83、利用代理网关配置分层虚拟专用网络的新方法

利用代理网关配置分层虚拟专用网络的新方法

1. 引言

随着互联网的不断发展，它承载着越来越多样化的信息，其中包含个人信息等高度机密的数据，因此保障通信安全变得极为重要。通常会使用身份验证和加密技术来实现这一目标，其中一种方法是建立虚拟专用网络（VPN）。VPN 技术能让用户在两点之间建立虚拟链接，看起来就像直接连接一样。由于 VPN 包含身份验证和加密技术，支持在公共网络上安全地传输信息，所以受到了广泛关注。

VPN 的实现方式众多，可分为基于主机到主机 VPN 链接和基于主机到网络（或网络到网络）VPN 链接两类。前者要求应用客户端和服务器都安装特殊的 VPN 软件，而后者的许多实现方式不需要在应用服务器中安装 VPN 软件。因此，本文主要关注后者。在这种方式中，会定义具有统一访问策略的安全域，并在与外部的所有接触点或接口设置安全网关（SGW）。SGW 会控制外部到内部（或内部到外部）的访问请求是否被允许，若允许访问，则会转发通信。在大型组织中，各部门通常有自己的访问策略，安全域呈分层结构，类似于互联网域名。当互联网上的客户端要与最内层安全域的服务器通信时，必须依次通过一系列 SGW。

现有的一些 VPN 配置方案可用于这种分层安全域的情况，但这些方案在安全性、效率和可用性方面存在一些缺陷。为解决这些问题，本文提出了一种使用代理网关的分层 VPN 配置方法。该方法通过一系列虚拟路径连接两个深度嵌套的安全域，创建单个 VPN 链接，并通过引入代理网关来适应客户端与安全网关之间的通信，从而在不修改客户端或服务器的情况下实现安全高效的通信。

2. 分层 VPN 模型与现有实现

2.1 分层 VPN 模型

VPN 技术