موضوع مقاله: شبکه خصوصی مجازی | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # شبکه خصوصی مجازی | مقدمه: شبکهٔ خصوصی مجازی به اختصار شبکهٔ خم یا وی‌پی‌ان، که در ایران با فیلترشکن شناخته می‌شود ، شبکه‌ای است که اطلاعات در آن از طریق یک شبکه عمومی مانند اینترنت جابه‌جا می‌شود اما در عین حال با استفاده از الگوریتم‌های رمزنگاری و با احراز هویت این ارتباط همچنان اختصاصی باقی می‌ماند.Electronic Commerce, Efraim Turabn, 482 شبکهٔ خصوصی مجازی به‌طور عمده برای ایجاد ارتباط بین شعبه‌های مختلف شرکت‌ها یا فعالیت از راه دور مورد استفاده قرار می‌گیرد. | ## بخش 1: شبکه خصوصی مجازی | تاریخچه و شکل‌گیری با تحولات عظیم در عرصه ارتباطات، اغلب سازمان‌ها و موسسات ارائه‌دهندهٔ کالا و خدمات که در گذشته بسیار محدود و منطقه‌ای مسائل را دنبال می‌کردند، امروزه بیش از گذشته نیازمند تفکر در سطح جهانی برای ارائه خدمات و کالای تولیده شده را دارند. به عبارت دیگر، تفکرات منطقه‌ای و محلی حاکم بر فعالیت‌های تجاری جای خود را به تفکرات جهانی و سراسری داده‌اند. امروزه سازمان‌های زیادی وجود دارند که در سطح یک کشور دارای دفاتر فعال و حتی در سطح دنیا دارای دفاتر متفاوتی می‌باشند. تمام سازمان‌های فوق به‌دنبال یک روش سریع، ایمن و قابل اعتماد به منظور برقراری ارتباط با دفاتر و نمایندگی‌های خود در اقصی نقاط یک کشور یا در سطح دنیا هستند. اکثر سازمان‌ها و موسسات به منظور ایجاد یک شبکه گسترده از خطوط اختصاصی استفاده می‌نمایند. یک شبکهٔ گسترده دارای مزایای عمده‌ای نسبت به یک شبکه عمومی نظیر اینترنت از بعد امنیت و کارایی است. اما پشتیبانی و نگهداری یک شبکهٔ گسترده در عمل و زمانی‌که از خطوط اختصاصی استفاده می‌گردد، مستلزم صرف هزینه بالائی است. همزمان با عمومیت یافتن اینترنت، اغلب سازمان‌ها و موسسات ضرورت توسعه اختصاصی خود را به درستی احساس کردند. یک وی‌پی‌ان شبکه‌ای اختصاصی است که از یک شبکه برای ارتباط با شبکه‌ای دیگر از راه دور و ارتباط کاربران با شبکهٔ سازمان خود استفاده می‌نماید. این نوع شبکه‌ها به جای استفاده از خطوط واقعی نظیر خطوط Leased، از یک ارتباط مجازی به اینترنت برای ایجاد شبکه اختصاصی استفاده می‌کنند. اصول کار وی‌پی‌ان شبکه‌های رایانه‌ای به شکل گسترده‌ای در سازمان‌ها و شرکت‌های اداری و تجاری مورد استفاده قرار می‌گیرند. اگر یک شرکت از نظر جغرافیایی و در فضای کوچک متمرکز باشد، ارتباطات بین بخش‌های مختلف آن را می‌توان با یک شبکهٔ محلی برقرار کرد. اما برای یک شرکت بزرگ که دارای فضای گسترده جغرافیایی و شعب مختلف در نقاط مختلف یک کشور یا در نقاط مختلف دنیا است و این بخش‌ها یا شعب نیاز دارند که با هم ارتباطاتِ اطلاعاتیِ امن داشته باشند، بایستی یک شبکهٔ گستردهٔ خصوصی بین نقاط آن ایجاد گردد. شبکه‌های اینترانت که فقط محدود به یک سازمان یا یک شرکت می‌باشند، به دلیل محدودیت‌های گسترشی نمی‌توانند چندین سازمان یا شرکت را تحت پوشش قرار دهند. شبکه‌های گسترده نیز که با خطوط استیجاری راه‌اندازی می‌شوند، در واقع شبکه‌های گستردهٔ امنی هستند که بین مراکز سازمان‌ها ایجاد شده‌اند. فرستادن حجم زیادی از داده از یک رایانه به رایانه دیگر مثلاً در به‌هنگام‌رسانی بانک اطلاعاتی یک مشکل شناخته‌شده و قدیمی است. انجام این کار از طریق ایمیل به دلیل محدودیت گنجایش سرویس‌دهندگان ایمیل نشدنی است. استفاده از اف‌تی‌پی هم به سرویس‌دهنده مربوطه و همچنین ذخیره‌سازی موقت روی فضای اینترنت نیاز دارد که قابل اطمینان نیست. اما اگر دو کامپیوتر در دو جای مختلف به اینترنت متصل باشند می‌توان از طریق سرویس به اشتراک‌گذاری فایل در ویندوز به سادگی فایل‌ها را رد و بدل نمود. در این حالت، کاربران می‌توانند به دیسک سخت کامپیوترهای دیگر همچون دیسک سخت کامپیوتر خودشان دسترسی داشته باشند. وی‌پی‌ان به کمک رمزگذاری روی داده‌ها، درون اینترنت یک شبکه کوچک می‌سازد و تنها کسانی که آدرس‌های لازم و گذر واژه را در اختیار داشته باشد می‌توانند به این شبکه وارد شوند. مدیران شبکه‌ای که بیش از اندازه وسواس داشته و محتاط هستند می‌توانند وی‌پی‌ان را حتی روی شبکه محلی هم پیاده کنند. مسافرت با کشتی مسافربری، به منزله عدم وجود امنیت است، بدین معنی که هر کاری را که شما انجام دهید، توسط سایر مسافران قابل مشاهده خواهد بود. در این مثال هر یک از جزایر مورد نظر را می‌توان مشابه یک شبکه محلی دانست، اقیانوس به مثابه اینترنت است و مسافرت با یک کشتی مسافربری مشابه برقراری ارتباط با یک سرویس دهنده وب یا سایر دستگاه‌های موجود در اینترنت خواهد بود. شما دارای هیچ‌گونه کنترلی بر روی کابل‌ها و روترهای موجود دراینترنت نیستید (مشابه عدم کنترل شما به عنوان مسافر کشتی مسافربری بر روی سایر مسافران حاضر در کشتی). مسیر ایجاد شده یک روش ایمن، ساده و مستقیم برای مسافرت ساکنین جزیره شما به جزیره دیگر را فراهم می‌آورد. همان‌طور که حدس زده‌اید، ایجاد و نگهداری یک پل ارتباطی بین دو جزیره مستلزم صرف هزینه‌های بالائی خواهد بود. با توجه به ضرورت و حساسیت مربوط به داشتن یک مسیر ایمن و مطمئن، تصمیم به ایجاد پل ارتباطی بین دو جزیره گرفته شده‌است. در صورتی‌که جزیره شما قصد ایجاد یک پل ارتباطی با جزیره دیگر را داشته باشد که در مسافت بسیار طولانی نسبت به جزیره شما واقع است، هزینه‌های مربوط به‌مراتب بیشتر خواهد بود. ماهیت پل‌های ارتباطی (خطوط اختصاصی) از اقیانوس (اینترنت) متفاوت بوده و کماکان قادر به ارتباط جزایر (شبکه‌های محلی) خواهند بود. سازمان‌ها و موسسات متعددی از رویکرد فوق (استفاده از خطوط اختصاصی) استفاده می‌نمایند. مهم‌ترین عامل در این زمینه وجود امنیت و اطمینان برای برقراری ارتباط هر یک سازمان‌های مورد نظر با یکدیگر است. در صورتی‌که مسافت ادارات یا شعب یک سازمان از یکدیگر بسیار دور باشد، هزینه مربوط به برقراری ارتباط نیز افزایش خواهدیافت. با توجه به مقایسه انجام شده در مثال فرضی، می‌توان گفت که بااستفاده از وی‌پی‌ان به هر یک از ساکنین جزیره یک زیردریائی داده می‌شود. پس از تأمین اولین زیردریائی، افزودن امکانات جانبی و حتی یک زیردریائی دیگر مقرون به صرفه خواهد بود. در مدل فوق، باوجود ترافیک در اقیانوس، هر یک از ساکنین دو جزیره قادر به تردد در طول مسیر در زمان دلخواه خود با رعایت مسایل ایمنی می‌باشند. هر یک از کاربران از راه دور شبکه قادر به برقراری ارتباطی امن و مطمئن بااستفاده از یک محیط انتقال عمومی (نظیر اینترنت) با شبکه محلی موجود در سازمان خود خواهند بود. توسعه یک وی‌پی‌ان (افزایش تعداد کاربران از راه دور یا افزایش مکان‌های مورد نظر) به‌مراتب آسان‌تر از شبکه‌هایی است که از خطوط اختصاصی استفاده می‌نمایند. با توجه به اینکه در یک شبکه وی‌پی‌ان به عوامل متفاوتی نظیر: امنیت، اعتمادپذیری، مدیریت شبکه و سیاست نیاز خواهد بود. استفاده از وی‌پی‌ان برای یک سازمان دارای مزایای متعددی است: گسترش محدوده جغرافیائی ارتباطی بهبود وضعیت امنیت کاهش هزینه‌های عملیاتی در مقایسه با روش‌های سنتی نظیرWAN کاهش زمان ارسال و حمل اطلاعات برای کاربران از راه دور بهبود بهره‌وری توپولوژی پیاده‌سازی آسان است. وی‌پی‌ان نسبت به شبکه‌های پیاده‌سازی شده با خطوط استیجاری، در پیاده‌سازی و استفاده، هزینه کمتری صرف می‌کند. | ## بخش 2: شبکه خصوصی مجازی | اضافه و کم کردن گره‌ها یا شبکه‌های محلی به وی‌پی‌ان، به خاطر ساختار آن، با هزینه کمتری امکان‌پذیر است. در صورت نیاز به تغییر همبندی شبکهٔ خصوصی، نیازی به راه‌اندازی مجدد فیزیکی شبکه نیست و به صورت نرم‌افزاری، همبندی شبکه قابل تغییر است. تقریباً هر کسی که در جای مناسب قرار داشته باشد می‌تواند جریان داده‌ها را زیر نظر گرفته و از آن‌ها سوء استفاده کند. شبکه‌های وی‌پی‌ان به منظور تأمین امنیت (داده‌ها و ارتباطات) از روش‌های متعددی استفاده می‌نمایند، از جمله: دیوار آتش رمزنگاری آی‌پی‌سک کارساز AAA دیوار آتش دیوار آتش یا فایروال یک دیواره مجازی بین شبکه اختصاصی یک سازمان و اینترنت ایجاد می‌نماید. با استفاده از دیوار آتش می‌توان عملیات متفاوتی را در جهت اعمال سیاست‌های امنیتی یک سازمان انجام داد. ایجاد محدودیت در تعداد پورت‌های فعال، ایجاد محدودیت در رابطه به پروتکل‌های خاص، ایجاد محدودیت در نوع بسته‌های اطلاعاتی و… نمونه هائی از عملیاتی است که می‌توان با استفاده از یک دیوارآتش انجام داد. رمزنگاری رمزنگاری فرایندی است که بااستفاده از آن کامپیوتر مبدأ اطلاعاتی رمزشده را برای کامپیوتر دیگر ارسال می‌نماید. بدین ترتیب پس از ارسال اطلاعات توسط فرستنده، دریافت کنندگان، قبل از استفاده از اطلاعات می‌بایست اقدام به رمزگشایی اطلاعات ارسال شده نمایند. سیستم‌های رمزنگاری در کامپیوتر به دو گروه عمده تقسیم می‌گردد: رمزنگاری کلید متقارن در رمز نگاری کلید متقارن هر یک از کامپیوترها دارای یک کلید رمزنگاری (کد) بوده که بااستفاده ازآن قادر به رمزنگاری یک بسته اطلاعاتی قبل از ارسال در شبکه برای کامپیوتر دیگر می‌باشند. در روش فوق می‌بایست در ابتدا نسبت به کامپیوترهایی که قصد برقراری و ارسال اطلاعات برای یکدیگر را دارند، آگاهی کامل وجود داشته باشد. هر یک از کامپیوترهای شرکت‌کننده در مبادله اطلاعاتی می‌بایست دارای کلید رمزنگاری مشابه به منظور رمزگشایی اطلاعات باشند. برای مثال فرض کنید قصد ارسال یک پیام رمز شده برای یکی از دوستان خود را داشته باشید. پس از رمزنمودن پیام و ارسال آن، می‌بایست دریافت‌کننده پیام به این حقیقت واقف باشد که برای رمزگشایی پیام ارسال شده، هر حرف باید به دو حرف قبل از خود تبدیل گردد. در صورتی‌که پیام فوق توسط افراد دیگری دریافت گردد، به دلیل عدم آگاهی از کلید، آنان قادر به رمزگشایی و استفاده از پیام ارسال شده نخواهند بود. رمزنگاری کلید عمومی در رمزنگاری عمومی از ترکیب یک کلید خصوصی و یک کلید عمومی استفاده می‌شود. کلید عمومی توسط کامپیوتر شما در اختیار تمام کامپیوترهای دیگری که قصد ارتباط با آن را داشته باشند گذاشته می‌شود. به منظور رمزگشایی یک پیام رمز شده، یک کامپیوتر می‌بایست با استفاده از کلید عمومی (ارائه شده توسط کامپیوتر ارسال‌کننده) و کلید خصوصی مربوط به خود اقدام به رمزگشایی پیام ارسالی نماید. آی‌پی‌سک پروتکل آی‌پی‌سک یکی از امکانات موجود برای ایجاد امنیت در ارسال و دریافت اطلاعات است. این پروتکل داده‌هایی که باید فرستاده شود را همراه با همه اطلاعات جانبی مانند گیرنده و پیغام‌های وضعیت رمزگذاری کرده و به آن یک IP Header معمولی اضافه کرده و به آن سوی تونل می‌فرستد. در این شیوه انتخاب اختیاری تونل، سرویس گیرنده نخست یک ارتباط معمولی با اینترنت برقرار می‌کند و سپس از این مسیر برای ایجاد اتصال مجازی به کامپیوتر مقصد استفاده می‌کند. در شیوه تونل اجباری، سرویس گیرنده نباید تونل را ایجاد کند بلکه این کار به عهده فراهم ساز است. در این شیوه داده‌های اصلی رمزگذاری شده و VPNاطلاعاتی را از طریق ESH ارسال می‌کند. برای رمزگذاری و تعیین اعتبار روش مشخص و ثابتی وجود ندارد اما با این همه، IETF برای حفظ سازگاری میان محصولات مختلف، الگوریتم‌های اجباری برای پیاده‌سازی Ipsec تدارک دیده. رمزگذاری Public Key برای ثبت و اطمینان از کلیدهای مبادله شده و همچنین اطمینان از هویت ایستگاه‌های سهیم در ارتباط. Ipsec بدون تونل Ipsec در مقایسه با دیگر روش‌ها یک برتری دیگر هم دارد و آن اینست که می‌تواند همچون یک پروتکل انتقال معمولی به کار برود. به جای آن، تنها داده‌های اصلی رمزگذاری می‌شوند و Header همراه با آدرس‌های فرستنده و گیرنده باقی می‌ماند. اما روشن است که در این وضعیت، خرابکاران می‌توانند به مبدأ و مقصد داده‌ها پی ببرند. از آنجا که در مدل OSI داده‌ها از لایه ۳ به بالا رمزگذاری می‌شوند خرابکاران متوجه نمی‌شوند که این داده‌ها به ارتباط با سرویس دهنده Mail مربوط می‌شود یا به چیز دیگر. جریان یک ارتباط Ipsec بیش از آن که دو کامپیوتر بتوانند از طریق Ipsec داده‌ها را میان خود جابجا کنند باید یکسری کارها انجام شود. برای این منظور، کامپیوترها برای یکدیگر مشخص می‌کنند که آیا رمز گذاری، تعیین اعتبار و تشخیص خطا یا هر سه آن‌ها باید انجام بگیرد یا نه. SA چگونگی ارتباط میان دو یا چند ایستگاه و سرویس‌های ایمنی را مشخص می‌کند.SAها از سوی SPI شناسایی می‌شوند.SPI از یک عدد تصادفی و آدرس مقصد تشکیل می‌شود. این به آن معنی است که همواره میان دو کامپیوتر دو SPI وجود دارد: یکی برای ارتباط A و B و یکی برای ارتباط B به A. اگر یکی از کامپیوترها بخواهد در حالت محافظت شده داده‌ها را منتقل کند نخست شیوه رمزگذاری مورد توافق با کامپیوتر دیگر را بررسی کرده و آن شیوه را روی داده‌ها اعمال می‌کند. مدیریت کلیدهای رمز در Ipsec اگر چه Ipsec فرض را بر این می‌گذارد که توافقی برای ایمنی داده‌ها وجود دارد اما خودش برای ایجاد این توافق نمی‌تواند کاری انجام بدهد. اگر هر دو کامپیوتر بتوانند این عدد را بسازند پس هر دو این کلید دارند و به این ترتیب تعیین هویت انجام می‌گیرد رمزگذاری Public Key:هر کامپیوتر یک عدد تصادفی ساخته و پس از رمزگذاری آن با کلید عمومی کامپیوتر مقابل، آن را به کامپیوتر مقابل می‌فرستد. اگر کامپیوتر مقابل بتواند با کلید شخصی خود این عدد را رمز گشایی کرده و باز پس بفرستد برا ی ارتباط مجاز است. امضاء دیجیتال:در این شیوه، هر کامپیوتر یک رشته داده را علامت‌گذاری (امضاء) کرده و به کامپیوتر مقصد می‌فرستد. برای امنیت بخشیدن به تبادل داده‌ها باید هر دو سر ارتباط نخست بر سر یک یک کلید به توافق برسند که برای تبادل داده‌ها به کار می‌رود. پروتکل ike پروتکلی که امروزه استفاده از آن رایج است مبادله کلید اینترنت نام دارد. با این به‌روزرسانی، این پروتکل قابل‌اعتمادتر شد و در مقابل حملات DOS منعطف‌تر شد. سرویس دهنده AAA سرویس دهندگان AAA به منظور ایجاد امنیت بالا در محیط‌های وی‌پی‌ان از نوع دستیابی از راه دور استفاده می‌گردند. | ## بخش 3: شبکه خصوصی مجازی | زمانیکه کاربران با استفاده از خط تلفن به سیستم متصل می‌شوند، سرویس دهنده AAA درخواست آن‌ها را اخذ و عملیات زیر را انجام خواهد داد: شما چه کسی هستید؟ (حسابداری،Accounting) انواع وی‌پی‌ان دو نوع عمده شبکهٔ وی‌پی‌ان وجود دارد: شبکهٔ وی‌پی‌ان دستیابی از راه دور به این نوع از شبکه‌ها وی‌پی‌دی‌ان نیز گفته می‌شود. سازمان‌هایی که از مدل فوق استفاده می‌کنند به‌دنبال ایجاد تسهیلات لازم برای ارتباط پرسنل یا به‌طور عام کاربران راه دور هستند تا بتوانند از هر مکانی به شبکهٔ سازمان متصل شوند. سازمانهایی که تمایل به برپاسازی یک شبکهٔ بزرگ دستیابی از راه دور دارند، می‌بایست از امکانات یک مرکز ارائه دهنده خدمات ای‌اس‌پی استفاده نمایند. سرویس دهندهٔ ای‌اس‌پی، به منظور نصب و پیکربندی وی‌پی‌ان، یک ان‌ای‌اس را پیکربندی و نرم‌افزاری را در اختیار کاربران از راه دور به منظور ارتباط با سایت قرار خواهد داد. کاربران در ادامه با برقراری ارتباط قادر به دستیابی به ان‌ای‌اس و استفاده از نرم‌افزار مربوطه به منظور دستیابی به شبکه سازمان خود خواهند بود. شبکهٔ وی‌پی‌ان سایت به سایت درمدل فوق یک سازمان با توجه به سیاست‌های موجود، قادر به اتصال چندین سایت ثابت از طریق یک شبکه عمومی نظیر اینترنت است. شبکه‌های وی‌پی‌ان که از این روش استفاده می‌نمایند، خود دارای انواع مختلفی هستند: مبتنی بر اینترانت: در صورتی‌که سازمانی دارای یک یا بیش از یک محل (راه دور) بوده و تمایل به الحاق آن‌ها در یک شبکه اختصاصی داشته باشد، می‌تواند یک وی‌پی‌ان مبتنی بر اینترانت را به منظور برقراری ارتباط هر یک از شبکه‌های محلی بایکدیگر ایجاد کند. مبتنی بر اکسترانت: در مواردی که سازمانی در تعامل اطلاعاتی بسیار نزدیک با سازمان دیگر باشد، می‌تواند یک اکسترانت‌وی‌پی‌ان را به منظور ارتباط شبکه‌های محلی هر یک از سازمان‌ها ایجاد کند. استفاده از وی‌پی‌ان برای یک سازمان دارای مزایای متعددی است، از جمله: گسترش محدوده جغرافیائی ارتباطی، بهبود وضعیت امنیت، کاهش هزینه‌های عملیاتی در مقایسه با روش‌های سنتی ون ، کاهش زمان ارسال و حمل اطلاعات برای کاربران از راه دور، بهبود بهره‌وری، توپولوژی آسان و… تونل‌زنی در وی‌پی‌ان وی‌پی‌ان دو رایانه یا دو شبکه را به کمک یک شبکه دیگر که به عنوان مسیر انتقال به کار می‌گیرد به هم متصل می‌کند. برای نمونه می‌توان دو رایانه یکی در تهران، و دیگری در مشهد که در فضای اینترنت به یک شبکه وصل شده‌اند اشاره کرد. داده‌هایی که روی این ارتباط آمدوشد دارند را سرویس‌گیرنده نخست به رمز درآورده و در قالب بسته‌ها بسته‌بندی کرده و به سوی سرویس‌دهندهٔ وی‌پی‌ان می‌فرستد. سرویس گیرنده وی‌پی‌ان بسته هارا پس از دریافت رمز گشایی کرده و پردازش لازم را روی آن انجام می‌دهد. روشی که شرح داده شد را اغلب تونل‌زنی می‌نامند زیرا داده‌ها برای رسیدن به کامپیوتر مقصد از چیزی مانند تونل عبور می‌کنند. برای پیاده‌سازی وی‌پی‌ان راه‌های گوناگونی وجود دارد که پر کاربردترین آن‌ها عبارتند از: قرار تونل‌زنی نقطه به نقطه که برای انتقال NetBEUI روی یک شبکه بر پایه آی‌پی مناسب است. تونل‌زنی اکثر شبکه‌های وی‌پی‌ان به منظور ایجاد یک شبکه اختصاصی با قابلیت دستیابی از طریق اینترنت از امکان تونل‌زنی استفاده می‌نمایند. در روش فوق تمام بسته اطلاعاتی در یک بسته دیگر قرار گرفته و از طریق شبکه ارسال خواهد شد. پروتکل مربوط به بسته اطلاعاتی خارجی (پوسته) توسط شبکه و دو نقطه (ورود و خروج بسته اطلاعاتی) قابل فهم است. تونل‌زنی مستلزم استفاده از سه پروتکل است: پروتکل حمل‌کننده: پروتکلی است که شبکهٔ حامل اطلاعات استفاده می‌نماید. با استفاده از روش تونل‌زنی می‌توان عملیات جالبی را انجام داد؛ مثلاً می‌توان از بسته‌ای اطلاعاتی که پروتکل اینترنت را حمایت نمی‌کند (نظیر NetBeui) درون یک بسته اطلاعاتی آی‌پی استفاده و آن را از طریق اینترنت ارسال نمود یا می‌توان یک بسته اطلاعاتی را که از یک آدرس آی‌پی غیرقابل روت (اختصاصی) استفاده می‌نماید، درون یک بسته اطلاعاتی که از آدرس‌های معتبر آی‌پی استفاده می‌کند، مستقر و از طریق اینترنت ارسال نمود. در شبکه‌های وی‌پی‌ان نوع سایت به سایت، از پروتکل جی‌آرای به عنوان پروتکل کپسوله‌سازی استفاده می‌گردد. فرایند فوق نحوه استقرار و بسته‌بندی پروتکل مسافر از طریق پروتکل حمل‌کننده برای انتقال را تبین می‌نماید. این فرایند شامل اطلاعاتی در رابطه با نوع بسته‌های اطلاعاتی برای کپسوله نمودن و اطلاعاتی در رابطه با ارتباط بین سرویس گیرنده و سرویس دهنده‌است. در برخی موارد از پروتکل آی‌پی‌سک (در حالت تونل) برای کپسوله‌سازی استفاده می‌گردد. پروتکل آی‌پی‌سک، قابل استفاده در دو نوع شبکه وی‌پی‌ان (سایت به سایت و دستیابی از راه دور) است. در شبکه‌های وی‌پی‌ان نوع دستیابی از راه دور، تونل‌زنی با استفاده از PPP انجام می‌گیرد. پروتکل نقطه به نقطه به عنوان حمل‌کننده سایر پروتکل‌های آی‌پی در زمان برقراری ارتباط بین یک سیستم میزبان و یک سیستم ازه دور، مورد استفاده قرار خواهد گرفت. هر یک از پروتکل‌های زیر با استفاده از ساختار اولیه PPP ایجاد و توسط شبکه‌های وی‌پی‌ان دستیابی از راه دور استفاده می‌گردند: پروتکل‌های درون تونل تونل‌زنی را می‌توان روی دو لایه از لایه‌های OSI پیاده کرد. در این حالت می‌توان از ویژگی‌های PPP همچون تعیین اعتبار کاربر، تخصیص آدرس پویا (مانند DHCP)، فشرده سازی داده‌ها یا رمزگذاری داده‌ها بهره برد. با توجه به اهمیت ایمنی انتقال داده‌ها در وی‌پی‌ان، در این میان تعیین اعتبار کاربر نقش بسیار مهمی دارد. برای این کار معمولاً از CHAP استفاده می‌شود که مشخصات کاربر را در این حالت رمزگذاری شده جابه‌جا می‌کند. در این پروتکل از مدل‌های تعیین اعتبار کاربر که توسط PPP حمایت شده‌اند استفاده شده‌است. پروتکل تونل‌زنی نقطه به نقطه پروتکل PPTP توسط کنسرسیومی متشکل از شرکت‌های متفاوت ایجاد شده‌است. این پروتکل امکان رمزنگاری ۴۰ بیتی و ۱۲۸ بیتی را دارا بوده و از مدل‌های تعیین اعتبار کاربر که توسط PPP حمایت شده‌اند، استفاده می‌نماید. از پروتکل فوق به منظور ایجاد تونل بین موارد زیر استفاده می‌گردد: سرویس گیرنده و روتر NAS و روتر روتر و روتر عملکرد تونل‌زنی مشابه حمل یک کامپیوتر توسط یک کامیون است. فروشنده، پس از بسته‌بندی کامپیوتر (پروتکل مسافر) درون یک جعبه (پروتکل کپسوله‌سازی) آن را توسط یک کامیون (پروتکل حمل‌کننده) از انبار خود (اینترفیس ورودی تونل) برای متقاضی ارسال می‌دارد. کامیون (پروتکل حمل‌کننده) از طریق بزرگراه (اینترنت) مسیر خودرا طی، تا به منزل شما (اینترفیس خروجی تونل) برسد. شما در منزل جعبه (پروتکل کپسول سازی) را باز و کامیون (پروتکل مسافر) را از آن خارج می‌نمایید. وی‌پی‌ان در ایران در حدود سال ۱۳۹۱ طرح ایجاد VPN بومی در ایران مطرح شد اما مسئولان بعدها اعلام کردند که این طرح از نظر اقتصادی با شکست مواجه شده‌است. اگرچه وی‌پی‌ان کاربردهای بسیاری دارد، اما یکی از کاربردهای اصلی وی‌پی‌ان در ایران استفاده از آن به عنوان فیلترشکن است. | ## جمع‌بندی | برای دسترسی به وی‌پی‌ان در ایران می‌توان از طریق برخی شرکت‌های سرویس‌دهنده اقدام کرد.