书接上文，说完了VLAN，该VPN隆重登场了。相比于VLAN这种简单的局域网技术，VPN可是要复杂的多。VPN并不是一种协议或者标准，而是一类技术的统称，或者更准确地说，是用户跨越广域网进行私有网络互联这样一种业务形态。

早期租用DDN专线或者通过ISDN拨号来实现私有网络互联是可行的，缺点是站点间的带宽是固定的，所用电路资源是独占的，不够灵活而且费用昂贵。之后，出现了ATM/FR/IP这类基于分组的广域网技术，克服了由资源独占引发的问题，VPN的概念也不过由于ATM/FR因为种种原因最后败给了IP，因此现在的VPN技术基本上都是基于IP的VPN了（MPLS也算是IP的一个变种）。当然，有实力的话可以自建光纤进行互联，不过可能也只有像Google这种级别的公司才玩得转。这个小节我们主要来讲一讲基于IP的VPN，如不特殊说明，以下简称IP VPN为VPN。

这段历史告诉我们，VPN并不是网络大牛们一时兴起，心血来潮搞的技术花花肠子，而是因为这是实打实的需求，是巨大的市场，是兵家必争的利益至高点。这十几年来，VPN为运营商带来了不可估量的效益，几乎靠一己之力支撑着运营商的Internet对公业务。如果说VLAN是网络虚拟化的鼻祖，那么VPN则真正把网络虚拟化作为一个领域推广开来了。

VPN的技术可谓五花八门，从这个大类技术的层面上来说，谈不到什么具体的帧格式或者包头，倒是以前面提到的“封装—寻址”通用技术模型来分析VPN技术非常的贴切，因为想要跨越公网进行私网的组网，只能通过封装后再寻址的方法。图中，CE是客户网络的边缘设备，PE是运营商网络的边缘设备，P是核心网中的转发设备。Payload可能是二层的帧也可能使三层的数据包，这取决于客户的目标数据业务。Tag就比较灵活了，QinQ中是S-Tag，PBB中是B-MAC + B-VLAN，MPLS VPN中是MPLS Label，IP GRE中是PE的公网IP地址。从这张图抽象出来VPN的实现非常好理解，客户通过CE把Payload送出来，PE根据特定的逻辑确定对端PE的Tag，进行封装后传给P网络，P网络根据Tag寻址到对端PE，该PE解封装后将Payload原封不动地转发给相关的CE。

在上述VPN技术模型中，又可以分为基于标签和基于隧道的技术。通常来说，基于标签的技术中，标签只负责打标记而不负责转发，如QinQ。而基于隧道的技术中，转发需要依赖于PE封装的数据帧头/数据包头，如MPLS类VPN、GRE等等。其中MPLS类技术较为特殊，是带有标签技术外在特征的隧道技术，而GRE这类需要PE封装完整的外层包头的技术，一般称为Overlay隧道。

讲完了技术模型，概括地讲讲一些具有代表性的VPN技术。之所以说概括性，是因为作者对一些技术里面的细节确实也不是很清楚，VPN的技术种类实在是太繁杂了，光是给VPN类技术的分类方法就能说出七八种来，而每种VPN技术的细节都能够讲上个几十页的。这里，我们将按照应用形式来对常见的VPN技术进行梳理和对比，分为站点对站点VPN以及远程接入VPN。

a)站点对站点
按照业务场景细分，站点对站点VPN还可以再具体分为内联网（Intranet） VPN和外联网（Extranet）VPN。两者的区别主要在前者联的是同一家公司的总部与分支，后者是指公司与外部利益相关群体。不过两者的区别主要是在与一些访问策略和地址规划上的不同，从网络虚拟化的角度来说区别并不大。故此这里的讲解将对两者等同看待，首先简单地介绍一下接下来会涉及到的VPN技术。

QinQ（802.1ad，PB，Provider Bridge），VLAN堆栈技术。通过将公网VLAN 标签（S-Tag）封装在用户私网VLAN 标签（C-Tag）前，使报文带着两层VLAN Tag穿越公网。PE负责增加/剥除4个字节的S-Tag，P要求支持802.1q中的Trunk概念，根据用户的MAC地址和S-VLAN在公网进行2层自学习转发。

PBB（802.1ah，Provider Backbone Bridge），运营商骨干网桥接技术，属于一种MACinMAC的隧道技术，可配合QinQ使用。通过定义双层MAC地址的帧结构，PE将B-MAC和B-Tag封装在CE数据帧前，以P要求支持Trunk概念，根据B-MAC和B-VLAN在公网进行2层自学习转发。

配一张VLAN，QinQ和PBB的格式图吧，一目了然。

GRE（RFC 2784），通用路由封装技术，是最早的Overlay隧道技术。PE封装外层网络层协议包头，P为外层网络层协议路由器，根据外层网络目的地址进行转发。

IPSec（RFC 4031）VPN，支持加密的VPN技术。IPsec VPN工作在IPsec隧道模式，PE封装外层IP包头，P可为任意IP路由器，根据外层公网目的IP进行转发。

BGP/MPLS IP VPN（RFC 2547），使用BGP协议在公网上发布VPN路由，使用MPLS在公网上转发VPN报文。PE负责BGP交互，封装MPLS头，P为支持MPLS的路由器，根据MPLS Label进行转发。

VPWS和VPLS，都属于MPLS VPN（RFC 4664）。VPWS由有Martini VPWS和Kompella VPWS两种实现方式，VPWS由有VPLS-LDP和VPLS-BGP两种实现方式。IPLS，是一种特殊的VPLS，只支持对IP分组的传输，CE为主机或者路由器。

这么多技术，看起来都眼花，技术细节作者确实讲不动了。下面直接从网络虚拟化的设计原则出发来对这些技术进行对比。

首先是连通性，包括两个方面，一是技技术所支持的数据业务类型，二是所支持的流量类型。多说无益，直接上表格。

其次是安全性。从控制平面和转发平面的安全性考虑。

然后是服务质量。广域网传输是VPN技术转发速率的瓶颈，这里主要考虑上述VPN技术在广域网的传输保障机制。

至于可扩展性，VPN支持的虚网数理论上限取决于标识虚网的字段位数，实际上受限于PE、P设备上资源的共享和分配。

运维自动化方面，有控制平面的VPN技术相对好一些，没有控制平面的VPN技术一般为纯静态配置，自动化较差，见表2。

b)远程接入
远程接入这种VPN应用形式，常见的业务场景有两种。一种是移动办公人员接入企业私网，另一种是用户希望绕开默认的网络出口以获得完整的访问权限，俗称“翻墙”。大众所熟知的VPN基本上等同于“翻墙”，其实这只是VPN技术的冰山一角。

相比于站点对站点VPN，远程接入VPN的个人用户数量多而且位置分散。因此，远程接入VPN的技术基本上都是基于隧道的——具有标签性质的技术，大多依赖有限的标签资源和公网的配置，而基于Overlay方式的隧道技术对于公网来说是完全透明的，具备较强的可扩展性和灵活性。

根据隧道承载的数据业务，远程接入VPN可分为二层隧道，三层隧道和高层隧道。其中二层隧道以L2TP（RFC 2661），三层隧道以IPsec（RFC 4031）VPN，高层隧道以SSL（RFC 6101） VPN为目前的主流技术。下面仍然从网络虚拟化的几个基本设计原则出发，对三种技术进行对比。

首先是连通性。老规矩，直接上表格。其中Overlay隧道的特征决定了这些技术基本上都是点对点的，L2TP Multihop（RFC 2661）扩展了L2TP点对多点的能力。

其次是安全性。远程接入的VPN技术需要直接或者间接地提供对身份验证和数据加密的支持，这同样是出于业务场景的需求。

然后是服务质量。远程接入VPN，在公网上传输质量的保证只能靠专用设备加速。另外，L2TP扩展了在VPN接入服务器本地网络上的QoS机制（RFC 2661）。

相比于站点对站点VPN技术的复杂性，远程接入VPN技术一般都为Overlay方式，属于公司内部的业务，运营商是不可见的。其可扩展性主要取决于VPN接入服务器的性能，接运维需要通过手工配置，但不需要经常变动。

c)其它VPN分类
除了根据应用形式来对VPN技术进行分类，还有很多其它的分类方式，下面列出其中常见的几种分类，以便读者对VPN技术有更多维度的认识。

作者简介：
张晨，北京邮电大学未来网络理论与应用实验室研究生
主要研究方向：SDN、虚拟化、数据中心
个人博客：http://sdnv.xyz/
个人邮箱：zhangchen9211@126.com