从性能和抵御攻击上想了不少，但这也对使用的便利性和用户访问速度带来一定影响，不过从长远看还是值得的。

您可能也喜欢：
凸墙代理VPN客户系统进入测试啦！	VPN学习笔记（基础）	开发VPN管理平台，VPN客户系统及整套VPN解决方案	vpn学习笔记（续）
无觅

同Netfilter 一样，Linux 也是利用外挂模块的方式来支持IPSec 机制，（ls /lib/modules/your kernel/net/ipv4）其中ah4.ko 及esp4.ko 就是Linux 于IPv 4 环境下支持IPSec 的模块，不过ah4.ko 及esp4.ko 其实只是执行AH 及ESP 协议的一个机制而已，如果我们没给予验证算法、加密算法及加密密钥等，除了只能拿来占用内存之外，什么事也不能做，那AH 及ESP 的工作参数我们又该如何指定给它们呢？这就得使用setkey 管理工具将IPSec 执行时所需要的参数写入到SPD（Security Policy Database，安全策略数据库）及SAD（SecurityAssociation Database，安全参数数据库）。以上一篇文章中寄信的例子来说，SAD是指定与谁通信，SPD是指定认证机制。

Internet key exchange(IKE)

画这鸟图花了近1小时，十分郁闷。

图中步骤描述
假设A的应用程序要与B通讯
判断是否需要ipsec处理1，如果不需要则封包被送入2，接着通过网络物理层传到4
当需要使用ipsec处理时进入3，此时SAD的内容是空的，因此IKE机制被触发6，这时A与B的IKE机制进行信息交换7，进而自动产生SAD中的内容。

您可能也喜欢：
凸墙代理VPN客户系统进入测试啦！	VPN学习笔记（基础）	开发VPN管理平台，VPN客户系统及整套VPN解决方案	凸墙VPN新客户平台上线
无觅

VPN的原理

设想现实一种通讯方式。假定发信和收信需要有身份证（成年人才有），儿童没有身份证，不能发信收信。有2个儿童，小张和小李，他们的老爸是老张（A）和老李(B)。现在小张(1.10)和小李(2.20)要写信互通，怎么办？
一种合理的实现方式是：小张写好一封信，封皮写上 “小张–小李”, 然后给他爸爸，老张写一个信封，写上“老张–老李”，把前面的那封信套在里面，发给老李，老李收到信以后，打开，发现这封信是给儿子的，就转给小李了。小李回信也一样，通过他父亲的名义发回给小张。

在本图中A到B中间的那一段就可以被称作隧道（有点牵强），目前比较常见的vpn隧道有IP in IP Tunnel、L2TP Tunnel 及PPTP Tunnel，刚刚所描述所的是IP in IP Tunnel。

常见的VPN架构

VPN 的架构大概可分为两种，以第1张图为例
我们使用VPN 将台北总公司与上海分公司的两个网段串接起来，这称为点到点或是子网到子网的VPN架构
老板以便携计算机通过VPN 来串接台北总公司的网段，则称之为端到点或是端到子网 的VPN 架构。

VPN的安全性问题

依然参照图中的通讯模型。
老张给老李的信件要通过隧道传递，而中间有很多好事之徒，想偷看小张和小李的通讯内容，或者破坏其好事。
解决这个问题，就要引进安全措施，将信中的内容全部变成暗语。不过仅仅有加密是不够的，把数据加密虽然无法破解信件，但是可以伪造一封信，或者胡乱把信件改一通。为了防止这种结果，就要引入数据防篡改机制。万一数据被非法修改，能够很快识别出来。这在现实通讯中间可以采用类似这样的算法，计算信件特征，然后把这些特征用暗号标识在信件后面。收信人会检验这个信件特征，由于信件改变，特征也会变。所以，如果修改人没有暗号，改了以后，数据特征值就不匹配了。收信人可以看出来。 IPSEC通讯的数据认证也是这样的，使用md5算法计算包文特征，报文还原以后，就会检查这个特征码，看看是否匹配。证明数据传输过程是否被篡改。

由于老张和老李不在一个地方，他们互相不能见面，为了保证他们儿子通讯的安全。老张和老李必须要相互确认对方是否可信。这就是身份认证问题。 假定老李老张以前见过面，他们事先就约定了通讯暗号，比如1234567890对应abcdefghij， 那么写个255，对应就是一个bee。 常见的VPN身份认证可以包括预共享密钥，通讯双方实现约定加密解密的密码，直接通讯就可以了。能够通讯就是朋友，不能通讯就是坏人，区分很简单。 其他复杂的身份认证机制包括证书（电子证书比如x509之类的），比较罗里罗嗦，这里就不具体展开了，怕有兄弟看了打瞌睡。如果需要，可以找我要更具体的技术白皮书以及相关的身份认证文档。
如果有身份认证机制，密钥的经常更换就成为了可能。

以上可总结为加密，认证，防篡改。

最后，应该限制从办公网内对外的vpn连接，防止内鬼将公司机密外传。

VPN在模型中的位置？

参考文献

Ipsec Vpn 详解

您可能也喜欢：

凸墙代理VPN客户系统进入测试啦！

vpn学习笔记（续）

开发VPN管理平台，VPN客户系统及整套VPN解决方案

凸墙VPN新客户平台上线

无觅