4.8.1 虚拟专用网

• 由于ip地址资源的紧缺性，一个机构不需要将自己的所有主机接入到外部互联网
  若一个机构内部的计算机通信也是采用TCP/IP协议，那么从原则上来讲，对于这些仅在机构内部使用的计算机可以由本机构自行分配其ip地址

• 本地地址
  仅在本机构内部有效的ip地址

• 全球地址
  全球唯一的ip地址

• 专用地址 / 可重用地址
  仅用于一个机构的内部通信，不能用于和互联网上的主机通信
  专用地址仅用于做本地地址而不能用作全球地址
  互联网中的所有路由器，对目的地址是专门地址的分组一律不进行转发
  指派 10.0.0.0 到 10.255.255.255、172.16.0.0 到 172.31.255.255、192.168.0.0 到 192.168.255.255

• 专用网
  用来让 本机构内主机 进行 机构内部通信 ，而不是用于和网络外非本机构的主机通信

• 某机构不同区域的专用网之间通信采用的方法
  1、租用 电信公司的通信线路 作为本机构专用，即使用通信专线。
  2、利用 公用的互联网 作为本机构各专用网之间通信的 载体 ，而不是使用通信专线，组成虚拟专用网

• 若专用网不同网点之间的通信必须经过公用的互联网，又有保密的需求
  那么所有通过互联网的数据都必须加密

• VPN只是在效果上和专用网一样
  一个机构若构建自己的VPN要就必须为它的每一个场所购买专门的软件和硬件，并进行配置
  使得每一个场所的VPN系统都知道其它场所的位置

• 常用的虚拟专用网有三种
  1、内联网（虚拟专用网）：本机构内部网络构成的VPN。如果一家公司有一个或多个需要加入单个专用网络的远程位置，他们可以创建一个内联网VPN，将每个独立的LAN连接到单个广域网上。
  2、外联网（虚拟专用网）：有外部机构参加而构成的VPN。当一家公司与另一家公司（例如合作伙伴，供应商或客户）有非常密切商务往来时，它可以构建外联网VPN来连接这些公司LAN。这种外联网VPN支持双方公司在安全的共享网络环境中协同工作
  3、远程接入虚拟专用网：能够使在外地的员工通过互联网与公司内部进行通信

• 实例：使用 ip隧道技术 实现虚拟专用网
  某机构在两个场所分别建立了专用网A和B，其网络地址分别为专用地址 10.1.0.0 和 10.2.0.0
  若要实现A和B的通信，则每个场所至少有一个路由器具有合法的全球ip地址，分别为R₁和R₂
  R₁和R₂在专用网内部网络的接口地址则是专用网的本地地址
  
  A / B 内部的通信不经过互联网
  若A中主机X要和B中主机Y通信，则必须经过R₁和R₂
  X向Y发送的分组源地址是 10.1.0.1，目的地址是 10.2.0.3。这个分组先作为本机构的内部数据包从X发送到R₁
  R₁收到内部数据包后，发现目的网络必须通过互联网才能到达，就把整个的内部数据包进行加密，然后重新加上数据报的首部，封装成为在互联网上发送的外部数据报，源地址就是R₁的全球地址 125.1.2.3，目的地址是R₂的全球地址 194.4.5.6
  R₂收到分组后将其数据部分取出进行解密，回复成原来的内部数据包，交付Y