上面介绍了VPN的主要优势，那么哪些用户适合采用VPN网络连接呢?综合VPN技术的特点，可以得出主要有以下四类用户适合采用VPN进行网络连接:
- G7 g# Q! B0 b6 _
; R' x. O0 _1 s. i3 {2 q. u
g5 }, |: q4 r! g$ O2 E% ^% U6 a a.网络接入位置众多，特别是单个用户和远程办公室站点多，例如多分支机构企业用户、远程教育用户;
+ D( X; T6 V, c" |, H) t2 }" }% d, R1 T/ ?$ p6 Q" F
4 h; _7 {5 l1 a% i2 m4 Q
b.用户/站点分布范围广，彼此之间的距离远，遍布全球各地，需通过长途电信，甚至国际长途手段联系的用户，如一些跨国公司;
7 d* C# T0 y( w3 |
3 v$ r }4 R$ }4 x) V* i" V# p
5 K9 _9 V4 ~& i! O% o, y
c.带宽和时延要求相对适中，如一些提供IDG服务的ISP;
) E0 J. r4 G2 ?; n0 e) Q- S
* ]2 W2 x+ u: I1 G# s
$ b7 A( W5 C! \ d.对线路保密性和可用性有一定要求的用户，如大企业用户和政府网。
. U3 w& l. Y. |1 ~2 G: p& V) h
) e; o P/ z2 x/ y4 h1 a. z+ ^2 _% D# q
根据VPN的应用平台可分为:软件平台、专用硬件平台及辅助硬件平台三类。
: Z; C: J. `! i" r' S( {; m0 E
5 U: B: [2 @7 H' G( h% i9 e
' X, w. x0 o0 Y (1)软件平台VPN
( g2 l$ ^8 h7 O- P( e0 x5 v6 X7 H% K. G$ @8 \) t
- R0 T8 Y9 N8 ]5 [ 当对数据连接速率较低要求不高，对性能和安全性要求不强时，可以利用一些软件公司所提供的完全基于软件的VPN产品来实现简单的VPN的功能，如checkpoint software和Aventail Corp等公司的产品。甚至可以不需要另外购置软件，仅依靠微软的Windows操作系统，特别是自Windows 2000版本以后的系统就可实现纯软件平台的VPN连接。
2 Q( \* ]4 g; f
# Z2 e. @/ h8 F. W0 [
; Q, w: A) r, A4 E 这类VPN网络一般性能较差，数据传输速率较低，同时在安全性方面也比较低，一般仅适用于连接用户较少的小型企业。
& \2 L! `, j- p% o1 |' j(2)专用硬件平台VPN
/ x9 K* z5 d' J, S
0 A# Q0 P6 i6 A7 s( g( u6 w+ f
8 y) T4 b$ s; d, Q1 M0 k: J' q
使用专用硬件平台的VPN设备可以满足企业和个人用户对高数据安全及通信性能的需求，尤其是从加密及数据乱码等对CPU处理能力需求很高的功能。提供这些平台的硬件厂商比较多，比较有名的如国外的:Nortel、Cisco、3Com等，国内的如华为、联想等。
9 L+ u( E3 F4 q+ u& S
& k6 u7 k; ~ h. j! [5 H# |/ Z H! ]+ j. C! t: Y! B
这类VPN平台虽然投资了大量的硬件设备，但是它具有先天的不足，就是成本太高，对于中、小型企业很难承受。并且由于全是由硬件来构成的平台，因此在管理的灵活性方面和可管理性方面就显得不如人意。通常是对于专业的VPN网络服务提供商来说选择这一平台较为合适，因为它们都有这方面的人才和资金优势。不过现在的主流VPN硬件设备制造商都能提供相应的管理软件来支持，如Cisco、3COM公司等，这在后面章节中将具体介绍它们的VPN解决方案。
' A, @& o) |$ |2 X' P* ?4 U
1 q7 q2 a7 q1 K, C# W1 ]# d; h9 v" I% t
(3)辅助硬件平台VPN
5 D% [! p k# i, Y$ s0 Y
9 k' ^4 c1 M# L- d1 O, ` I3 ~9 c& e5 \& d/ ?
这类VPN的平台介于软件平台和指定硬件平台的之间，辅助硬件平台的VPN主要是指以现有网络设备为基础，再增添适当的VPN软件以实现VPN的功能。这是一种最为常见的VPN平台，性能也是最好的一种。但是通常这种平台中的硬件也不能完全由原来的网络硬件来完成，必要时还得添加专业的VPN设备，如VPN交换机、VPN网关或路由器等，对于一个完善的、高性能的VPN网络这些设备在一定程度上来说是非常必要的。
$ [+ p! j) U+ F5 J% p
9 g2 b" V1 P& I# v |1 }: [% h, t% D
这种平台是最为通用的一种方式，它既具备了硬件平台的高性能、高安全性，同时也具有了软件平台的灵活性，并且可以利用绝大多数现有硬件设备，节省了总体投资。目前绝大多数企业VPN方案选用。
! t+ N# l* {1 A a8 @1 h3 @ ~
' u; `: f8 q4 t5 |" c5 d1 z+ z9 H6 L3 _5 H0 p
2.主要VPN协议
; r9 p; a+ F! u4 l. \' e7 @7 u
" T4 {# y5 t7 G" ^- |) }) r. O' s4 y/ M6 \
通过前面的介绍知道VPN隧道协议主要有三种
PTP、L2TP和IPSec，PPTP和L2TP协议是工作在OSI/RM开放模型中的第二层，所以又称之为第二层隧道协议。其实在第二层隧道协议中还有一种不是很主流的协议，那就是Cisco公司的L2F(Layer 2 Forwarding)协议。在VPN网络中最常见的第三层隧道协议是IPSec，但另一种GRE(Generic Routing Encapsulation，通用路由封装协议，在RFC 1701中早有描述)也是属于一个第三隧道协议。
. N) L% @- V9 A) G( w% L }0 C; B/ E+ {
9 O% u- {) D: x5 } 第二层隧道和第三层隧道的本质区别在于用户的数据包是被封装在哪一层的数据包隧道里传输的。第二层隧道协议和第三层隧道协议一般来说分别使用，但合理的运用两层协议，将具有更好的安全性。例如
2TP与IPSec协议的配合使用，可以分别形成L2TP VPN、IPSec VPN网络，也可混合使用L2TP、IPSec协议形成性能更强的L2TP VPN网络，且这一VPN网络形式是目前性能最好、应用最广的一种，因为它能提供更加安全的数据通信，解决了用户的后顾之忧。
% c" }( N8 K$ T0 F* f3 g
( x$ b+ C7 L n, ^
/ I a, |- l7 o6 A1 c 3. VPN的部署模式
5 ~ D& x+ V2 y+ Z. V
% h1 Z; k' Y0 d! y5 e/ x9 s( q
. N$ W. @! z- [- V% l VPN的部署模式从本质上描述了VPN通道的起始点和终止点，不同的VPN模式适用于不同的应用环境，满足不同的用户需求，总的来说有3种VPN部署模式:
# b4 A4 g( o6 I7 t$ B3 E0 r' x9 k, w
! o8 B# w( ?8 ]# B
# o3 J0 Z( Q3 U) I8 F (1)端到端(End-to-End)模式;
- n/ W3 v9 w0 j/ V4 g$ w( N. E1 o" }/ J
9 \' ]! V; o. W! R, M2 }# p 该模式是自建VPN的客户所采用的典型模式，也是最为彻底的VPN网络。在这种模式中企业具有完全的自主控制权，但是要建立这种模式的VPN网络需要企业自身具备足够的资金和人才实力，这种模式在总体投金上是最多的。最常见的隧道协议是IPSec和PPTP。这种模式一般只有大型企业才有条件采用，这种模式最大的好处，也是最大的不足之处就是整个VPN网络的维护权都是由企业自身完成，需花巨资购买成套昂贵的VPN设备，配备专业技术人员，同时整个网络都是在加密的隧道中完成通信的，非常安全，不像外包方式中存在由企业到NSP之间的透明段。
! {) R) i2 w" S
3 C# u4 |7 W2 l0 R& A2 A, p% ~3 _1 ]( h, x% |7 O8 Y
(2)供应商―企业(Provider-Enterprise)模式;
. @6 G& H3 v6 m4 J3 l
# h+ P0 T9 e5 j& B* T( x
. T, x8 x0 r- B- w+ I/ }0 O
这是一种外包方式，也是目前一种主流的VPN部署方式，适合广大的中、小型企业组建VPN网络。在该模式中，客户不需要购买专门的隧道设备、软件，由VPN服务提供商(NSP)提供设备来建立通道并验证。然而，客户仍然可以通过加密数据实现端到端的全面安全性。在该模式中，最常见的隧道协议有L2TP、L2F和PPTP。
2 p& j0 I. B3 a* t, Z
- s' N& R# i1 X/ T
4 e3 f( a; |! _" Z/ o
(3)内部供应商(Intra-Provider)模式。
9 _# Q4 H. p; S4 H5 c4 P
! R- }3 z% _2 ]% U5 e/ ~6 |
. i# a0 t" w8 Z' B3 Y 这也是一种外包方式，与上一种方式最大的不同就在于用户对NSP的授权级别不同，这种模式非常适合小型企业用户，因为这类企业一般没有这方面的专业人员，自身维护起来比较困难，可以全权交给NSP来维护。这是很受电信公司欢迎的模式，因为在该模式中，VPN服务提供商保持了对整个VPN设施的控制。在该模式实现中，通道的建立和终止都是在NSP的网络设施中实现的。对客户来说，该模式的最大优点是他们不需要做任何实现VPN的工作，客户不需要增加任何设备或软件投资，整个网络都由VPN服务提供商维护。最大的足也就是用户自身自主权不足，存在一定的不安全因素。
W6 {" D t, _; n
; F2 v. H1 }) o( a9 E
$ I; Z: S8 l2 U; n 4. VPN的服务类型
2 ~7 f) N& a1 K G9 Z& ?* }
. b5 f, m+ M# Z" [$ x3 ^2 X: H% ?9 W; I1 ^2 T: f
根据VPN应用的类型来分，VPN的应用业务大致可分为3类:IntranetVPN、Access VPN与Extranet VPN，但更多情况下是需要同时用到这三种VPN网络类型，特别是对于大型企业。
% l6 v. ^4 ]/ C6 }1 {& U3 ^8 i/ [2 Y" b0 _8 `3 M
6 J- k" y& _. m) M1 {# {
(1)Access VPN
6 k* M5 T9 o" ]- t6 R' a- o' D/ u7 m% w% T$ S: m
! G( Z) n7 j$ \+ V/ o4 P; V
Access VPN又称为拨号VPN(即VPDN)，是指企业员工或企业的小分支机构通过公网远程拨号的方式构筑的虚拟网。如果企业的内部人员移动或有远程办公需要，或者商家要提供B2C的安全访问服务，就可以考虑使用AccessVPN。
. ^% k) A0 {5 R! Z3 w' ?
$ e7 p, n$ }+ i
- C% G! H: M+ ? Access VPN通过一个拥有与专用网络相同策略的共享基础设施，提供对企业内部网或外部网的远程访问。AccessVPN能使用户随时、随地以其所需的方式访问企业资源。Access VPN包括能随时使用如模拟拨号Modem、ISDN、数字用户线路(xDSL)、无线上网和有线电视电缆等拨号技术，安全地连接移动用户、远程工作者或分支机构。这种方式相对传统的拨号访问具有明显的费用优势，对于需要移动办公的企业来说不失为一种经济安全、灵活自由的好方式，所以这种方式通常也是许多大、中型企业所必需的。当然它也可以独自存在，如一些小型商务企业。
: p( V5 a3 {: J1 O
; V6 s# q; Y+ J' [2 o- _
; h9 F5 s7 X: H (2) Intranet VPN
7 |. _+ ^# l$ m# Q e( G
- g# D9 a# P& G8 `; @( V+ K& m; R5 F5 |
Intranet VPN即企业的总部与分支机构间通过VPN虚拟网进行网络连接。随着企业的跨地区、国际化经营，这是绝大多数大、中型企业所必需的。如果要进行企业内部各分支机构的互联，使用Intranet VPN是很好的方式。这种VPN是通过公用因特网或者第三方专用网进行连接的，有条件的企业可以采用光纤作为传输介质。它的特点就是容易建立连接、连接速度快，最大特点就是它为各分支机构提供了整个网络的访问权限。
" d" x; l: r% _3 H7 |
' M; @# M u+ f Z' O8 `
3 A W7 K* t3 [8 `6 ~ p 越来越多的企业需要在全国乃至世界范围内建立各种办事机构、分公司、研究所等，各个分公司之间传统的网络连接方式一般是租用专线。显然，在分公司增多、业务开展越来越广泛时，网络结构趋于复杂，费用昂贵。利用VPN特性可以在因特网上组建世界范围内的IntranetVPN。利用因特网的线路保证网络的互联性，而利用隧道、加密等VPN特性可以保证信息在整个IntranetVPN上安全传输。IntranetVPN通过一个使用专用连接的共享基础设施，连接企业总部、远程办事处和分支机构。企业拥有与专用网络的相同政策，包括安全、服务质量(QoS)、可管理性和可靠性。
% R4 ~+ e5 Q8 x q0 T$ }/ A2 A2 T
0 \0 I5 M4 W% m+ c0 p$ R( a4 }0 f9 o; p! P
+ G9 P6 c! z0 {4 G9 [0 }4 e (3) Extranet VPN
* s- z7 @* C1 ~) B4 K# A! Q8 \
* d/ U2 y& `6 _) q
9 @1 L9 {/ I4 g! H) W# f Extranet VPN即企业间发生收购、兼并或企业间建立战略联盟后，使不同企业网通过公网来构筑的虚拟网。如果是需要提供B2B电子商务之间的安全访问服务，则可以考虑选用Extranet VPN。
6 `2 F# ~' M) V# ~ z: ~4 a
% S6 U4 v: Q& c% B$ z
0 @+ ^5 z3 L; ` K1 a5 P) ^/ ^6 B( ^ 随着信息时代的到来，各个企业越来越重视各种信息的处理。希望可以提供给客户最快捷方便的信息服务，通过各种方式了解客户的需要，同时各个企业之间的合作关系也越来越多，信息交换日益频繁。因特网为这样的一种发展趋势提供了良好的基础，而如何利用因特网进行有效的信息管理，是企业发展中不可避免的一个关键问题。利用VPN技术可以组建安全的Extranet，既可以向客户、合作伙伴提供有效的信息服务，又可以保证自身的内部网络的安全。
6 ^& w$ z( w2 n; B& K& L
6 r# x+ t2 @0 c
1 {# |' C8 l. f( P Extranet VPN通过一个使用专用连接的共享基础设施，将客户、供应商、合作伙伴或兴趣群体连接到企业内部网。企业拥有与专用网络的相同政策，包括安全、服务质量(QoS)、可管理性和可靠性。
5 x8 m; b( I* B9 t0 A% I U# {' f0 Q" T! X$ x8 w0 g2 Y2 F
3 f r$ L1 F4 r: o
Extranet VPN对用户的吸引力在于:能容易地对外部网进行部署和管理，外部网的连接可以使用与部署内部网和远端访问VPN相同的架构和协议进行部署。主要的不同是接入许可，外部网的用户被许可只有一次机会连接到其合作人的网络，并且只拥有部分网络资源访问权限，这要求企业用户对各外部用户进行相应访问权限的设定。典型网络结构如图1.5所示。
! Z7 P- u* v" ~4 _6 a
) p) n2 D' m3 ]2 z$ D, ^$ S
/ B+ ]# h9 e: w# _& b8 K1 o! y 以上三种VPN模式，其实在后面将要介绍的Windows 2000系统中的VPN网络中都统归于两种模式，即:远程访问VPN和路由器到路由器VPN，“远程访问VPN”对应于本节所介绍的Access VPN(VPDN)模式，而“Extranet VPN”和“Intranet VPN”则可统归“路由器到路由器VPN”模式。但是又不能完全这么划分，因为不同系统中对VPN模式的分类标准和前提不太一样，本节所介绍的这三种VPN模式是基于整个VPN网络来划分的，而在Windows 2000系统中的这种VPN模式划分的前提是在纯软件方式下进行的。
