QVM VPN多WAN路由器解决方案介绍

2005-9-22　发布方：纳思　网友评论 0 条　点击进入论坛

　　【解决方案】对于现代企业，尤其是运行横跨不同地理区域的企业，要想有效率而安全地运作网络服务，VPN是一个无法避免的课题。标准的电子邮件、网站、及档案传输服务虽然很方便，但是受限于TCP/IP的结构限制，几乎对网络稍有常识用户都可拦截到其他人的封包。更何况有些非标准TCP/IP的应用服务，例如ERP及财务软件，不能通过互联网使用。

使用VPN结构，以上的问题就可迎刃而解：两个办公室间联机，可通过VPN建立的隧道，经由先进地加密技术安全地互相传送，不会被恶意第三者截取分析；非标准TCP/IP的应用，也可通过VPN专有隧道连通，就像在同一个区域网络一样；在外移动的行动用户，只要可以连上网络，即可通过VPN设定连回公司，使用各种办公室应用；办公室间的传输，例如视频会议、语音通讯，通过VPN即不受到网络运行商的管制，带宽不会受到限制。

由于VPN的应用受到网管者的欢迎，因此技术也不断演进。一般常见的VPN协定有PPTP、IPSec、SSL等。其中PPTP为微软支持的协定，设定较方便，但保全性不够；IPSec公认是最安全的协定，但是设定复杂，一般的用户不容易操作；SSL则需在服务器端进行介面转换，并不是所有的应用程序都可支持。

在实际操作上，VPN的架设还面临其他的问题：例如当互联网联机掉线时，再安全的VPN也没有作用；中国由于IP资源有限，因此VPN联机必须基于双方为动态IP的基础上建立；由于幅员广大，网管人员要跑遍各个分公司的成长太高，VPN的设定最好简单清楚，略有网略知识者即可完成；每个ISP的IP分派方式都不同，IPSec并不一定都能穿透。

　　新一代的VPN解决方案

侠诺的QVM系列产品，即为解决以上问题的新一代VPN解决方案。它采用强大的Intel IXP425系列网络处理器，配合特有的功能，可让用户享用VPN的优点，而不必顾虑技术及管理上的困难处。QVM系列产品所提供的SmartLink设定方式，可说是市面上最容易设定的VPN联机，配合坚固的IPSec保护能力，可说是VPN应用最好的方案。

QVM系列包括QVM1000及QVM330二个产品。当QVM1000与QVM330同时使用时，二者之间可以使用SmartLink方式，轻易地建立IPSec VPN联机，适用于有多分支机构的应用。QVM1000及QVM330也可各自单独应用，与其他支持IPSec的终端软件或VPN闸道互相连接。

QVM1000为企业总部使用的VPN闸道，共有16个10/100Mbps埠，其中WAN口可配置设定支持2-8个WAN口，有一个埠可设定为DMZ埠，作为连接对外服务器用，其馀的则是10/100Mbps的LAN交换埠，可连接局域网的用户、服务器或其他交换器。

而QVM330为分支机构使用VPN闸道，可支持一个或二个WAN，LAN口则有四个10/100Mbps的交换埠，可连接局域网的用户、服务器或其他交换器。QVM330同时可作为中小企业的VPN接入闸道，行动用户可使用终端VPN软件连接到QVM330，其他机构也可通过IPSec与QVM330建立联机。

以下，我们来看看QVM系列VPN产品的应用特点：

图：QVM系列应用示意图

　　图说：QVM1000与QVM330配合时，可使用最容易设定的SmartLink功能完成设定，节省网管人员的设定时间。

　　方便的IPSec VPN设定

　　IPSec虽然公认是最值得信赖的VPN协议，但同时也是出名的难以设定。网管人员要设定都很困难，更何况一般的用户。尤其对于分支机构遍布不同区域网管人员或是集成业者而言，结构VPN网络可能就需要跑遍大中国，一一到各个分支机构设定。有些网管人员会先将相关设定设好，再将分支机构闸道寄到分支机构架设。但是在实际操作上，往往发生分支机构IP给定情况复杂，例如使用虚拟IP，原本设定无法穿透，而必须到现场修改的情况。

为了克服设定的问题，QVM系列产品提供SmartLink设定功能，将大部份的设定参数交由VPN闸道自动完成，只要进行简单的输入就能建立IPSec设定，也能轻易穿透不同的IP环境。一般的IPSec设定参数，包括Preshare key及…等参数，其中部份是二边用户必须事先约定，有些参数则是必须依联机情况设定，最基本的参数就超过23个，只要有一个设错即无法建立联机。QVM产品提供的SmartLink设定将参数简化到三个：总部服务器IP、用户名、及密码。

　　使用SmartLink的VPN设定将是很简单地。总部的网管必须先将分支机构的用户名及密码输入于QVM1000中。接下来就可直接将分支机构使用的QVM330寄到分支机构去，再以档或电子邮件告知分支机构人员总部闸道IP、用户名及密码。分支机构只要将QVM330连上互联网，输入对应的三个参数即可，双方的闸道会自动完成所有的设定。

为了完成SmartLink的自动设定，QVM系列产品研发时也针对虚拟IP穿透作了因应设计。由于部份ISP分配的IP不足，所以分配虚拟IP给用户。再加上有些办公室通过分享连联机互联网，所以常常发生分支机构是通过二层虚拟IP连到总部的情况。侠诺的QVM SmartLink设定，可轻易在复杂的IP设定下建立VPN隧道。网管人员或集成业者不用再为了设定分支机构的VPN而四处奔波了。以上数点均为采用单埠分享路由器所衍生的问题。另外由于单埠路由器采用低阶处理器，运算速度最高为100-200MHz，带机量越过50个以上时，就无法因应，也间接造成上网很卡的情况。

　　图：SmartLink快速IPSec设定功能

　　图说：SmartLink快速IPSec设定功能，只要三个参数，就可取代传统IPSec设定的二十馀个参数，可节省建置VPN的时间及管理。

　　多WAN网络接入

　　企业的关键性应用往往使用VPN互连，这时接入带宽就是一个现实的问题。当企业的联机要负责对外联机需求及VPN联机需求时，往往发生互相影响的情况。例如因为用户下载大量档案，而影响VPN可使用的带宽。这时，一个可行的方法，是通过增加WAN口数量，增加连网带宽。

因此，增加WAN口数量可让企业对外联机因应业务或运行而成长，不致成为长长的阻碍。由于ADSL的价格已下跌甚多，因此多条ADSL成本对于企业仍是可以接受的。QVM1000系列设定为总部使用，最多可支持八个WAN口数，带机量可超过上千人。而QVM330为分支机构使用，最多可支持二个WAN口数。

　　QVM1000及QVM330的多WAN口连网都提供负载均衡的功能。该VPN闸道可自动将内部用户联机要求，自动分配于不同WAN口，以保证每个用户上网联机的流畅度。网管人员也可设定不同WAN口的联机政策，让内部用户依IP/MAC或通讯协，分配于不同WAN口，以提高保证联机的顺畅。

　　VPN线路备援

　　VPN是建立于互联网建立的，一旦互联网联机掉线，VPN隧道也随之破坏，也失去联机的稳定性。这个情况在依赖网络联机的企业可说是让运行中断，影响企业正常运作。然而由于国内连网环境不好，运行商断线并不是少见的事，因此企业可说曝露在运行中断的风险。这个风险随著联机的支点越多，影响层面越大。

　　掉线的风险可以从二方面来看：VPN联机的总部及分支机构。

　　VPN联机总部的闸道负有重责大任，因为往往同时有数个分支机构或行动用户建立VPN隧道，使用内部服务。一旦带宽不足或掉线，立刻同时有许多个分支机构或用户受到影响，无法作业。QVM1000提供最多8WAN功能，网管人员可依带宽需要，扩展WAN口数量，以因应分支机构或行动用户的需要，不致因带宽受限而无法提供良好的服务。另外，QVM1000也提供掉线备援的功能，当某个WAN口联机因故掉线时，就可短时间自动由其他WAN口重建，用户或分支机构只会感到短暂中断，就可继续工作。这样的功能，才能确保企业总部提供的VPN服务的稳定性。

　　分支机构分散于不同的地区，联机的品质往往较总部更差，容易受到掉线影响。QVM330产品提供WAN口备援的功能，除了日常的ADSL互联网联机作为WAN1外，分支机构可购买计时制的ADSL作为WAN2。平日只用WAN1联机，WAN2并不联机，以节省联机费用。网管可技术性选择不同运行商的线路，以避免同一运行商因机房问题，所有联机均掉的情况。当分支机构的WAN1因故掉线时，QVM330即可立刻从WAN2重新建立VPN联机，运作不受影响。

　　VPN中央控管管理

　　对于总部的网管人员来说，如何同时管理众多VPN接入联机是一个很头痛的问题。各个分支机构的VPN隧道是否建立完全？联机情况如何？是否需要设定新的接取政策？是否需要为特定的应用保留带宽？这些都是在实际上会碰到的问题。网管往往必须在不同的介面操作，以解决以上的问题。

　　QVM系列产品提供集中的管理介面，网管人员只要在总部QVM1000的管理介面，就可一次看清最多三百个VPN联机的情况，不必一一地检查联机的状况。管理人员也可点系QVM1000上的图示，直接进入QVM330的管理介面，直接通过VPN进行设定管理，安全又有效率。

　　动态IP环境

　　许多网络运行商由于没有足够的IP发放，因此对于固定IP收取很高的费用。对于想要节省经费的企业，就必须因应联机的动态IP基础，建立VPN联机。

　　QVM系列产品可经由动态DNS服务支持动态IP环境，QVM1000及QVM330均可支持3322.org, DynDNS, DtDNS的服务设定。客户只要到这些免费网站进行登记，即使使用动态IP，动态DNS也能解读并将要求转送到对应的服务器。
同时，QVM1000每个WAN口并可支持多个不同动态DNS服务，并互为备援。也就是每个埠均可同时设定3322.org, DynDNS, DDNS其中二个以上的服务，万一当某一个DDNS的服务无法运作时，另一个DDNS的服务就可以替补上来，提供功能变量名称解读的服务。

　　这样的设定，可确保企业总部不论在什么情况的动态IP下，都能被分支机构或行动用户联机，以完全VPN的设定。

　　图：QVM系列产品支持动态IP环境的VPN

　　图说：QVM系列产品支持动态DNS，即使企业没有固定IP，也能通过免费的功能变量名称解析服务，让行动用户或分支办公室建立VPN。

　　其他功能

　　QVM系列为全功能的宽带VPN路由器闸道，除了以上的VPN功能外，也具备强大的QoS管理及防火墙功能，可增加企业连网的效率及信息安全。

已有 0 位对此文章感兴趣的网友发布了看法　

我来评两句	登录邮箱：密码：
请您在这里发表您的个人看法，发言时请各位遵纪守法并注意语言文明！
	匿名发表