对基于GRE和IPSec的动态VPN技术的分析及实现

朱  铖    周俊林    苟  科

中国科学院新疆理化技术研究所

 摘　要：支持机密性和认证服务，使用户能有选择的使用，并得到所期望的安全服务。IPSec协议可以被划分为7个组，他们之间的关系如下图所示：

动态VPN主要考虑到公司分支机构或外驻人员为节省费用，多采用ADSL上网方式，其IP地址由运营商动态分配的情况下，实现与公司总部的VPN隧道连接。动态VPN不仅支持具有动态IP地址的VPN连接，而且支持具有私有地址的VPN连接。其技术实现方式既可以单独使用GRE封装，也可使用GRE+IPSec封装，具体实现方式可根据具体情况分析。

动态VPN报文格式如下：(图略)

动态VPN的应用主要可以分为两种情况：（1）数据不需加密，主要应用于非商业数据以及对实时性要求高的数据采集装置，数据包采用GRE封装，封装效率高，包开销低，易于破译，安全性不高，对路由器运算压力不高，不占用CPU资源；（2）数据需要加密，主要应用于重要的商业数据或其他重要数据，数据包采用GRE+IPSec封装，封装效率低，包开销高，难于破译，安全性高，对路由器的运算压力高，占用CPU资源，对于数据量特别大的情况，可考虑采用VPN网关。

动态VPN的实现方式各个设备厂商不同，本文不对设备进行具体配置，仅对需要配置的步骤概述12。首先是网络数据规划，需要对网络地址有1通盘考虑，安排好自环地址、隧道地址、ip地址。然后确定转换集、加解密算法、安全策略、以及IKE协商模式、协商参数等多种技术参数。最后进行设备综合配置。

关键词：VPN (Virtual Private Network)；IPSec (IP Security)  GRE (Generic Routing Encapsulation)  隧道  动态VPN AH (Authentication Head)  ESP (Encapsulation Security Payload)

作者简介  朱铖（1973-），男，硕士研究生，主要研究方向为计算机网络、VPN、计算机网络安全。