虚拟专有网络：解决企业网络隐私问题

链路加密可为网络用户提供一种环境，在这种环境中，使用户感觉仿佛处在一个专有网络中。由于这个原因，这种方法被称为虚拟专有网络（Virtual Private Network，VPN）。

一般情况下，物理安全性和管理安全性对于保护网络周界内的传输已经足够了。因此，对用户而言，用户的工作站（或者客户机）与主机网络（或者服务器的周界）之间是最大的暴露之处。

防火墙是一种访问控制设备，常常安置在两个网络或者两个网络段之间。它过滤了在受保护的（即“内部”）网络与不可信的（即“外部”）网络或网络段之间的所有流量。

许多防火墙都可用于实现VPN。当用户第一次与防火墙建立一个通信时，用户可以向防火墙请求一个VPN会话。用户的客户机与防火墙通过协商获得一个会话加密密钥，随后防火墙和客户机使用该密钥对它们之间的所有通信进行加密。通过这种方法，一个较大的网络被限制为只允许进行由VPN所指定的特殊访问。换句话说，用户的感觉就像网络是专有的。有了VPN，通信就经过了一个隧道或者加密隧道。VPN的建立如图6-9所示。(www.xing528.com)

图6-9 建立VPN的过程

在防火墙与网络周界内的鉴别服务器交互时，建立VPN。防火墙会将用户鉴别数据传递给鉴别服务器，在确认了用户的鉴别身份以后，防火墙将给用户提供适当的安全特权。例如，一位熟悉的可信赖之人（如一名雇员或者系统管理员）可能会被允许访问普通用户不能访问的资源。防火墙在VPN的基础上实现了访问控制。