展较快，基于标准的虚拟专用网技术近年来己成为网络界的新热点，这是因为它有着无可比拟的优势：通过整合几种数据保护的方式，使用户可以在开放的Internet上轻松地交换私有数据，而无需高昂的专用网络及设备。它带来的好处不仅是成本的降低，更重要的是将服务质量也带给了用户。
我国的IP网络安全研究起步晚、投入少、研究力量分散，与技术先进国家有较大的差距，特别是在系统安全和安全协议方面。目前，国内市场对信息安全的需求日益强烈，尤其是颇具规模的客户对网络安全的需求越来越紧迫，因此，需要加大力度，研发方便、安全和适合自己的VPN解决方案。近两年来，一些大中型企业已建立VPN网络，一些学校的校园网也正在尝试使用VPN技术提供远程连接服务。一些高校和公司也正在研究VPN技术，开发实用的VPN软件产品，提高全方位的VPN技术服务。
1VPN技术简介
1.1 IPSec VPNIPSec是由IETF（因特网工程任务组）于1998年11月公布的开放性IP安全标准，用于保护IP数据包或上层数据。IPSec在IP层上对数据包进行高强度的安全处理，提供访问控制、数据源验证、无连接数据完整性、数据机密性、抗重播和有限的通信流机密性等安全服务，具有较好的安全一致性、共享性及应用范围。这是因为，IP层可为上层协议无缝地提供安全保障，各种应用程序可以享用IP层提供的安全服务和密钥管理，而不必设计和实现自己的安全机制，因此减少了密钥协商的开销，也降低了产生安全漏洞的可能性。
1.1.1 IPSec VPN的优点①通用性好。IPSec是与应用无关的技术，因此IPSec VPN的客户端支持所有IP层协议，并且IPSec定义了一套用于认证、保护私有性和完整性的标准协议，这使得客户端至站点（client-to-site）、站点对站点（site-to-site）、客户端至客户端（client-to-client）连接所使用的技术是完全相同的。而且IPSec VPN支持一系列加密算法如DES、三重DES、IDEA。它检查传输的数据包的完整性，以确保数据没有被篡改；②整合性好。IPSec VPN网关整合了网络防火墙的功能，还可与个人防火墙等其他安全功能一起销售。因此，可保证配置、预防病毒，并进行入侵检测。并且IPSec可在多个防火墙和服务器之间提供安全性，确保运行在TCP/IP协议上的VPN之间的互操作性；③透明性。IPSec在传输层之下，对于应用程序来说是透明的。当在路由器或防火墙上安装IPSec时，无需更改用户或服务器系统中的软件设置，即使在终端系统中执行IPSec，应用程序一类的上层软件也不会受到影响。
1.1.2 IPSec VPN的缺点①IPSec VPN需要安装客户端软件，但并非所有客户端操作系统均支持IPSec VPN的客户端程序；② IPSec VPN的连接性会受到网络地址转换的影响，或受网关代理设备的影响；③IPSec VPN需要先完成客户端配置才能建立通信信道，并且配置比较复杂。
1.2 SSL VPNSSL协议的英文全称是“Secure Sockets Layer”，中文名为“安全套接层协议层”。SSL协议是网景公司设计的基于Web应用的安全协议，它指定了在应用程序协议（如HTTP，Telnet和FTP等）和TCP/IP协议之间进行数据交换的安全机制，为TCP/IP连接提供数据加密、服务器认证以及可选的客户机认证。作为应用层之下的协议，SSL使用公开密钥体制和数字证书技术保护信息传输的机密性和完整性，但它不能保证信息的不可抵赖性。
SSL VPN作为一种新的VPN技术，相对于传统的IPSec VPN等有其自身的技术特点。
1.2.1 SSL VPN的主要优点：① 客户端支撑维护简单；② 良好的安全性；③ 提供更细粒度的访问控制；④ 能够穿越NAT和防火墙设备；⑤ 能够较好地抵御外部系统和病毒攻击；⑥ 网络部署灵活方便；⑦ 适用大多数设备。
1.2.2 SSL VPN的主要缺点：① 安全认证方式比较单一，只能够使用证书方式，而且一般是单向认证；② SSL VPN应用受到限制。一般都用于B/S模式，用户只能访问基于Web服务器的应用；③ SSL VPN是应用层加密，性能相对来说可能会受到较大影响。
1.3 MPLS VPNMPLS（multi-protocollabelswitch）是Internet核心多层交换计算的最新发展。MPLS将转发部分的标记交换和控制部分的IP路由组合在一起，加快了转发速度，而且，MPLS可以运行在任何链接层技术之上。
MPLS VPN网络主要由CE（CustomEdgeRouter，用户网络边缘路由器）、PE（Provider Edge Router，骨干网边缘路由器）和P（Provider Router，骨干网核心路由器）等3部分组成：CE设备直接与服务提供商网络相连，它“感知”不到VPN的存在；PE设备与用户的CE直接相连，负责VPN业务接入，处理VPN-Ipv6路由，是MPLS三层VPN的主要实现者；P负责快速转发数据，不与CE直接相连。在整个MPLS VPN中，P、PE设备需要支持MPLS的基本功能，CE设备不必支持MPLS。
MPLS VPN构建在专用网络上，能够保证很好的服务质量，而且价格与传统专线在同一水平。IPSec/SSL VPN承载在公众互联网上，成本相对比较低，但服务质量基本无法保证。服务供应商当然可以部署一种或者同时部署多种VPN架构来支持其新型增值服务，但是，如果能够把各类VPN融合起来更可以获得优势互补所带来的巨大利益。提供设计优良、运行正常和综合性的VPN服务可以同时提升IPsec和MPLS的应用层次。
1.4 内部网VPN构建方案VPN系统的首要职责是保障安全，保障互联网数据传输安全的基本机制包括：身份认证、信息保密和信息完整。
内部网VPN的设计须遵循以下原则：①保障安全；②保证多平台兼容；③提供有效的访问控制；④有效的管理平台。
MPLS VPN主要解决的是固定站点间的互联问题，一般不借助Internet来实现，服务质量和安全性的保障比较方便，适用于中大型客户的组网；而IPSecVPN和SSL VPN主要解决的是基于互联网的远程接入和互联，虽然在技术上来说，它们也可以部署在其它的网络上（如专线），但那样就失去了其应用的灵活性，它们更适用于商业客户等对价格特别敏感的客户。比较前面的几种VPN技术，我们发现，作为SSL VPN产品的一个重要指标就是要能够作到在任何时间及任何地点进行访问，使得移动办公用户能够随时随地地保持联网以及保证安全的网络连接。内部网VPN系统为多种应用服务提供保护，因此应该提供一定的访问控制策略，让不同的用户有不同的访问权限。而SSL VPN较之于IPSec VPN的一个优势就在于，SSL VPN能够提供更细粒度的访问控制管理，即针对具体应用程序实施访问控制策略。SSL VPN服务器同时可以提供客户方和服务器方友好而有效的管理配置界面，方便用户的使用。
虽然目前企业应用最广泛的是IPSec VPN，然而研究表明，在未来的几年中IPSec的市场份额将下降，而SSL VPN将逐渐上升。由于技术进步，用户更愿将应用外包给运营商来提供，或是自己选择部署成本低且应用方便的VPN。
综上所述，内部网的构建方案如下：①对于那些需要较高认证和私密性、而对服务质量要求不高的数据流采用IPsec解决方案，而对网络的带宽和服务质量（QoS）要求较高的需求则采用MPLS解决方案。②对于内部网络中，安全要求较高的局域网选择部署MPLS VPN来支持Sites to Sites间且具有QoS等级的VPN连接；而对于内部网络中涉密级别较低的可以选择SSL这类部署简单、维护成本低、使用方便的VPN。③对于语音业务，可以利用VoIP技术使企业利用IP VPN来传送语音业务，允许语音传送就像一种数据业务一样通过IP网络。基于VPN路由器，通过使用服务类型字段对语音和视频流量作标记，将其显示为IPSec报头的一部分发向网络，使其享有更高的优先级，这样企业可利用IP电话建立起自己的远程家庭办公网络系统。VoIP VPN使企业不必为语音和数据分别建立网络，大大节省了开销。④为更好得实现与IPSec协议的兼容，可以采用基于VPN的安全多播技术。它由安全多播网关和安全多播主机组成，充分利用现有的基于IPSec协议的VPN系统的体系结构，来实现多播数据的安全传输，实现简单，结构灵活。
基于VPN安全多播系统的安全多播网关中有一个网关充当多播组的控制器，一个网关充当多播组的备份控制器。组控制器对整个多播组的安全策略进行管理，备份控制器在主控制器失效时充当多播组的主控制器。多播报文在安全多播网关之间采用隧道进行传输。在多播安全网关和多播安全主机之间采用多播传输。基于VPN的安全多播系统提高了多播数据传输时的安全性和可靠性。
关键词：VPN；MPLS；多协议标记交换
中图法分类号：TP309文献标识码：A文章编号：1009-3044(2008)08-10ppp-0c
随着Internet的VPN连接蓬勃发展，人们对其连接质量提出了更高的要求。但常规的VPN连接方法缺乏高效的连接手段，网络经常会发生阻塞，许多应用对于目前的IP技术(如语音和视频等)显得力不从心，并且实现成本也很高。而新兴的多协议标记交换技术(MPLS:MultiProtocol Label Switching)有望解决这一问题。
1 VPN简介
首先引入现实中的一个例子，经常在外地出差的公司用户希望能从外地的网络访问公司的内网办公，而访问的结果就像在公司内网一样，不会有对资源、权限的限制，就好像在内网里面一样，我们可以利用VPN技术实现这个目的。
由以上来看，究竟什么是VPN呢？虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
2 常规VPN技术
以往常规的VPN连接技术是在PPTP或者L2TP协议的控制下进行隧道封装加密传输，其中，PPTP协议将控制包与数据包分开，控制包采用TCP控制，用于严格的状态查询及信令信息；数据包部分先封装在PPP协议中，然后封装到GRE V2协议中。目前，PPTP协议基本已被淘汰。L2TP是国际标准隧道协议，它结合了PPTP协议以及第二层转发L2F协议的优点，能以隧道方式使PPP包通过各种网络协议，包括ATM、SONET和帧中继。但是L2TP没有任何加密措施，更多是和IPSec协议结合使用，提供隧道验证。
但是，IPsec协议首要的和最明显的缺点就是性能的下降，其次，在实现成本上非常不利，低端的设备通常用软件实现所有的IPsec功能，因而其速度最慢。价格贵些的用硬件实现IPsec功能。一般来说，性能越好，其价格越贵。
3 基于MPLS的VPN的新技术
同传统的VPN不同，MPLS VPN不依靠封装和加密技术，MPLS VPN依靠转发表和数据包的标记来创建一个安全的VPN，MPLS VPN的所有技术产生于InternetConnect网络。
CPE被称为客户边缘路由器（CE）。在InternetConnect网络中，同CE相连的路由器称为供应商边缘路由器(PE)。一个VPN数据包括一组CE路由器，以及同其相连的InternetConnect网中的PE路由器。只有PE路由器理解VPN。CE路由器并不理解潜在的网络。
CE可以感觉到同一个专用网相连。每个VPN对应一个VPN路由/转发实例（VRF）。一个VRF定义了同PE路由器相连的客户站点的VPN成员资格。一个VRF数据包括IP路由表，一个派生的Cisco Express Forwarding (CEF)表，一套使用转发表的接口，一套控制路由表中信息的规则和路由协议参数。一个站点可以且仅能同一个VRF相联系。客户站点的VRF中的数据包含了其所在的VPN中，所有的可能连到该站点的路由。
对于每个VRF，数据包转发信息存储在IP路由表和CEF表中。每个VRF维护一个单独的路由表和CEF表。这些表各可以防止转发信息被传输到VPN之外，同时也能阻止VPN之外的数据包转发到VPN内不的路由器中。这个机制使得VPN具有安全性。
在每个VPN内部，可以建立任何连接：每个站点可以直接发送IP数据包到VPN中另外一个站点，无需穿越中心站点。一个路由识别器(RD)可以识别每一个单独的VPN。一个MPLS网络可以支持成千上万个VPN。每个MPLS VPN网络的内部是由供应商(P)设备组成。这些设备构成了MPLS核，且不直接同CE路由器相连。围绕在P设备周围的供应商边缘路由器(PE)可以让MPLS VPN网络发挥VPN的作用。P和PE路由器称为标记交换路由器(LSR)。LSR设备基于标记来交换数据包。
客户站点可以通过不同的方式连接到PE路由器，例如帧中继，ATM，DSL和T1方式等等。
三种不同的VPN，分别用Route Distinguishers 10，20和30来表示。
MPLS VPN中，客户站点运行的是通常的IP协议。它们并不需要运行MPLS，IPSec或者其他特殊的VPN功能。在PE路由器中，路由识别器对应同每个客户站点的连接。这些连接可以是诸如T1，单一的帧中继，ATM虚电路，DSL等这样的物理连接。路由识别器在PE路由器中被配置，是设置VPN站点工作的一部分，它并不在客户设备上进行配置，对于客户来说是透明的。
每个MPLS VPN具有自己的路由表，这样客户可以重叠使用地址且互不影响。对用RFC 1918建议进行寻址的多种客户来说，上述特点很有用处。例如，任何数量的客户都可以在其MPLS VPN中，使用地址为10.1.1.X的网络。MPLS VPN的一个最大的优点是CPE设备不需要智能化。因为所有的VPN功能是在InternetConnect的核心网络中实现的，且对CPE是透明的。CPE并不需要理解VPN，同时也不需要支持IPSec。这意味着客户可以使用价格便宜的CPE，或者甚至可以继续使用已有的CPE。
4 基于MPLS VPN的优点
时延被降到最低，因为数据包不再经过封装或者加密。加密之所以不再需要，是因为MPLS VPN可以创建一个专用网，它同帧中继网络具备的安全性很相似。因为不需要隧道，所以要创建一个全网状的VPN网也将变得很容易。事实上，缺省的配置是全网状布局。站点直接连到PE，之后可以到达VPN中的任何其他站点。如果不能连通到中心站点，远程站点之间仍然能够相互通信。
配置MPLS VPN网络的设备也变得容易了，仅需配置核心网络，不需访问CPE。一旦配置好一个站点，在配置其他站点时无需重新配置。因为添加新的站点时，仅需改变所连到的PE的配置。
在MPLS VPN中，安全性可以得到容易地实现。一个封闭的VPN具有内在的安全性，因为它不同Public Internet相连。如果需要访问Internet，则可以建立一个通道，在该通道上，可放置一个防火墙，这样就对整个VPN提供安全的连接。管理起来也很容易，因为对于整个VPN来说，只需要维护一种安全策略。
MPLS VPN的另外一个好处是对于一个远程站点，仅需要一个连接即可。想象一下，带有一个中心站点和10个远程站点的传统帧中继网，每个远程站点需要一个帧中继PVC(永久性虚电路)，这意味者需要10个PVC。而在MPLS VPN网中，仅需要在中心站点位置建立一个PVC，这就降低了网络的成本。
5 总结
MPLS是一种结合了链路层和IP层优势的新技术。在MPLS网络上不仅仅能提供VPN业务，也能够开展QoS、TE、组播等等的业务。随着MPLS应用的不断升温，不论是产品还是网络，对MPLS的支持已不再是额外的要求。VPN虽然是一项刚刚兴起的综合性的网络新技术，但却已经显示了其强大的生命力。在我国网络基础薄弱，政府和企业对IP虚拟专用网的需求不高，但相信随着政府上网、特别是在电子商务的推动下，基本MPLS的IP虚拟专用网技术的解决方案必将有不可估量的市场前景。
参考文献：
[1]王达.虚拟专用网（VPN）精解[J].清华大学出版社,2004,173-7.
关键词：VPN、虚拟专用网、远程用户、安全连接
信息时代的今天，以Internet为主体的信息高速公路迅速铺开，网络技术迅猛发展，网络的规模越来越大。从局域网、广域网到全球最大的互联网Internet，从封闭式的、自成体系的网络系统环境到开放式的网络系统环境，这一切无不说明网络技术迅猛发展的同时，也面临着对网络建设的挑战。各种网络安全技术和产品应运而生，其中虚拟专用网（VPN）及其相关技术经过多年的实践、发展和完善，以其方便性、安全性、标准化等优势脱颖而出，逐步成为实现企业网络跨地域安全互联的主要技术手段，是目前和今后一段时间内企业构建广域网络的发展趋势。
一 .VPN特点
VPN全称Virtual Private Network，虚拟专用网络，企业通过公网实现跨地域的系统互联必然面临安全问题。使用公用网络会导致机构间的传输信息容易被窃取，同时攻击者有可能通过公网对机构的内部网络实施攻击，因此需要在企业间建立安全的数据通道，该通道应具备以下的基本安全要素：保证数据真实性、保证数据完整性、保证数据的机密性、提供动态密钥交换功能和集中安全管理服务、提供安全防护措施和访问控制等。VPN即能有效解决这些安全问题，是因为VPN有以下几方面特点：
(一)成本低。通过公用网来建立VPN与建立专线方式相比，可以节省大量的费用开支。荆州电信运营商一条城区内2M专线价格为800至1000元/月，夸城区则为1500元/月，VPN的最大吸引力是价格。放弃租用专线而采用VPN，其整个网络的成本可节约21%-45%，至于那些以电话拨号方式连网存取数据的公司，采用VPN则可以节约通讯成本50%-80%。这是由于VPN是在Internet上临时建立的安全专用虚拟网络，用户就节省了租用专线的费用，故VPN价格更低廉。
(二)网络架构弹性大。VPN 较专线式的架构有弹性，当有必要将网络扩充或是变更网络架构时， VPN可以轻易的达到目的，VPN硬件平台具备完整的扩展性，大至企业总部的设备，小至各分公司，甚至个人拨号用户，均可被包含于整体的 VPN 架构中，同时具有对未来广域网络频宽扩充及连接更新架构的特性。
(三)良好的安全性。VPN架构中采用了多种安全机制，如信道、加密、认证、防火墙及黑客侦防系统等技术，通过上述的各项网络安全技术，确保资料在公众网络中传输时不至于被窃取，或是即使被窃取了，对方亦无法读取封包内所传送的资料。
(四)管理方便。VPN 使用了较少的设备来建立网络，使网络的管理较为轻松；不论连接的是什么用户，均需通过VPN隧道的路径进入内部网络。
二．VPN的应用
VPN 可以有三大应用，分别为Access（远程访问虚拟专网）、 Intranet（企业内部虚拟专网） 及 Extranet（扩展的企业内部虚拟专网） 。
（一）Access VPN与传统的远程访问网络相对应。在该方式下远端用户不再是如传统的远程网络访问那样，而是拨号接入到用户本地的ISP ，利用VPN系统在公众网上建立一个从客户端到网关的安全传输通道。
这种方式最适用于公司内部经常有流动人员远程办公的情况。出差员工拨号接入到用户本地的ISP，就可以和公司的VPN网关建立私有的隧道连接，例如荆州海事局服务器出现故障，维护人员只需要在任何地方通过VPN连接，进行远程调试服务器设备。
（二）Intranet VPN与企业内部的Intranet 相对应。在VPN技术出现以前，公司两异地机构的局域网想要互联一般会采用租用专线的方式，虽然该方式也采用隧道等技术，在一端将数据封装后通过专线传输到目的方解封装，然后发往最终目的地。利用VPN特性可以在 Internet上组建世界范围内的Intranet VPN。Intranet VPN通过一个使用专用连接的共享基础设施，连接企业总部、远程办事处和分支机构。企业拥有与专用网络的相同政策，包括安全、服务质量(QoS)、可管理性和可靠性。
（三）Extranet VPN与企业网和相关合作伙伴的企业网所构成的Extranet相对应。此种类型与上种无本质区别，但由于是不同公司的网络相互通信，所以要更多地考虑设备的互联，地址的协调，安全策略的协商等问题。利用 VPN 技术可以组建安全的 Extranet，既可以向客户、合作伙伴提供有效的信息服务，又可以保证自身的内部网络的安全。
三．VPN基本原理
VPN原理就是在这两台直接和公用连接的计算机之间建立一个条专用通道。私有网络之间的通信内容经过这两台计算机或设备打包通过公用网络的专用通道进行传输，然后在对端解包，还原成私有网络的通信内容转发到私有网络中。这样对于两个私有网络来说公用网络就像普通的通信电缆，而接在公用网络上的两台计算机或设备则相当于两个特殊的线路接头。
由于VPN连接的特点，一个完整的VPN系统一般包括以下三个单元：
(一)VPN服务器端。一台计算机或设备用来接收和验证VPN连接的请求，处理数据打包和解包工作。
(二)VPN客户端。一台计算机或设备用来发起VPN连接的请求，也处理数据的打包和解包工作。
(三)VPN数据通道。一条建立在公用网络上的数据连接。
四．使用VPN的优点
（一） 降低费用。首先远程用户可以通过向当地的ISP申请账户登陆到Internet，以Internet作为隧道与企业内部专用网络相连，通信费用大幅度降低；其次企业可以节省购买和维护通讯设备的费用。
（二）增强安全性。VPN通过使用点到点协议用户级身份验证的方法进行验证，对于敏感的数据，可以使用VPN连接通过VPN服务器将高度敏感的数据地址物理地进行分隔，所有的流量均经过加密和压缩后在网络中传输，为用户信息提供了最高的安全性保护。 （三）高度灵活性。用户不论是在家中、在出差途中、或是在其他任何环境中，只要该用户能够接入Internet，便能够安全地接入企业网内部。既不受地域限制，也不受接入方式限制。
（四）IP地址安全。因为VPN是加密的，VPN数据包在Internet中传输时，Internet上的用户只看到公用的IP地址，看不到VPN使用的协议。因此，利用Internet作为传输载体，采用VPN技术，实现企业网宽带远程访问是一个非常理想的企业网远程宽带访问解决方案。
五、VPN的前景展望
由于Internet最初的设计不保证网络服务质量QoS，所以现有的VPN解决方案必须和一些QoS解决方案结合在一起，才能给用户提供高性能的虚拟专用网络。随着QoS在技术上越来越成熟，VPN技术可以通过QoS保证来获得越来越好的Internet服务，享受到和真正的专用网络一样的应用。
六、总结
VPN在理解和应用方面都是高度复杂的技术，甚至确定其是否适用于本公司也一件复杂的事件，但在大多数情况下VPN的各种实现方法都可以应用于每个公司。即使不需要使用加密数据，也可节省开支。此外，在未来几年里，客户和厂商很可能会使用VPN，从而使电子商务重又获得生机，毕竟全球化、信息化、电子化是大势所趋，VPN是计算机网络的新技术，它将使Internet成为一种商业工具，并为Intranet及Extranet的应用带来良好的前景。
参考文献:
[1]杨小平等.省略screen.省略/zhishipuji/knowledge/vpn.htm
[3]王达，等．虚拟专用网(VPN)精解[M] 北京：清华大学出版社，2004．
［关键词］ip城域网；mpls vpn；网络安全性；ping；路由表
1概述
mpls（multi-protocol label switching，多协议标签交换）是一种将具有相同转发处理方式的分组归为一类（forwarding equivalent class，转发等价类fec）的分类转发技术［1］。在mpls网络中，通过ldp（label distribution protocol，标签分配协议）动态地在邻居之间发布标签/fec绑定关系，建立一系列的lsp（label switching path，标签交换路径）隧道，形成逻辑上的全网状拓扑结构［2］。mpls结合了ip技术的灵活性与atm技术的安全性等优点，非常适合组建vpn（virtual private network，虚拟专用网）。在vpn中有ce（custom edge，用户接入设备）、pe（provider edge router，骨干网边缘路由器）和p（provider router，骨干网核心路由器）三种路由器。
mpls vpn工作过程：当一个ip分组由源端ce进入pe时，将有选择地放入一个私网标签和一个公网标签（前者用于区分不同vpn用户，后者用于实现分组在lsp上的高速转发）到分组头中形成标签分组；标签分组在lsp上高速透明地通过p到达骨干网对端的pe；在被去掉两层标签后，用户分组被转发到目的ce，进行vpn内部的ip转发［3］。
mpls vpn路由信息发布过程：pe和ce可以通过静态或动态路由协议交换路由信息，pe维护一个公网路由表和多个逻辑上分离的vpn私网路由表vrf（vpn routing/forwarding instance，路由转发实例，用于区分不同vpn用户的路由）；pe对每一条vpn路由加上rd（route distinguisher，路由区分符，用于区分一台pe接收到其他pe发来的不同vrf的相同路由，并形成一条vpnv4路由）和rt（route target，路由目标rt，用于实现不同vrf之间的路由互通）属性，然后把路由更新信息发给所有的pe邻居；根据本地vrf的rt属性把vpnv4路由加入到相应的vrf中，再由本地vrf的路由协议引入并转发给相应的ce。
2 规划mpls vpn实验平台
设计与规划基于ip城域网的mpls vpn，其拓扑结构模型如图1所示：
图中mpls骨干网使用华为quidway s8016路由交换机，其中p路由器的ip地址为198.148.10.0网段，pe路由器的ip地址为204.18.68/78/88.0网段。x、y公司使用二层交换机作为ce接入mpls骨干网，组成vpnx和vpny，其中x公司cex1、cex2、ce3…的ip地址为10.1.1/2/3.0网段，vrf为mplsvpn-x，rt、rd均为65500：3，y公司cey1、cey2、cey3的ip地址为10.2.1/2/3.0网段，vrf为mplsvpn-y，rt、rd均为65500：3。
3 测试网络的安全性[ht5”]
3.1测试vpnx和vpny的连通性
采用交叉互ping的方法测试。在未禁止icmp流量和防火墙的条件下，轮流地在x或y公司的各个网段上ping对方的各个网段，利用返回的icmp包验证vpnx和vpny的连通性。测试的显示信息均为“request timed out”，说明vpnx和vpny之间的数据是隔离的。
3.2测试ce与p的连通性
在x或y公司的各个网段上ping骨干网路由器p。测试显示信息均为“request timed out”，说明vpn的私网信息在骨干网上是透明传输的，从而保证了用户数据不会外泄。
3.3查看p的路由信息
显示骨干网路由器p的路由信息，如图2所示：
测试结果说明：在p路由器上只有全局路由信息，用于保证骨干网的通信，而没有vpn私网路由信息，不和ce直接通信。因此，用户数据在骨干网上不会外泄，保证了安全性，这也说明了为什么在用户网段上ping不通p路由器。
3.4查看pe的路由信息
显示pe1的全局/vpnv4/bgp路由信息，如图3所示：
图中前两段显示的是pe1的全局/vpnv4路由信息。测试结果说明：在pe路由器上有全局路由信息，用于保证骨干网的通信。还有不同vpn的私网路由信息（图中的mplsvpn-x和mplsvpn-y），二者是完全隔离的，这就保证了用户vpn通信的安全。图中第三段显示的是pe1路由器的bgp路由信息。测试结果说明：用户vpn的私网路由信息是使用bgp的扩展属性透明地通过mpls骨干网传递到对端的pe，保证了vpn的安全。
4 传统专网与mpls vpn的安全性分析
传统vpn的安全保证主要靠其cug（closed user group，闭合用户群）特性。它不向用户暴露服务商网络结构，提供的是透明传输，因此能限制来自用户侧的dos（denial of service，拒绝服务）等攻击。但如果用户vpn的每个cpe都连到internet，就必须设置防火墙来保护每个网段的安全。如果防火墙对服务商开放，就会造成安全隐患。此外，随着网络规模的扩大，一旦需要修改防火墙策略，管理和重新配置每个防火墙是非常困难的。
与传统vpn不同，由于mpls vpn采用了路由隔离和地址隔离等方法，提供了抗攻击和标记欺骗的手段，因此mpls vpn完全能够提供与atm/fr vpn相类似的安全保证［4］。mpls vpn依靠转发表和分组的标签来创建一个安全的vpn，而不是依靠封装和加密技术。一个vpn包括一组ce，以及同其相连的ip man中的pe。只有pe理解vpn，ce可以感觉到同一个专用网相连，但并不理解潜在的骨干网，每个vpn依靠vpn-instance来识别成员关系。
从上面的测试可以看出，mpls vpn的安全性是在服务商网络边界提供的，用户分组必须从特定的接口上接收并打上唯一的vpn标记，因此在骨干网上vpn的数据流量是隔离的，保证了用户发送的分组被传送到正确的vpn。
另外，封闭的mpls vpn本身就具有内在的安全性。如果用户需要访问internet，则可以建立一个通道，在该通道上采用如防火墙、数据加密等技术手段，对整个vpn提供安全的连接。由于整个vpn只需要维护一种安全策略，管理起来也非常容易［5］。
5结论
通过前文的测试和理论分析，可以得出结论：mpls vpn的安全性高于传统基于ip技术组建的vpn，具有与atm/fr vpn相类似的安全性。
［参考文献］
［1］ eric osborne,ajay simha.基于mpls的流量工程［m］.北京:人民邮电出版社,2003：18
［2］ 王达，等.虚拟专用网（vpn）精解［m］.北京:清华大学出版社,2004：58－59.
［3］ vivek alwayn.高级mpls设计与实施［m］.北京:人民邮电出版社，2003：41－42.
【关键词】:VPN 虚拟专用网 校园网 协同教学 远程
中图分类号:G434 文献标识码:A 文章编号:1003-8809(2010)06-0069-02
前言
VPN的定义 (Virtual Private Network,虚拟专用网)是一种通过对网络数据进行封包和加密,在公网如因特网上传输私有数据,同时保证私有网络安全性的技术。它是利用公共网络资源和设备建立一个临时、安全、逻辑上的专用通道,尽管没有自己的专用线路,但是这个逻辑上的专用通道却可以提供和专用网络同样的功能。随着互联网的高速发展,VPN也是近年来随着Internet的发展而迅速发展起来的一种虚拟局域网技术。现代企事业单位越来越多的利用高校的校园网资源来进行教学、培训、网上讨论等活动。许多高校趋向于利用Internet来替代私有数据校院网络。当学生(包括教师)假期和校园网要建立Extranet时,不必再协商申请专线,只要两者都接人了VPN服务,就可以直接通讯。外地学生和校园网只需要拥有本地或漫游ISP的上网权限就可以访问整个学校内部资源。这样极大方便了学生在各个地方都可以共享高校的校园网资源.
一、校园网技术服务VPN技术在网上协同教学中应用的主要理由
1、学校教学资源相对稀缺及学校图书资料不尽相等需要网上协同教学
对于现阶段各个整个社会来说,相对来说高校的教育资源和软件硬件方面比较先进。基于网络安全和知识产权的考虑, 学校中文献信息资源并不是无限制地对外开放,校园网许多信息资源仅限校内及特定的教师和学生可以访问。如图书馆所购买的电子资源,大部分只允许拥有校内IP地址的授权用户访问。这样,对于某些在校外通过拨号等方式上网却没有固定IP地址的用户,以及范围不在校园局域网内的宽带用户就很难利用到校园图书馆网上的文献资源。
此外,许多高校图书馆为了规范化管理,均采用统一的图书馆管理系统在校园网上支撑多校区图书馆业务,还有学校把学校的教学信息也放在校园网上,这样势必存在许多安全隐患,为了安全起见一般采用独立成网,但是这种做法费用高而且不灵活。若能在校园网的基础上架构一个安全、可靠的专用虚拟网络(VPN技术),专供图书馆管理系统使用,既廉价又方便,采用了VPN技术可以解决以上的问题.
2、各专业教师与基础课教师在信息素养方面存在差异,需要协同教学
许多教师在自己任教的学科中或多或少掌握的专业知道非常丰富,但是基础信息知识不够,但苦于无法在短期内掌握它,并由于受学科教学任务的限制,大多数教师没有精力投入对一般的信息知识的学习。许多高校就采用与VPN协同教学的方法可以弥补自己在信息素养和随时随地学习学校中内网的知识不以充实自己的不足。各专业教师在自己的专业方面有所见长,但与其他学科教师的专业知识相比还有所短缺,而为了能够反映网上协同教学的广泛应用以及现代信息加工的过程,必须通过各类教学活动将VPN技术的应用与各个学科结合起来,并逐渐推广加速应用。如果让各专业教师全面掌握其他学科的目标、结构和内容,这即不现实也不可能。而采用现在协同教学法在校园网上访问,可以弥补专业教师和基础教师在知识结构上的不足,也促进教师之间的在校园网上的交流。
3. 为培养各专业学生合作学习的能力,需要协同教学
“学会合作”,是是当今学生比较要掌握的课题。校园网为学生提供了平台让学生在上面讨论和查阅资料,专业学生在校园网上可以查询到专业的资料,也可以动态掌握学校的信息方面的内容,如教师采用合作教学的方式上课,这不仅具有示范作用、而且有较普遍的教育意义。“言教不如身教”,教师采用协同教学方法,学生自觉或不自觉地模仿,还有学生可以在家里和在外在实习,随时随地可以访问学校的网进行教学方面学习,及和相关学生讨论交流等等工作,教师也可以在网上实时掌握学生的学习情况。就像在一个没有校门的大学,这是信息化VPN提供的协同教学的方便。
二、采用VPN在校园网上的协能教学的应用的好处
(一)成本低
VPN 在设备的使用量及广域网络的频宽使用上,均比专线式的架构节省,故能使网络的总成本(Total Cost of Ownership)降低。根据分析,在 LAN(局域网)-to-LAN(局域网)连接时,用 VPN 较使用专线的成本节省 30%～50% 左右;而就远程访问而言,用 VPN 更能比直接拨入到企业内部网络节省 60%～80% 的成本。
(二)网络架构弹性大
VPN 较专线式的架构有弹性,当有必要将网络扩充或是变更网络架构时, VPN 可以轻易的达到目的,VPN (特别是硬件VPN)的平台具备完整的扩展性,大至企业总部的设备,小至各分公司,甚至个人拨号用户,均可被包含于整体的 VPN 架构中,同时,VPN 的平台亦具有对未来广域网络频宽扩充及连接更新架构的特性。
(三)良好的安全性
VPN 架构中采用了多种安全机制,如信道(Tunneling)、加密(Encryption)、认证(Authentication)、防火墙(Firewall)及黑客侦防系统(Intrusion Detection)等技术,通过上述的各项网络安全技术,确保资料在公众网络中传输时不至于被窃取,或是即使被窃取了,对方亦无法读取封包内所传送的资料。
(四)校园网上管理方便
VPN 使用了较少的设备来建立网络,使网络的管理较为轻松;不论连接的是什么用户,均需通过VPN隧道的路径进入内部网络,学校的信息管理部门管理起来非常方便。
三、VPN的在校园网协同教育如何应用
VPN 技术在校园网中的应用可以有三大应用,分别为直接远程访问(Remote Access)、 Intranet(内部互联网) 及 Extranet(外部互联网) 。
(一)远程访问 VPN:主要是连接移动用户(Mobile User)及没有固定地点的办事处,通过拨号等上网方式来存取内部网络资源。这是VPN最广泛的一个应用。例如,学校内部的各种资源(校内电子邮件、图书馆资料、数据库、网上教学、网上选课、视频点播),校园网的用户可以从任何地方(家庭、旅店、会场、国内外)以任何形式(拨号、ADSL、ISDN、小区宽带网等)连接到Internet后,就像在校内一样访问校内各种资源,而资源的管理者也可以通过VPN下的远程桌面控制功能,随时随地都能安全的对校内资源进行管理。
(二)Intranet VPN:是利用互联网将大机构总部和有固定地点的分机构加以连接,成为一个总体网络。这对于公司来说是以最低的成本来得到最高的收益的一个很好的途径。有了Intranet VPN,公司就可以通过Internet这一公共网络将公司在各地分支机构的LAN连到公司总部的LAN,以实现公司内部的资源共享、文件传递等,可节省DDN等专线所带来的高额费用。
(三)Extranet VPN:则是将 Intranet VPN 的连接再扩展到机构的合作伙伴,如供货商及客户(或是相关联的部门),以达到彼此信息共享的目的。
总结
总之,随着虚拟运营商进入VPN服务领域,以及更多的电信业务运营的ISP浮出水面,国内企事业单位对VPN技术的认识在逐步加深。现在,不但是在高校园上的VPN技术协同教育应用,而且国内的VPN应用已经出现向银行、保险、运输、大型制造与连锁企业迅速扩散的趋势,这既是一种技术的跟进,也是市场发展的必然。VPN可以说是这种通信技术上的一种极为重要的突破,也使得Internet这种大众化的又不安全的网络发挥了重要的作用,然而千万要注意保安性的问题,这样,VPN就能实现你能所期望的快捷,安全的通信。[ 在不远的将来,虚拟专用网技术将成为广域网建设的最佳解决方案。
参考文献:
[1]杨小平等.省略screen.省略/zhishipuji/knowledge/vpn.htm
[3]王达,等.虚拟专用网(VPN)精解[M] 北京:清华大学出版社,2004.
[4]王达,等.虚拟专用网(VPN)精解[M] 北京:清华大学出版社,2004.
关键词:社区卫生服务;信息管理;VPN加密技术;网络连接
中图分类号:TP393文献标识码:A文章编号:1009-3044(2010)03-605-02
Community Health Service Station and the Hospital Information System Network Connectivity Solutions
MAO Ling-ling
(Kunshan City, Jiangsu Province, The Fourth People's Hospital, Kunshan 215300, China)
Abstract: In recent years, our hospital due to medical and business volume increased year by year, the construction of medical information increasingly accelerated pace.This requires the hospital to strengthen their management, use of modern management tools necessary for the hospital's management,will undoubtedly improve efficiency and accuracy of the information, the eradication of the existing manual management mode there are some drawbacks to cut public spending by efficiency and to improve medical standards and service quality, better service to the community at large.
Key words: community health services; information management; VPN encryption; network connection
随着区域卫生规划的要求和社区卫生的发展,我院开始在社区开设越来越多的卫生服务站。虽然医院实施了相应完善的信息化系统,但是由于地域上的距离,分布全镇十多家社区卫生服务站网络之间缺少互联互通,各社区的信息系统不能共享,造成网络的割裂和医疗信息的孤岛。社区卫生服务站由于无法实现与医院的局域网连接,信息化水平往往较差,大部分只能实现门诊收费功能。社区卫生服务站作为医院的一部分,却不具有院本部的信息化功能,从而导致医疗服务的标准、内容、价格不一致,这严重影响了社区卫生服务站的发展,也给管理带来了不便。因此,需要利用先进的信息技术手段,解决远距离信息系统的接入,成为必须要解决的问题。
1 网络连接技术比较
在技术上实现远程网络互联的方式有很多,像光纤连接、专线和VPN连接等。然而选择何种网络连接,既要节约成本,又要满足需要,就要求医院信息部门认真进行选择。一般来说,光纤连接是最理想的连接模式,它传输稳定,速率快,但其价格昂贵。租用帧中继专有网,租用费用过于昂贵,也不现实。VPN技术以其低价、易用、传输安全等特点,在公共的Internet上构建实现的类似于专线的安全链路,适合各种Internet接入方式,在近几年得到了迅速应用。为医疗卫生行业提供了一种全新高安全、高性能、高稳定性的VPN解决方案。经过论证,该模式在我院使用两年来,运行状况良好。
2 VPN技术简介
2.1 何为VPN
何为VPN(Virtual Private Network):虚拟专用网络,是一门网络新技术。是一条穿过混乱的公用网络的安全、稳定的隧道。通过对网络数据的封包和加密传输,在一个公用网络(通常是因特网)建立一个临时的、安全的连接,从而实现在公网上传输私有数据、达到私有网络的安全级别。通常,VPN是对企业内部网的扩展,通过它可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接,并保证数据的安全传输。
2.2 VPN工作原理
VPN的实现主要依赖两种技术:隧道技术与安全技术。
2.2.1 隧道技术
对于构建来说隧道技术是VPN的关键技术,它是负责将待传输的原始信息经过加密、协议封装和压缩处理后,再嵌套装入另一种协议的数据包送入网络中,像普通数据包一样进行传送。只有该虚拟专用网络授权的用户才能对隧道中的数据包进行解释和处理,而其他用户则无法处理这些信息,从而保证VPN的远程用户或主机和专用网络的安全连接,该技术就像在公用网上为信息交换的双方开辟一条专有的、隐蔽的数据通道一样,隧道由一系列的协议组成。
有两种类型的隧道协议:一种是二层隧道协议,用于传输二层网络的协议,包括L2TP(Layer2 Tunneling Protocol,即第二层隧道协议)、PPTP(Point-to-Point Tunneling Protocol,即点对点隧道协议)、L2F(Layer 2 Forwarding Protocol,即第二层转发协议)等协议。另一种是三层隧道协议,用于传输三层网络的协议,主要包括GRE(Generic Routing Encapsulation,即通用路由封装协议)、IPSec(Security Architecture for IP network、即IP层协议安全结构)、MPLS(Multiprotocol Label Switch,多协议标签交换)等技术标准。
2.2.2 安全技术
VPN中的安全技术通常由认证技术、加密技术及密钥交换与管理组成。认证技术防止数据的伪造和被篡改,加密技术防止数据被破译,密钥交换与管理保证了加密密钥的安全传递。VPN系统采用复杂的算法来加密传输的信息,使得敏感的数据不会被窃听,使分布在不同地方的专用网络能在不可信任的公共网络上安全地通信。
3 VPN组建
3.1 网络拓扑图
图1为网络拓扑图。
3.2 VPN技术实现
从技术实现角度讲,主要有两种主流的VPN解决方案:一种是以IPSec为代表的、基于用户设备的VPN技术,由网络厂商提供VPN技术和解决方案,既可用于网络互联,又可用于远程访问。基于IPSec的VPN不依赖于网络接入方式,它可以在任意基础网络上部署,而且可以实现端到端的安全保护,即两个异地局域网络的出口上只要部署了基于IPSec的网关设备,那么不管采用何种广域网络都能够保证两个局域网络安全地互联在一起。另一种是以MPLS VPN为代表的、基于网络的VPN技术,由电信运营商提供VPN服务,主要用于网络远程互联。它由电信运营商提供,秉承专线网络与生俱来的安全性、可靠性和高性能,便于实现数据、语音和视频业务三网合一,是替代传统广域网建立宽带专网的最佳方案。
利用MPLS构建的VPN网络需要全网的设备都支持MPLS协议,而IPSec VPN则仅仅需要部署在网络边缘上的设备具备IPSec协议的支持即可。从这一点上来看,IPSec VPN非常适合企业用户在公共IP网络上构建自己的虚拟专用网络,而MPLS则只能由运营商进行统一部署。医院可以根据自身的实际情况选择接入方式。
4 采用VPN方案的特点和好处
4.1 降低组网费用
借助Internet来建立医疗系统的VPN网络,可以节省大量的通信费用,提供了比其他通信方式更低廉的成本。此外,使用VPN还使医院不必投入大量的人力和物力去安装和维护WAN设备和远程访问设备。这些工作都由网络运营商来负责完成。
4.2 增强了安全性
安全是VPN技术的基础,为了保障信息的安全,VPN技术利用可靠的加密认证技术,在内部网络建立隧道,以防止信息被泄露、篡改和复制。
4.3 便于统一管理
通过VPN,医院能够对分散在各地的社区卫生服务机构进行安全的统一管理与协调。
4.4 扩展性
如果想扩大VPN的容量和覆盖范围。医院本部需做的事情很少,只需要发放新的证书,制订通信策略。安装点只需要连接Internet,就可以通过远程控制,连接到医疗系统的VPN网络。
5 结束语
以上是我从事医院信息化工作中获得的一些经验,有一些认识在与同行的交流中,获得了支持。我们一直关注医院信息化的进程和发展,并研究和分析了目前国内外医院信息化的现状,希望我们的文章能抛砖引玉,启发人们进一步做好医院的信息化工作。
参考文献:
[1] 朱弋,张卫东.数字化医院的网络安全问题[J].医疗设备信息,2006,21(9):55-56.
[2] 向宇.医院计算机网络探讨与设想[J].中国医学装备,2005,2(1):20-22.
[3] 张震江.医院网络安全现状及研究[J].计算机系统应用,2006,7:88-93.
摘要:本文阐述了VPN技术用于高校数字资源网络服务的必要性，通过分析VPN的特点和应用技术，提出VPN在高校数字资源共享中的解决方案并对方案效果进行了讨论。
中图分类号:G258.6文献标识码：A文章编号：1003-1588(2012)01-0093-03
随着高校信息化建设的逐渐完善，高校图书馆承担着校园网绝大多数数据的传输和信息，为读者提供网上浏览、信息查询、数据库检索、信息咨询等服务。通过已建成的信息系统(如图书管理系统、OA系统、数字图书资源、文献数据库等），校园网内读者可以通过网络迅速地获取信息。然而，为了提高服务质量，读者需要异地、移动等多种远程访问的场合越来越多。本文通过分析VPN(虚拟专用网)的技术特点与原理，结合图书馆数字资源网络服务的实际工作特点，介绍一种利用VPN技术做好高校数字资源共享的方法。
1VPN技术用于高校数字资源网络服务的必要性
1.1外联信息交换面临的安全威胁
由于Inerne网采用的CP/IP协议对任何数据都以明文的方式进行传输，整个信息服务都暴露在Inerne网上，很容易被入侵者窃取或篡改，造成以下安全威胁。
（1）非授权访问：分支机构、在外工作人员基于互联网来访问校园网内图书馆的信息网络，传输的口令或密码没有采取任何加密措施的情况下，容易造成泄露，被攻击者利用，造成非授权访问。
（2）信息篡改：总校区或分校区的分支机构和在外工作人员进行数据访问的过程中，数据以明文的方式传递，容易被窃听和篡改。
（3）访问行为抵赖：部分分支机构、在外工作人员存在IP地址不固定现象，易造成抵赖行为。
1.2分校区办公和在外工作人员的安全接入
对于图书馆来说，文献信息资源并不是无限制地对外开放，我们购买的数据库资源必须是校园网的合法用户（访问者的IP地址作为合法用户的依据）才能使用。但是随着宽带网络的大范围普及，更多的教师希望能够在家或出差在外以及各个分校和主校区之间都能实现对校园网内图书馆资源的访问。数字图书馆远程访问系统VPN的出现很好地解决了这个问题。
2VPN在高校数字资源共享中的解决方案
2.1VPN技术
VPN是一种公用网络，综合运用隧道封装、认证、加密、访问控制等多种网络安全技术，实现企业总部、分支机构、合作伙伴及移动办公人员之间互联互通和资源共享技术。VPN技术包括基于二层的PPP/L2P；基于三层的IPSEC VPN；基于七层的SSL VPN技术。IPSEC VPN和SSL VPN应用广泛。
IPSEC VPN：IPSEC VPN是在特定的通信方之间在IP层通过加密与数据源进行验证，保证数据包在公网上传输时的保密性、完整性和真实性，适用于在局域网之间，建立基于互联网之间的安全传输通道。
SSL VPN：主要的浏览器和WEB服务器都支持SSL VPN，对于Web信息传输通道的机密性及完整性，SSL是最佳的解决方案，无需被加载到终端设备上，无需终端用户配置，无需限制终端，只需标准浏览器即可。
2.2技术方案分析
IPSEC VPN和SSL VPN各具特色，IPSEC VPN的普遍适用性、SSL VPN的方便性等，我们将从以下方面进行分析。
2.2.1选择合适的接入方式
SSL VPN设备通常以并联的方式接入网络，对网络结构不会产生影响；IPSEC VPN存在两种方式：串联，设备串在网络中，网络流量贯穿其中，设备故障将导致传输中断。
并联，旁路方式接入网络，对网络结构不产生影响。因此，尽可能选择并联接入方式。
吴：VPN技术在高校数字资源共享中的应用*
2.2.2选择便于扩展的设备及结构
VPN设备因性能问题存在接入数量的限制，IPSEC VPN限制隧道数和移动用户接入数；SSL VPN限制用户接入数量。选择设备时，须考虑设备的扩展性，同时选择便于扩展的网络结构，并联方式不影响网络结构便于扩展。
2.2.3选择多种VPN技术以适应情况变化
IPSEC VPN为网络层加密隧道，属全网接入方式，分支局域网通过网络建立隧道或者用户通过移动客户端接入后，能够对内网的网络资源进行访问，不受业务提供方式限制。当某些用户在没有移动客户端的情况下，SSL VPN凸显了不需要安装客户端的特点。因此，最好的方式是以IPSEC VPN接入为主，SSL VPN为辅。
2.3系统安全策略设计思路
VPN设备实现身份认证和访问授权：保证合法用户的合法接入，并且只能访问授权内的办公资源用户进行身份认证和访问授权。IPSEC VPN 和SSL VPN技术都采用安全加密技术和身份认证技术保障数据的加密传输。
VPN安全技术实现通信内容安全：选择具有防火墙、防病毒和内容过滤等功能的VPN网关，并且各功能相互融合，VPN数据进行检查从而拦截病毒、蠕虫、木马、恶意代码等有害数据，彻底保证了VPN通信的安全。
3VPN方案设计
图1VNP方案设计拓扑图
3.1设备部署
VPN网关设备部署： VPN网关设备并联部署在中心机房各分支机构的防火墙之上（如图1所示）。
VPN客户端部署：在每台移动办公设备上统一安装客户端软件。
VPN集中管理软件：软件分为服务器、管理控制器和数据库三部分，分别部署在图书馆中心机房安全服务器区的服务器上。
3.2方案安全性策略描述
（1）结构保障系统可用性：VPN网关并联接入，当设备断电或故障时，不影响各局域网员工访问互联网资源；并联方式便于扩充，通过简单的加入交换设备进行设备扩充。
（2）技术选择保障系统可用性：IPSEC VPN与SSL VPN的混合使用。正常情况下使用IPSEC VPN，任何种类的应用。在缺少VPN网关和客户端的时候使用SSL VPN临时接入，无条件支持B/S服务；采用端口转发、全网接入等技术，通过插件实现对C/S服务访问。
（3）管理保障系统可用性:通过集中管理软件的帮助，实现客户端自动部署，提高了自动部署的机动性和灵活性；增大管理容量。
（4）VPN隧道安全技术组合：利用IPSEC VPN和SSL VPN二合一网关上的IPSEC VPN功能建立与数据中心、各分支机构和移动办公终端的VPN通道，实现数据通信的机密性、完整性；在没有VPN网关设备和VPN客户端的情况下，通过浏览器与图书馆数据中心建立SSL VPN隧道，实现安全数据通信；利用身份认证功能，实现对访问校园网的用户、局域网的访问的身份认证和授权；利用防火墙、病毒防护、内容过滤等功能，对访问数据进行过滤，实现VPN的安全控制和功能。
3.3方案效果
通过VPN设备的部署和安全策略设置，使图书馆网络服务实现了基于互联网的安全延伸，并具有以下良好效果：旁路接入的方式，对现有网络结构的影响减少到最小，有效保障网络结构的稳定性并具有良好的扩展性；通过综合使用IPSEC VPN和SSL VPN技术，覆盖了各种情况下的远程接入，具有良好的环境适应能力；通过VPN设备上的病毒过滤功能的启动，尽量减少移动用户对内网的影响；通过认证技术具有一定的抗抵赖性，通过加密技术保障数据传输的完整性和保密性。
4制定方案需要注意的问题
4.1保证校园网及图书馆网络的安全
产品在客户端与网关进行连接时，采用应用层进行控制，防止病毒、木马、蠕虫通过远程访问方式进入校园网进行传播；其次是在用户组和用户管理方面对用户组权限可以做详细的划分，用户只能浏览和运行我们授权其使用的校园网和电子资源。
4.2保护数据库提供商的数字版权
在建设远程访问时，我们也必须考虑到数据版权方面的纠纷，应该做到对用户身份的强认证，保证每一个远程访问的使用者都是学校的合法用户。
4.3有效预防恶意下载数字资源的情况发生
有些学校曾经遇到由于无法限制用户的下载流量，而经常发生恶意下载，影响了广大师生的正常访问秩序，并给大学的声誉带来了负面的影响，而且事后的警告并不会减少其他用户恶意下载的发生。对此，学校在使用了远程访问系统之后，可以在设置用户组权限时，给不同的用户组设置不同的在线时长、最大流量、平均流量等几个指标来综合限制用户的下载流量。当用户发生大流量下载时，系统会自动中断客户端与网关之间的连接，并将用户挂起，待管理员重新激活该用户时此用户才能正常使用。
4.4方便用户申请、下载客户端、使用客户端
由于现在的大学规模越来越大，有远程访问使用需求的人员也越来越多，如果所有的人员都需要手工审核用户、建立用户、分发密码、安装客户端，必须考虑VPN产品可以方便快捷地解决这个问题。
4.5监控用户的下载流量、资源使用情况
用户日志也是很多大学所关心的问题，通过用户活动记录可以随时调整系统设定和工作进程。所以，远程访问系统应该具有完备的网关流量审计、用户流量和行为审计，并且增加资源访问审计系统可以统计管理员设定的各种电子资源的访问流量和访问次数，为购买数据和资源整合提供依据。
4.6扩展远程访问的应用，服务于学校自建数据库的推广
各个大学图书馆有相应的办公系统、自动化系统、自建特色库和专题库等等，通过远程访问系统自身先进的网络协议去完全承载各种形式的办公系统软件。使学校的老师在授权的范围内可以方便的做到远程办公、远程、远程借还书等等工作，扩展了远程访问系统使用空间，并且对自建数据库的访问用户进行严格的权限控制、严格的身份认证以及较高的加密强度，以便对自建库进行推广，使其发挥更大的作用。
5结语
VPN利用公用网组建虚拟的专用网，使用计算机和计算机网络在校园网外就可以对数字资源随时进行访问，提高了数字资源的利用率，为读者提供数字资源共享服务。目前，市场上有多个公司的多种VPN产品，这些产品提供的功能和网络性能也不尽相同。我们可以根据本单位的具体情况。选择不同的产品，实现数字资源安全、低成本的远程访问。
参考文献:
[1]刘洋.IPSEC VPN和SSL VPN的分析比较[J].电脑知识与技术，2009(4).
[2]张颖.利用VPN技术实现图书馆信息资源远程访问[J].情报探索，2008（7）.
[3]王健. 利用VPN技术实现高校图书馆数字资源的远程访问[J]. 图书馆建设， 2006(5).
[4]张文丰.VPN技术在档案信息化中的应用[J]. 科技资讯，2007(25).
关键词：多协议标签交换；虚拟专用网；网络改造；安全隔离
中图分类号：TP393文献标识码：A文章编号：1009-3044(2011)27-6643-02
随着公司的不断发展，DCN网上承载的业务系统不断增多，除“97”系统外，还有如网管集中监控系统、电源监控系统、客服系统、OA等及融合后3G网管系统等，有些应用系统对安全性要求较高比如OA和财务，有些系统对带宽和网络质量（QoS）要求较高。现有的网络不能满足“分而治之”的企业运作管理需要。由于信息系统集中整合的需要，实施此次MPLS升级改造。通过本次改造工程的实施，优化网络结构，提高网络的安全性、可靠性及整个DCN网的服务质量。由一张实体物理网实现虚拟多业务网，采用MPLS VPN隔离各类业务系统，骨干以现有DCN骨干网为基础构建，接入网采用灵活的方式到终端，满足企业内部应用的承载和安全需求。最终，DCN网络中的终端与主机须划入至各自所属的MPLS VPN域中，实现各个VPN域之间的通信隔离，同时在各个VPN间建立数据通道，部署防火墙对经过数据通道的流量进行访问控制，实现对不同VPN域的通信数据的有效安全控制。
1 MPLS VPN技术简介
MPLS VPN是由若干不同的site组成的集合，一个site可以属于不同的VPN，属于同一VPN的site具有IP连通性，不同VPN间可以有控制地实现互访与隔离。
MPLS VPN网络主要由CE、PE和P等3部分组成：CE(Custom Edge Router，用户网络边缘路由器)设备直接与服务提供商网络。设备与用户的CE直接相连，负责VPN业务接入，处理VPN-IPv4路由，是MPLS三层VPN的主要实现者：P(Provider Router，骨干网核心路由器)负责快速转发数据，不与CE直接相连。在整个MPLS VPN中，P、PE设备需要支持MPLS的基本功能，CE设备不必支持MPLS。
PE是MPLS VPN网络的关键设备，根据PE路由器是否参与客户的路由，MPLS VPN分成Layer3 MPLS VPN和Layer2 MPLS VPN。其中Layer3 MPLS VPN遵循RFC 2547BIS标准，使用MBGP在PE路由器之间分发路由信息，使用MPLS技术在VPN站点之间传送数据，因而又称为BGP/MPLS VPN。在MPLS VPN网络中，对VPN的所有处理都发生在PE路由器上，为此，PE路由器上起用了VPNv4地址族，引入了RD(Route Distinguisher)和RT(Route Target)等属性。RD具有全局惟一性，通过将8byte的RD作为IPv4地址前缀的扩展，使不惟一的IPv4地址转化为惟一的VPNv4地址。VPNv4地址对客户端设备来说是不可见的，它只用于骨干网络上路由信息的分发。RT使用了BGP中扩展团体属性，用于路由信息的分发，具有全局惟一性，同一个RT只能被一个VPN使用，它分成Import RT和Export RT，分别用于路由信息的导入和导出策略。在PE路由器上针对每个site都创建了一个虚拟路由转发表VRF(VPN Routing & Forwarding)，VRF为每个site维护逻辑上分离的路由表，每个VRF都有Import RT和Export RT属性。通过对Import RT和Export RT的合理配置，运营商可以构建不同拓扑类型的VPN，如重叠式VPN和Hub-and-spoke VPN。
整个MPLS VPN体系结构可以分成控制面和数据面，控制面定义了LSP的建立和VPN路由信息的分发过程，数据面则定义了VPN数据的转发过程。在控制层面，P路由器并不参与VPN路由信息的交互，客户路由器是通过CE和PE路由器之间、PE路由器之间的路由协议交互知道属于某个VPN的网络拓扑信息。除了路由协议外，在控制层面工作的还有LDP，它在整个MPLS网络中进行标签的分发，形成数据转发的逻辑通道LSP。在数据转发层面，MPLS VPN网络中传输的VPN业务数据采用外标签(又称隧道标签)和内标签(又称VPN标签)两层标签栈结构。当一个VPN业务分组由CE路由器发给入口PE路由器后，PE路由器查找该子接口对应的VRF表，从VRF表中得到VPN标签、初始外层标签以及到出口PE路由器的输出接口。当VPN分组被打上两层标签之后，就通过PE输出接口转发出去，然后在MPLS骨干网中沿着LSP被逐级转发。在出口PE之前的最后一个P路由器上，外层标签被弹出，P路由器将只含有VPN标签的分组转发给出口PE路由器。出口PE路由器根据内层标签查找对应的输出接口，在弹出VPN标签后通过该接口将VPN分组发送给正确的CE路由器，从而实现了整个数据转发过程。
2 骨干迁移的三个关键问题
由于DCN网络建设时间比较久，网络结构比较复杂，如何从全部使用IP环境的DCN过渡到全部使用MPLS VPN环境的DCN成了此次网络升级改造的重点。网络改造期间，网络的平稳运行无论对于市场还是对于业务系统都是至关重要的，由于MPLS VPN技术是对全省DCN网络传输技术的彻底改变，如何在改变网络协议结构的同时让网络仍然健康地运行成为实现MPLS VPN改造的首要问题。
过渡期间最应该考虑的关键三个问题是：
1）在IP环境下，各域间路由的互通问题。实现方法是先将组成DCN的各个IP网络单元以地市为单位逐个改造为MPLS VPN 网络单元，然后逐个与省公司建立MP BGP邻居实现全网MPLS VPN化。
2）受控互访的实现，即做到市公司在同一VPN区域内部互相之间不可见；市公司在同一VPN区域内部可以访问省公司；市公司访问处于不同VPN区域的省公司业务。方案设计中采用HUB-SPOKE方式和对PE、CE层面实施控制来实现。
3）VPN划分与IP地址整理，DCN网络建设前期并未考虑各个应用系统的MPLS VPN划分，因此大多系统混杂在一起，或者接在同一台设备，或者干脆就在同一个网段中，同时还存在生产与管理地址段混用的问题。具体系统混接的问题可以分为三类，地址混用、设备支持能力不足以及第二地址问题。
3 DCN网络改造升级的设计
DCN网络改造解决方案是融合MPLS、VPN和QOS技术的统一解决方案。方案采用MPLS作为承载数据传输的新协议，使用EIGRP作为主干IGP协议，MPLS VPN路由使用MP-IBGP以及路由反射器进行域内传送，省公司采用背对背VRF方式与集团对接。
MPLS需要建立在IGP路由的基础上，IGP协议对MPLS的主要作用就是保证MPLS邻居之间的可达性和MBGP邻居之间的可达性，省骨干网使用的EIGRP协议，地市网络根据自己网络环境使用EIGRP或OSPF协议。所有协议在省网和市网之间重分发。整个网络IGP协议互通。根据整体方案，各PE-CE路由协议保持原OSPF动态路由协议，在PE设备将OSPF路由重分发至MP-BGP。
各业务VPN互访通过防火墙来实现。由于目前将DCN全网业务基本划分为MS、BS、OS和OTHER这四个大的系统，跨系统流量如何导通成为一个较为重要的问题。如果全部使用重叠VPN的方式，一方面增加了维护的复杂度，另一方面违背了建设MPLS VPN的根本目标，重新给各业务系统带来了安全隐患。采用防火墙和重叠VPN配合方式实现跨域互访，省公司不同域的终端和主机通过省公司防火墙实现跨域互访，地市公司终端或主机需要跨域访问省公司系统，通过地市防火墙连通到不同的域中，然后通过MPLS链路上连互访。通过在防火墙上配置严格的安全策略，对各VPN之间流量进行过滤，这样隔离的各MPLS VPN之间可以安全的进行数据通信，这样即解决了各业务系统之间的互通问题，也保证了各业务系统的安全。
综合前面所述，主要采用防火墙和重叠VPN配合方式实现跨域互访，省公司不同域的终端和主机通过省公司防火墙实现跨域互访，地市公司终端或主机需要跨域访问省公司系统，通过地市防火墙连通到不同的域中，然后通过MPLS链路上连互访。
将各业务VPN为HUB－SPOKE模式，即各地市业务系统仅可与省中心进行通信，相互之间不可见，不能进行相互访问。
在省公司和地市公司核心路由器连接防火墙，将防火墙的不同端口接入到不同VPN域中。在防火墙上根据各VPN业务的访问需求作相应的访问控制，各VPN业务之间通过防火墙进行访问。
4 MPLS VPN对DCN网络的重要意义
由于应用系统整合方向是集团公司集中和省公司集中。集团、省集中应用系统通过DCN网络进行信息交互，而应用系统整合除功能整合外，其物理整合和集中的形势则表现为集中的企业数据中心，MPLS升级的重要意义体现在：
1）全网络覆盖：应用系统整合后，系统集中统一部署服务器，满足地市、县客户端远程访问省级应用系统服务器，集团公司级应用系统和省级应用系统之间有信息交互的应用需求。
2）系统受控安全互访需求：企业运作需要，不同应用系统间又有互访的要求。例如：营帐综合客户端，处于办公网，兼顾办公和营帐工作，需访问营帐系统；网管综合客户端，兼顾网管工作和办公管理、资源管理、工单、故障单工作，经常在两网间切换；因此需要DCN网络进行安全隔离的同时，支持系统间受控互访，通过用户身份识别、访问授权、隧道加密、安全策略部署等技术保证被访系统的安全。
3）可用性要求：随着信息化建设的深入，系统功能将逐步得到完善，传送的信息内容将日趋丰富，VPN颗粒将趋向细化，VPN拓扑将日益复杂，对现有企业网络的交换容量、处理能力、链路连接能力以及VPN支持能力是网络规划建设中必需着重考虑的问题。
4）可靠性要求：DCN网络承载着企业运作所需的重要应用和数据，在整个信息化系统中起到中枢神经的作用，网络故障将影响企业正常运作。信息系统整合将导致地域性和功能性集中化程度的提高，从而增加了对DCN网络的依赖。必需充分考虑网络高可靠性，避免网络设备和链路的单点故障，保证关键应用系统的访问和接入，保证作为应用系统核心的企业数据中心的高效可靠的连接。
5）服务质量要求：DCN网络是在同一物理网络上承载多个相对独立的业务系统，各业务系统为不同的职能部门开展业务提供服务，其数据流程和管理方式都存在差异，不同业务系统，需要网络平台提供差别服务，如对带宽、实时性有不同的要求，网络必须具备带宽管理、资源预留、服务等级设置的能力。
在保证DCN网络安全运行的前提下，有步骤、分阶段实施MPLS改造，并按照规划设计应用RT策略实现各系统互访受控与隔离。目前，改造后的DCN网络运行状况良好。
在实现MPLS VPN后，受控互访则变得相对轻松，仅仅需要在各个MPLS VPN路由环境之间的数据通道上部署防火墙即可对各VPN间也就是各应用系统间的访问进行控制。随着受控互访的实现，全覆盖、可用、可靠、优化传输以及可管理等周边需求的实现也变得比较容易。一张实体物理网、虚拟多业务网，采用MPLS VPN隔离各类业务系统，骨干以现有DCN骨干网为基础构建，接入网采用灵活的方式到终端。独立统一的一张实体物理网，满足企业内部应用的承载需求。虚拟多业务网，统一的业务隔离、受控互访机制和统一的VPN业务接入机制。
5 结束语
MPLS VPN网络改造的实现，极大的提高的DCN网络的安全性，为前台营业、办公OA、运维网络监控等各项不同的业务网络应用提供可靠地保证。
参考文献：
[1] 范亚芹,张丽翠,宋维刚.可提供MPLS VPN网络安全性保障的解决方案[J].吉林大学学报:信息科学版,2005(03).
关键词:资源共建共享;SSL VPN;IPSec VPN
中图分类号:TP393文献标识码:A文章编号:1009-3044(2009)33-9218-03
To Realizing the Network Interconnection and Strengthening the Resource of Common Construction Use Together: The Construction of VPN Networks of Anhui Party School System
ZHAO Xiang-hao, ZHOU Bin
(The Information Center of Party School of Anhui Provincial Party Committee, Hefei 230022, China)
Abstract: With the process of informatization construction of party school system steadily, the party school system network interconnection and resources sharing become more and more important and urgent. In this paper the feasibility of construction and VPN networks of anhui party school system are discussed in detail the construction of technical scheme VPN networks, and the platform in VPN networks of resource sharing is probed into as well.
Key words: the resource of common construction use together; SSL VPN; IPSec VPN
随着宽带Internet网络的普及,社会信息化的发展正在改变着党校系统的教学科研管理和工作学习方式。伴随着信息化进程的不断深入,我们意识到信息化建设水平对大规模培训干部、大幅度提高干部素质具有非常重大的意义。随着信息化建设的逐步推进,数字化资源的开发和建设也越来越重要,数字化资源的开发和建设是信息化建设的一项重要内容。当前,各级党校的信息化建设水平参差不齐,数字化资源建设主要集中在省委党校,市县区委党校的数字化资源较少。省委党校通过多年的积累,现有大量的电子图书、电子期刊、自建数据库和特色资源,这些资源都只能放在校园网内部使用,离开了校园,老师或学员都将无法访问这些数字化资源,市县区党校也无法共享这些资源,非常不方便。通过对市县区委党校信息化建设需求的调研,我们意识到当前信息化工作的重要任务是把全省党校系统的网络互联起来,实现全省党校系统的资源共建共享。经省委党校校委研究决定2008年启动了全省党校系统VPN虚拟专网的建设工程,同年12月完成了省委党校和市委党校的VPN互联互通一期工程建设,目前正在推进二期工程县区党校的VPN联网工作,2009年底完成县区委党校的VPN联网工作。
1 VPN专网建设的调研分析
随着网络技术的发展,网络普及率的提高以及网络应用的逐步深入化,许多企事业单位都有建立自己专网的需求。建立专网一般来说有三种方案可供选择。第一种是使用单位独立出资铺设通信基础设施和线路。第二种是租用通信运营商的通信线路。第三种是通过公网运用虚拟专网技术组建企事业单位的专网。第一种方案要求资金巨大,工程复杂,周期长,技术要求高,维护成本大,一般单位都是无法做到,所以是不可行的。第二种方案是租用运营商的专线来组建专网,每年都要向运营商交租金,网络规模越大,租金越高,对于一般的小企事业单位,每年交纳高昂的信道租金是很困难的。安徽省党校系统专网在建设的初期也对这种方案进行了调研,其中一家网络运营商给出的方案是,提供省委党校到17个市级党校10M带宽,提供到70多个县区党校2M带宽,信道租金是每年60万元。这个费用对党校来说确实是一笔不小开支,如果要分摊到各个党校,每年怎么收,能不能收齐,各级党校的经费都是由各级财政负责,各地的财政情况又各不相同,这么多党校来联合租信道是很难办的事。所以这种方案经过比较分析后,我们认为是不可行的。第三种方案是利用公网,通过隧道技术、加解密技术、密钥管理技术和身份认证技术等网络技术,以达到建立专网的目的,这种方案对各个分支机构的网络环境没有太多的要求,各个分支机构只要能上互联网就行了。各个分支机构的上网费用根据自己对网速的要求自主选择适合自己的网络带宽,通过相应的虚拟网络网关设备将各个分支机构的网络连接起来,从面架构起基于因特网的虚拟专网。从目前来看,这种方案网络技术比较成熟,安全可靠,方便灵活,成本低廉,快速高效,管理方便,是许多企事业单位构建虚拟专网的首选。结合党校系统的实际情况,经过认真的分析,我们认为这种方案是可行的,完全能够实现我们的总体目标。
2 VPN技术简介
VPN,英文全称是Virtual Private Network,译为虚拟专网。虚拟专网(VPN)是指通过一个公用网络(通常是因特网)建立一个临时的、安全的连接,通过对网络数据的封包和加密传输,在公网上传输私有数据,达到私有网络的安全级别,从而利用公网构筑企事业单位专网的组网技术。在虚拟专网中,任意两个节点之间的连接无需传统专网所需的端到端的物理链路,而是利用某种公众网的资源如Internet、ATM(异步传输模式)、Frame Relay (帧中继)等逻辑网络组成,用户数据在逻辑链路中传输。
VPN网络的主要优势有:1.成本低――通过公用网来建立VPN,节省大量的通信费用,无需支付高昂的专线租金,也不必投入大量的人力和物力去安装和维护WAN(广域网)设备和远程访问设备。 2.传输数据安全可靠――虚拟专用网产品均采用加密及身份验证等安全技术,能够很好的保证连接用户的可靠性及传输数据的安全和保密性,避免内部重要信息被不法分子窃取。 3.容易扩展――扩展分支机构方便,只需配置好VPN网关设备的安全连接信息即可,对分支机构的原有网络结构不做任何改变。4.完全控制――虚拟专用网用户可以利用ISP的设施和服务,同时又能完全掌握着自己网络的控制权。
目前VPN网络产品的厂家非常多,但总的来说,VPN领域有3种主流的产品,即IPSec VPN、SSL VPN以及IPSec和SSL二合一VPN。IPSec VPN主要用来解决网对网互联的问题,即主要用来解决公司的分支机构和总部局域网之间互联之用。在使用IPSec VPN解决移动/远程办公时,需要安装客户端软件,该软件对不同操作系统存在着兼容性问题,并且可能和系统已有的软件冲突,而且需要用户手工配置该软件具体参数,不能对接入用户做详细的授权等等问题,因此单纯的IPSec VPN技术不能很好满足党校系统的移动/远程接入需求。
SSL VPN即指采用SSL(Security Socket Layer)协议来实现远程接入的一种新型VPN技术。使用SSL协议可以保证信息的真实性、完整性和保密性。目前SSL 协议被广泛应用于各种浏览器中,也可以应用于Outlook等使用TCP协议传输数据的C/S应用。正因为SSL 协议被内置于IE等浏览器中,使用SSL 协议进行认证和数据加密的SSL VPN就可以免于安装客户端。相对于传统的IPSEC VPN而言,SSL VPN具有部署简单,无客户端,维护成本低,网络适应强等特点,这两种类型的VPN之间的差别就类似C/S构架和B/S构架的区别。
IPSec VPN和SSL VPN二合一的VPN结合了IPSec VPN和SSL VPN两类VPN的优势于一身,功能非常强大,几乎能够满足用户的各种联网要求,根据省委党校和各级党校的网络实际情况,我们选择IPSEC VPN和SSL VPN二合一产品,既能够解决省委党校和市级党校通过IPSec协议实现网对网的互联,又能满足县区党校和移动用户通过SSL协议和省委党校以及市党校的互联。
3 安徽省党校系统VPN专网技术方案
基于各级党校系统网络环境的复杂性和数字资源应用的特殊性等诸方面因素,考虑到这是个涉及全省党校系统信息化建设的重点项目,因此在正式招标之前,通过比较和分析,我们拟选了三个厂家的产品进行测试。我们架设了三台设备,总部一台,分支机构二台,主要测试了三个方面的功能:一是在大流量情况下数据包的延迟情况,二是在跨运营商的情况下,数据包的延迟情况,三是测试设备的主要功能及安装和管理是否方便。通过测试和使用,获得了对产品的初步资料,经分析后提出拟选产品,最后通过政府招标采购。中标产品为深圳深信服科技公司的IPSec VPN和SSL VPN二合一的产品,该产品具有国家保密办和公安部颁发的安全产品生产和销售资质。
根据党校系统的实际需求,省委党校采用的是深信服M5900-S IPSec和SSL二合一VPN产品部署在虚拟专网的核心,各地市党校采用的是深信服M5400-S IPSec和SSL二合一VPN产品。整体方案分二期实施,一期工程是省和市级党校互联,省委党校和市党校通过M5900-S和M5400-S网关设备,采用IPSec协议实现网对网的互联。二期工程是县区党校和省市党校互联。考虑到县区党校的经费、网络环境以及人员较少等实际情况,县区党校采用SSL协议通过浏览器经认证后联入市党校网络或者省委党校网络,移动用户也是通过SSL协议联入虚拟专网。下图全省党校系统VPN专网的网络示意图。
在全省党校系统VPN专网建设过程中,全省党校系统的网络地址要统一规划,不能乱用。全省党校系统VPN虚拟专网内IP地址是不能有冲突的,为保证全省党校系统VPN虚拟网络的畅通无阻和地址资源的有序使用,必须对全省市级党校的校园网内的私有IP地址进行统一分配和管理。如分配的地址不够用或者有特殊需要,需向省委党校申请方可使用新的地址段,未经省委党校同意不得擅自变更或使用未分配地址。
各市级党校的校园网是全省党校系统VPN虚拟专网的子网,各子网对内连接着分散于校园各处的计算机,对外则是连接国际互联网和全省党校系统VPN虚拟专网的桥梁。良好的各市级党校校园网网络环境是构建良好的全省党校系统VPN虚拟专网的基础。所以市级党校的校园网的网络环境对充分发挥好VPN专网的功能是十分重要的,因此省委党校对市级党校的校园网提出了总体的要求。第一,校园网的网络拓扑结构合理,设计规范。第二、网络骨干采用快速以太网或千兆以太网技术。第三、各市级党校校园网核心交换机的数据处理能力强大,能够满足大流量数据包存储转发要求,建议选择主流知名品牌交换机。第四、网络要有足够的扩展能力,当网络扩大时,网络性能不会大幅度下降。第五、校园网络应有有效的安全防范机制和管理措施,保证网络的安全运行。第六、校园网出口的网络带宽合适,满足网络吞吐要求。省委党校校园网为电信出口,为避免不同通信运营商网络之间的带宽瓶颈及其它问题,建议市级党校校园网络出口和省委党校选择同一运营商。
全省党校系统的VPN专网建成以后,通过功能的逐步完善和进一步开发应用,达到了我们最初制定的规划要求,实现了规划中的主要功能。
1) 接入VPN专网方便快捷。市党校只需一台VPN网关设备,VPN设备可以采用旁路方式接入市级党校的校园网,对市党校的原有网络结构不做任何改动,工作量小,操作简便。县区党校或移动办公用户,无需添加任何设备,也无论在何时何地,只要有能够上互联网的电脑,用浏览器软件经身份安全认证后,就可以访问省委党校校园网内部的教学资源,访问VPN网络也是非常方便的。
2) 使用VPN专网安全可靠。首先是深信服M5900-S和M5400-S VPN设备中集成了高性能的企业级防火墙。这为省委党校和市党校的内外网安全防护提供了集成度更高的安全解决方案,各级党校都无需再购买其他防火墙设备。其次,省委党校对内部资源共享是可控的。管理员可以有选择地设置共享哪些资源,也可以选择把资源共享给哪些用户,也可以设置用户访问资源的时间限制等等,这些都在一定程度上保证了信息资源的安全。第三是移动用户在通过浏览器经身份认证联入VPN专网时,系统将自动断开和因特网联接,仅联入VPN专网,这样就避免了因特网的病毒和黑客通过此上网电脑攻击VPN专网,保证了VPN专网安全。
3) 拓展VPN应用共享广泛。部署VPN专网实现了省委党校和各级党校间互联,各级党校之间的信息资源可以像在同一局域网中一样实现共享。在VPN专网中既能支持C/S 应用又能支持B/S应用,完全能满足党校内部各种不同信息资源共享的需求,实现了党校内部信息资源和应用软件系统的共享最大化。目前,安徽省党校系统VPN专网中共享的内容非常广泛,主要有数字图书馆各类文字信息资源,视频点播系统中的音视频的资源,文件服务软件系统,内部电子邮件软件系统,视频会议软件系统,直播教学软件系统,教学和科研管理软件系统,办公自动化系统等。
4) 专利VPN数据传输技术。目前在VPN领域,LZO流压缩技术是公认的效果较好的数据压缩手段。深信服科技VPN产品将LZO流压缩技术结合到了SSL VPN中,该技术的使用使得VPN的数据传输速率提高20%-30%,同时其专利Web Push技术通过对Web页面的整合,减少大量的TCP握手响应,其加速效果也非常明显,再辅以其广域网加速技术、多线路复用和负载均衡技术,全方位立体式的加速技术使得数据传输的速度得到很好的保证。
4 党校系统资源共建共享的思考
随着信息技术的快速发展和全省党校党校系统VPN专网的深入应用,如何调动全省各级党校的力量,建立信息资源共建共享机制是一个急需解决的课题。党校系统信息资源共建共享的意义非常重大,是需要花大力气才能做好的工作,只有各级党校系统齐心协力,才能从整体上推进信息资源的共建共享工作。
党校系统信息资源的共建共享是一项长期的工作,要想做好这项工作我认为需要以下五个主要方面的支撑:
一是需要一个有力的组织机构来领导。资源的共建共享是一项校际间的系统工程,涉及到多个党校的分工与合作,如果没有一个领导机构来从上而下指挥和协调,许多问题就根本无法解决,也就不可能稳定和持续发展的。成立全省党校系统信息化建设领导小组或者资源共建共享领导小组是非常必要的,由省委党校分管信息化的副校长或者常务副校长任组长,市县级党校分管信息化工作的副校长或者常务副校长以及省委党校信息化的职能部门负责人为成员。领导小组的职责主要是负责制定全省党校系统资源共建共享的规划,制定各项管理制度,督促检查各项规划工作以及管理制度的执行情况,协调资源共建共享工作出现的各种问题。
二是需要得到各级党校的重视和支持。就安徽省来说,有1所省委党校,18所市委党校及省直工委党校,76所县区委党校。市委党校和县区委党校总共94所,规模是非常大的。所以在资源共建共享中要充分调动各级党校的积极性发挥他们的力量。要建立资源共建共享的激励机制,破除本位主义思想,消除信息资源孤岛,互通有无,取长补短,共同参与到资源的共建中。
三是需要有一系列规章制度来保障。党校系统资源共建共享是信息时代党校的一项全新的工作,涉及面广,如何有效地开展资源共建共享工作,形成长效机制,主要是要靠制度来保证。要制定资源共建共享的中长期规划,要有资源共建的评价制度,要有激励制度,要有队伍建设和人员培训制度,要有监督管理制度,要有经费保障制度等等。用制度来为资源共建共享保驾护航。
四是需要一支技术过硬的队伍来建设和维护。我们不仅需要网络技术人才,还需要掌握各门学科知识的学者型人才,更需要既懂信息技术又懂学科专业知识的复合人才。只有各类人才齐心协力,才能建设好资源,才能更新好维护好资源。技术人才的缺乏,是各级党校信息化建设的一块短板,可以采取引进专门的技术人才和对现有技术人员进行培训等多种方式,不断提高技术人员的技术水平。同时要解决好技术人员的职称和待遇等问题,保证技术队伍的稳定。
五是需要有稳定经费的保障。资源共建共享没有经费就成了无米之炊,要争取将党校系统的资源建设列入政府信息化建设的目标体系,争取政府财政支持,形成由政府财政投资为经费主渠道,非政府组织资助和有偿的社会服务为经费补充的资金支撑体系。
5 结束语
全省党校系统VPN专网建设和资源共建共享是一项崭新工作,既是信息社会发展带给党校发展的新机遇,同时也给我们带来了新挑战。VPN专网的应用现在才刚刚开始,如何更好地发挥VPN专网的作用,为党的教育事业服务,还需要进一步的深入研究。
参考文献:
[1] 南国农.教育信息化建设的几个理论和实际问题[J].电化教育研究,2002(11).
[2] 黄丹銮.我国现代远程教育资源共建共享制度探析[J].广东广播电视大学学报,2009(2).
[3] 柳军.高校数字化教学资源的校际间共建共享机制研究[J].中国教育信息化 2009(5).
