多级VPN加密传输网的实现

《多级VPN加密传输网的实现》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、2009年第5期广西电力47多级VPN加密传输网的实现RealizationofMulti—VPNEncryptedTransmissionNetwork蘑正MOZheng—kun(广西电力调度通信中心，广西南宁530023)摘要：在不具备电网通信专网的厂站、县调、和配网中如何保证数据在传输过程中的机密性，完整性和不可否认性，是当前各级电力网络都非常关注的问题。论述如何采用IPSEC协议，构建一个动态的，易于管理的VPN加密传输网络，以满足业务用户的需求。关键词：VPN；网络传输加密；设备集中管理中图分类号：TN915．853文献标志码：B文章编号：1671—8380(2

2、009)05—0047—030引言的就是如何基于IPSEC之上，构建GRE隧道的多级的动态VPN传输网，从而实现电厂、县调、及配随着电网的快速发展，电网对其自身及电厂的网自动化系统VPN隧道的动态认证、协商和建立，数据采集要求更为严格，实时性，安全性要求也更方便数据传输加密，使得管理人员能够高效率地对高。广西电网目前已经建成以广西电力调度通信中多层次的VPN分级管理或集中管理。心为核心，覆盖全部地调、97％220kV站点的2级通信网络，和部分110kV站点的3级通信网络，但1组建多级VPN加密网络的必要性是多数电厂、县凋和城市内部配网自动化涉及到的电厂和县调内部常常有自建

3、的局域网，为了业节点没有建立电力系统的通信网络。自建通道或者务的正常开通，需要将不同地方的局域网进行互联，支付高昂的费用租借专用通道来传输少量的生产数由于可能会涉及到多级单位局域网的连接，节点的据使得投资与收效比例大大的失调。为此多数电数量非常多。传统的VPN网络组建方法是在节点厂、县调、及配网系统采用租借公网通道开通VPN之间建立Ⅵ)N隧道，这种方式在节点数非常多的或拨号的形式与广西电网内部网络相连接，以满足情况下，要实现不同站点之间的多向传输，就要在每业务传输的需求。但由于Internet所采用的TCP／个站点、不同的业务都要建立独立的隧道，假设有IP协议的固有的安全

4、方面的缺陷，致使网络消息的1O个节点，每个节点都要建立10条隧道，10个节点传输缺乏有效的安全保护，这些缺陷主要表现在：缺总共就要添加100条隧道，那样隧道的添加量和日乏通信双方身份的认证、缺乏保密机制、缺乏有效的常对隧道的维护量会非常大。其次，如果使用传统鉴别机制。因此，构建管辖范围广、覆盖区市县多级的方法建立VPN网络，在管理上属于分散式(相当节点、庞大的加密传输网络是我们关注的问题。于只有两级)，每个节点各自为政，各自维护和管理随着Internet的迅猛发展及VPN技术的出现，自己的VPN设备，造成设备管理上的混乱，故障排为企业、单位信息化应用提供了良机和更好的选择

5、。查困难，处理故障时问会大大地延长。VPN技术是利用公共网络资源来构建的虚拟专用因此，对于这种多级结构全区性质的局域网联网络，它是通过特殊设计的硬件或软件直接在共享网，建议采用一种称为VPN隧道接力方式进行，即网络中通过隧道、加密技术来保证用户数据的安全，核心节点只与地市级节点建立VPN隧道，县、厂提供与专用网络一样的安全保障功能。使得整个企站、街道级节点只与本地区地市级节点建立VPN业网络在逻辑上成为一个单独的透明内部网络，具隧道，省级节点只负责到市的设备维护，而各个县、有安全性、可靠性和可管理性，广西电网与外部站点厂站、街道级节点的维护和管理则交给该节点所属的通信也普

6、遍使用VPN技术。在此，我们要论述维护单位。收稿日期：2009—05—12；修回日期：2009—08—24广西电力2009年第5期我们可以看到，3条隧道的子网都存在包含关2数据加密传输3级接力系，比如隧道2中，左端保护子网是10．0．0．0／12，以图1来说明VPN的建立方式。如图有2个该子网已经包含了区、市、县2的局域网，这样县1站点网络，A站点网段是192．168．1．0／24；B站点网要访问其他县或区，只要直接走隧道2即可，因为该段是192．168．2．0／24，可以看出，传统的VPN隧道建条隧道对端子网是一个包含了区网段、市网段、县2立是直接利用局域网网段作为保护

7、子网来实现的。网段的大网，它可以访问到其他所有的县、市和区。如果A要访问B，则目的会匹配192．168．2．0／24这图2的优点是不需要添加任何路由信息，系统会个网段，从而走ipsec0接口(走ipsec0接口表示经过自动生成各个节点的IPSEC路由；隧道数量较少。腿加密后转发)。在数据加密的实现方式上，采缺点是必须非常了解整个局域网的网段结构，及用的是标准的Irr,ecVPN建立加密隧道的方式，加密各个网段的包含关系。网络一旦建立，以后新添加保算法可以考虑国际通用的DES，3DES，RSA等算护网段，比如可能添加非10．0．