一、VPN简述：

1.1 概述

VPN的全称是Virtual Private Network，翻译过来一般称为虚拟专用网络。其主要作用就是利用公用网络（主要是互联网）将多个私有网络或网络节点连接起来。通过公用网络进行连接可以大大降低通信的成本。

一般来说两台连接上互联网的计算机只要知道对方的IP地址，是可以直接同通信的。不过位于这两台计算机之后的网络是不能直接互联的，原因是这些私有的网络和公用网络使用了不同的地址空间或协议，即私有网络和公用网络之间是不兼容的。

VPN的原理就是在这两台直接和公用连接的计算机之间建立一个条专用通道。两个私有网络之间的通信内容经过这两台计算机或设备打包通过公用网络的专用通道进行传输，然后在对端解包，还原成私有网络的通信内容转发到私有网络中。这样对于两个私有网络来说，公用网络就像普通的通信电缆，而接在公用网络上的两台计算机或设备则相当于两个特殊的线路接头。

由于VPN连接的特点，私有网络的通信内容会在公用网络上传输，出于安全和效率的考虑一般通信内容需要加密或压缩。而通信过程的打包和解包工作则必须通过一个双方协商好的协议进行，这样在两个私有网络之间建立VPN通道是需要一个专门的过程，依赖于一系列不同的协议。这些设备和相关的设备和协议组成了一个VPN系统。一个完整的VPN系统一般包括以下几个单元：

1.VPN服务器，一台计算机或设备，用来接收和验证VPN连接的请求，处理数据打包和解包工作。

2.VPN客户端，一台计算机或设备用来发起VPN连接的请求，也处理数据的打包和解包工作。

3.VPN数据通道，一条建立在公用网络上的数据连接。

注意所谓的服务器和客户端，在VPN连接建立之后在通信的角色是一样的，服务器和客户端的区别在于连接是由谁发起的而已。这个概念在两个网络之间的连接尤其明显。

1.2 应用情景

我们可以设想一下的情景：公司的总部在深圳，有两个办事处分别在北京和上海，两个办事处的网络需要和总部连接，同时办事处之间也需要相互连接。解决这种问题以前只有一种办法就是分别申请两条专线连接总部和两个办事处，两个办事处之前的通信通过总部转发。长途专线的费用是非常昂贵的，在以前也只有银行、证券公司以及大型企业才有能力负担。

有了互联网和VPN技术之后解决办法可以变成这样，总部通过一条专线和互联网连接，两个办事处分别在本地申请互联网的拨号连接。然后通过在互联网上建立两条VPN通道将三个网络连接起来。这样可以省去长途专线费用。不过互联网的专线连接也不便宜，这种解决方案暂时也只有大型公司可以负担得起。

那么为什么总部必须使用互联网专线呢，这里牵涉到一个VPN的技术细节，在建立VPN通道的时候，连接的发起者必须知道接受连接的服务器的IP地址，就像我们打电话之前必须知道对方的号码一样。而普通的拨号连接每次上网的IP地址都不相同。不过现在有一个很好的解决方案，通过88IP动态IP域名解析服务可以让一个拨号连接获得的动态IP地址与一个固定的域名绑定在一起，实现“虚拟专线”连接，当建立VPN连接的时候，连接建立者只需要输入连接接受方的域名就可以了。不过接受方的IP地址怎么改变，这个域名都可以解释到接受方当前的IP地址上。这样就可以省去一条互联网的专线连接费用，这样VPN的解决方案中小型企业也可以负担得起了。

二、VPN实现方式：

VPN不但可以用于上述网络对网络的连接，也可以用于单台计算机到网络的连接。在使用VPN的时候我们需要规划一下我们应用环境。

1.确认节点类型和访问关系：

首先我们需要列出需要连接的节点以及节点的类型，以及之间的访问关系，即由谁发起连接和向谁发起连接的问题。这样我们可以确认在我们环境中确定哪些地方需要安装VPN服务器，哪些地方仅仅是配置客户端就可以了。

●VPN服务器端：安装88IP软件，配置一个固定的域名。

●VPN客户端：需要在本机进行VPN配置。

2.采用windows“路由与远程控制”结合88IP服务软件架设VPN解决方案：

●情景模拟：

某公司有A，B两地点。其中A是总部，B是分部。我们就把总部的ADSL虚拟拨号机器叫vpn server，我们把B分部的虚拟ADSL拨号的机器叫做vpn client。

●IP设置：

首先把vpn server的本地连接的IP设置为：192.168.100.1。在vpn server上建立一个分配IP段为： 192.168.100.50--192.168.100.250 的DHCP服务器（其他IP留给静态地址服务器用）。

●动态IP/DNS解析：

在vpn server的机器上使用88ip服务，域名假设为server.dipns.com，当vpn server拨号连接上internet后，将获得一个公网IP为 w1.x1.y1.z1（注意：没有公网IP将不能作为vpn 服务器端），88IP体系自动将域名“server.dipns.com”解析到vpn server最新的IP地址上。

●VPN建立连接：

在vpn server上添加一个允许拨入的vpn连接，帐户：boffice，并设置为允许拨入。在vpn client拨入internet后，就可以在vpn虚拟拨号中，用“server.dipns.com”去呼叫vpn server，并且用boffice这个帐户及密码的拨入vpn server。这个时候，vpn client将从vpn server上获得一个192.168.100.x的IP。这样的话，A和B之间的vpn连接就已经建立起来，可以像局域网一样互相访问了。

以下我们围绕着Window2000来进行VPN服务器和客户端的配置。

三、 VPN服务器和客户端的配置

3.1.VPN服务器的配置：（详细操作见附件1或参见http://www.88ip.cn/solution/vpn/index.htm ）

●vpn server必须能用DHCP或者中继DHCP为vpn client分配同一网段的动态或者静态IP地址

●vpn server必须有到internet的连接。

●vpn server必须建立允许vpn client拨入的连接以击账号。

.VPN客户端的配置：(详细操作见附件1或参见http://www.88ip.cn/solution/vpn/index.htm ）

●vpn client的操作系统要求比较简单，一般的win98,winme,winxp,win2000等

windows操作系统都可以。

●vpn client必须有一个到internet的连接。本身并不一定需要公网IP，vpn client在

代理或者网关后面也可以。

●vpn client需要创立一个到vpn server的连接。

四、综合评估：

本方案适合拥有分支结构或外联业务较多的中小型企业。88ip的稳定性及丰富的商业化经验为这一方案提供了安全的基础，使其成为企业实现信息互联的高效、低成本的最佳解决方案。

(责任编辑：郁单曰)