VPN 是一種三層封裝加密技術(shù)，VLAN 則是一種第二層的標(biāo)志技術(shù)（盡管 ISL 采用封裝），盡管用戶視圖有些相象，但他們不應(yīng)該是同一層次概念。

VLAN（Virtual Local Area Network）即虛擬局域網(wǎng)，是一種通過將局域網(wǎng)內(nèi)的設(shè)備邏輯地而不是物理地劃分成一個(gè)個(gè)網(wǎng)段從而實(shí)現(xiàn)虛擬工作組的新興技術(shù)。

VLAN在交換機(jī)上的實(shí)現(xiàn)方法，可以大致劃分為 2 大類：

1、基于端口劃分的靜態(tài) VLAN；

2、 基于 MAC 地址|IP 等劃分的動(dòng)態(tài) VLAN。當(dāng)前主要是靜態(tài) VLAN 的實(shí)現(xiàn)。

跨交換機(jī) VLAN 通訊通過在 TRUNK 鏈路上采用 Dot1Q 或ISL 封裝（標(biāo)識(shí)）技術(shù)。VPN（虛擬專用網(wǎng)）被定義為通過一個(gè)公用網(wǎng)絡(luò)（通常是因特網(wǎng)）建立一個(gè)臨時(shí)的、安全的 連接，是一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道。

VPN 使用三個(gè)方面的技術(shù)保證了通信的安全性：隧道協(xié)議、數(shù)據(jù)加密和身份驗(yàn)證。

VPN 使用兩種隧道協(xié)議：點(diǎn)到點(diǎn)隧道協(xié)議（PPTP）和第二層隧道協(xié)議（L2TP）。

VPN 采用何種加密技術(shù)依賴于 VPN 服務(wù)器的類型，因此可以分為兩種情況。

對(duì)于PPTP服務(wù)器，將采用 MPPE 加密技術(shù) MPPE 可以支持40位密鑰的標(biāo)準(zhǔn)加密方案和128位密鑰的增強(qiáng)加密方案。只有在 MS-CHAP、MS-CHAP v2  或 EAP/TLS  身份驗(yàn)證被協(xié)商之后， 數(shù)據(jù)才由 MPPE  進(jìn)行加密，MPPE 需要這些類型的身份驗(yàn)證生成的公用客戶和服務(wù)器密鑰。對(duì)于 L2TP 服務(wù)器，將使用 IPSec 機(jī)制對(duì)數(shù)據(jù)進(jìn)行加密 IPSec 是基于密碼學(xué)的保護(hù)服務(wù)和安全協(xié)議的套件。IPSec對(duì)使用 L2TP協(xié)議的VPN連接提供機(jī)器級(jí)身份驗(yàn)證和數(shù)據(jù)加密。在保 護(hù)密碼和數(shù)據(jù)的 L2TP連接建立之前，IPSec 在計(jì)算機(jī)及其遠(yuǎn)程VPN服務(wù)器之間進(jìn)行協(xié)商。IPSec可用的加密包括 56 位密鑰的數(shù)據(jù)加密標(biāo)準(zhǔn) DES 和 56  位密鑰的三倍 DES (3DES)。

VPN的身份驗(yàn)證方法

前面已經(jīng)提到 VPN 的身份驗(yàn)證采用 PPP 的身份驗(yàn)證方法，下面介紹一下 VPN 進(jìn)行身份驗(yàn)證的幾種方法。

CHAP CHAP通過使用MD5（一種工業(yè)標(biāo)準(zhǔn)的散列方案）來協(xié)商一種加密身份驗(yàn)證的安全形式。CHAP在響應(yīng)時(shí)使用質(zhì)詢-響應(yīng)機(jī)制和單向 MD5 散列。用這種方法，可以向服務(wù)器證明客戶機(jī)知道密碼，但不必實(shí)際地將密碼發(fā)送到網(wǎng)絡(luò)上。

MS-CHAP 同CHAP相似，微軟開發(fā)MS-CHAP  是為了對(duì)遠(yuǎn)程 Windows 工作站進(jìn)行身份驗(yàn)證，它在響應(yīng)時(shí)使用質(zhì)詢-響應(yīng)機(jī)制和單向加密。而且MS-CHAP 不要求使用原文或可逆加密密碼。

MS-CHAP v2 MS-CHAP v2 是微軟開發(fā)的第二版的質(zhì)詢握手身份驗(yàn)證協(xié)議，它提供了相互身份驗(yàn)證和更強(qiáng)大的初始數(shù)據(jù)密鑰，而且發(fā)送和接收分別使用不同的密鑰。如果將 VPN 連接配 置為用 MS-CHAP v2 作為唯一的身份驗(yàn)證方法，那么客戶端和服務(wù)器端都要證明其身份，如果所連接的服務(wù)器不提供對(duì)自己身份的驗(yàn)證，則連接將被斷開。

EAP EAP 的開發(fā)是為了適應(yīng)對(duì)使用其他安全設(shè)備的遠(yuǎn)程訪問用戶進(jìn)行身份驗(yàn)證的日益增長(zhǎng)的需求。通過使用 EAP，可以增加對(duì)許多身份驗(yàn)證方案的支持，其中包括令牌卡、一次性 密碼、使用智能卡的公鑰身份驗(yàn)證、證書及其他身份驗(yàn)證。對(duì)于VPN 來說，使用 EAP 可以防止暴力或詞典攻擊及密碼猜測(cè)，提供比其他身份驗(yàn)證方法（例如 CHAP）更高的安全性。在 Windows 系統(tǒng)中，對(duì)于采用智能卡進(jìn)行身份驗(yàn)證，將采用EAP驗(yàn)證方法；對(duì)于通過密碼進(jìn)行身份驗(yàn)證，將采用 CHAP、MS-CHAP或MS-CHAP v2 驗(yàn)證方法。