小刘，你的VPN账号已经申请，请妥善保管好您的账号密码。

小李，xx服务出现了问题，请使用VPN登陆到内网，排查一下

...

熟悉安全运维的读者可能知道，在外网和内网互访过程中，VPN经常出现在日常工作里。那么VPN到底是什么？它和人们常说的“翻墙”又有何区别？本文将详细解读。

1.什么是VPN

VPN（虚拟专用网络）通过公共网络构建加密隧道，实现私有网络间的安全通信。可以理解为在互联网上挖了一条加密的隧道，让访问能够安全到达目标。

VPN的核心技术原理：

• 隧道技术
• 加密算法
• 身份认证
• 协议

1.1 隧道技术

隧道技术是VPN的核心物理层支撑，使用特定协议将私有数据包进行封装，包裹在公网协议中传输。根据OSI七层模型位置可分为第二层隧道、第三层隧道和第四层隧道：
第二层隧道/数据链路层：

• 例如PPTP、L2TP协议，将PPP帧封装在IP数据包中传输。
• 比如远程拨号用户需要访问企业内网，或出差员工通过PPTP连接总部VPN网关，数据先经PPP协议封装，再被GRE协议二次封装为IP包传输。

第三层隧道/网络层：

• • 第三层隧道代表协议为IPSec，直接对原始IP包进行加密和认证。IPSec使用AH（认证头）验证数据完整性，ESP（封装安全载荷）加密数据内容，支持传输模式（仅加密载荷）和隧道模式（全包封装）。
• • 比如企业分支机构通过IPSec隧道直连总部，所有IP流量均被AES-256加密。

第四层/应用层隧道：

• • 应用层隧道常见有SSL/TLS协议，它们在传输层构建加密通道。
• • OpenVPN是一款开源的VPN技术，基于SSL/TLS实现，同时支持TCP/UDP双模式。
• • WireGuard是一种新兴协议，使用UDP协议和ChaCha20加密，以简单方式实现高效传输。

1.2 加密算法加密算法通常分为对称/非对称两种，协同完成密钥交换与数据加解密：
对称加密：
常见对称加密算法有AES、3DES，需要通过安全方式把密钥传给对方。
例如IPSec VPN中，通信双方通过IKE协议协商共享密钥。
非对称加密：
常见非对称加密算法有RSA、ECC，主要用于密钥交换和数字证书认证。
例如VPN客户端与服务器初次连接时，常通过非对称加密交换对称密钥。
哈希算法：
哈希算法用于生成摘要信息，不可逆，通过比较哈希值来验证完整性，即哈希碰撞。
常见哈希算法有SHA-256、MD5。
例如IPSec中IPSec中AH协议通过SHA-1验证IP包头完整性，防止中间人攻击。

1.3 身份认证

身份认证保障合法客户访问VPN，常见方式包括：
PPP认证协议：

• • PAP（密码认证）:以明文传输用户名密码，安全性较低；
• • CHAP（质询握手）：通过三次握手和MD5哈希验证，安全性更高。
• • L2TP VPN：依赖于PPP的CHAP认证，同时支持双向身份验证。
  数字证书与PKI：
• • 数字证书基于X.509标准。
• • 数字证书用于验证服务器身份，防止钓鱼攻击。
• • 大多数企业VPN部署私有CA颁发证书，客户端通过公钥验证服务器证书合法性。公网上私有CA证书需专门CA机构颁发。
  双因素认证：
• • 双因素指密码与动态令牌或生物识别，即至少两种方式认证。
• • 比如银行VPN要求员工输入密码+手机验证码。

1.4 协议体系

程访问VPN：

• • 员工通过客户端软件连接企业VPN网关，常见协议有SSL/TLS（如OpenVPN）和IPSec IKEv2等。
• • 例如某公司员工在家使用WireGuard客户端连接公司网络办公。
  站点到站点VPN：
• • 站点到站点需建立永久隧道，通常使用IPSec协议。
• • 比如集团公司总部与分公司之间各部署VPN网关，通过IKEv2协商SA（安全联盟），实现跨地域内网互通。
  扩展企业VPN（Extranet）：
• • 扩展企业VPN用于连接合作伙伴网络，需使用访问控制列表（ACL）控制权限。
• • 比如某供应商通过L2TP/IPSec隧道接入企业供应链系统，仅允许访问特定服务器和端口。

2.常用的VPN有哪些

协议类型常用协议协议特点适用场景安全性

远程访问VPN：SSL/TLS、OpenVPN应用层加密，支持浏览器无客户端访问，兼容性强（如TCP/UDP双模式）个人远程办公、移动设备安全上网、临时技术支持高（AES-256）

站点到站点VPN：IPSec、GRE/IPSec网络层加密，支持动态路由（如BGP），适用于网关间永久隧道企业分支机构互联、跨国公司数据共享、科研机构PB级数据传输极高（抗量子加密预研）

移动VPN：WireGuard、L2TP/IPSec轻量级设计（代码量仅4000行），低延迟，支持网络切换自动重连旅行中安全上网、物联网设备接入、高铁/机场场景连续连接极高（ChaCha20加密）

传统协议：PPTP、L2TP配置简单（如PPTP支持Windows原生），但安全性低（RC4加密易被破解）低安全性需求场景（已过时，不推荐敏感数据传输）

3.VPN使用场景及案例

VPN使用场景通常分为企业远程办公、分支机构互联、个人隐私保护等
企业远程办公

• • 常见于员工通过VPN客户端连接公司内网进行工作，如访问ERP系统、操作数据库等。
• • 跨国公司常采用IPSec VPN连接全球办公室，实现低延时内部交流。
• • 使用中应采取安全措施：强制MFA认证、定期更换加密密钥、限制同时在线用户数等。
  分支机构互联
• • 企业分支机构间通过站点到站点VPN实现跨地域网络互通。
• • 某银行采用IPSec隧道连接全球分支机构，保障跨地域项目管理的数据安全传输。
  个人隐私保护
• • 常见于用户在公共Wi-Fi下加密社交、银行交易等敏感流量，隐藏真实IP地址。
• • 个人用户通常选择支持AES-256加密的OpenVPN服务，避免中间人攻击。

温馨提示：在中国境内，个人需通过正规渠道申请企业级VPN，不能使用未授权个人VPN。

4.合法使用VPN

常说的“翻墙”往往是不合规的VPN使用，存在极大风险。规范的VPN使用可以从国内和全球两个维度说明：

中国境内 ：

• • 个人用户需通过正规渠道申请企业级VPN（如运营商国际专线），不能使用未授权个人VPN；
• • 企业企业需向通信管理部门申请国际通信业务经营许可，保障数据传输符合《网络安全法》要求。

全球范围：
应选择接受第三方安全审计、公开透明日志政策的服务商，优先使用合规云服务（如AWS中国区、微软中国版），不能访问被屏蔽的非法内容。

以上就是VPN的介绍，涵盖核心技术原理、常见类型、合法使用等内容。如需更多信息，请关注或留言。