虛擬私人網路（，縮寫：VPN）將專用網路延伸到公共網路上，使使用者能夠在共享或公共網路上傳送和接收資料，就像他們的計算裝置直接連線到專用網路上一樣。VPN 的好處包括增加專用網路的功能、安全性和管理，它提供了對公共網路上無法訪問的資源訪問通常用於遠端辦公人員。加密很常見但不是 VPN 連線的固有部分。 VPN 是透過使用專用線路或在現有網路上使用隧道協議建立一個虛擬的點對點連線而形成的。可從公共 Internet 獲得的 VPN 可以提供廣域網（WAN）的一些好處。 從使用者的角度來看，可以遠端訪問專用網路中可用的資源。 類別 虛擬專用網路主要分為以下三個類別類別 遠端訪問 主機到網路的配置類似於將一臺計算機連線到一個區域網。此型別提供對企業網路（例如 Intranet）的訪問。這可用於需要訪問私人資源的遠端辦公人員，或移動工作者能夠訪問重要的工具而不暴露在公共網際網路上。 站點 站點 站點對站點的配置連線兩個網路。這種配置將一個網路擴充套件到地理位置上不同的辦公室，或將一組辦公室擴充套件到一個數據中心。互連鏈路可能執行在不同的中間網路上，例如透過 IPv4 網路連線的兩個 IPv6 網路。。 基於外聯網的站點對站點 在站點對站點配置的背景下，術語 intranet 和 extranet 被用來描述兩種不同的使用情況。intranet 站點對站點 VPN 描述了一種配置，由 VPN 連線的站點屬於同一個組織，而 extranet 站點對站點 VPN 則連線了屬於多個組織的站點。 通常情況下，個人與遠端訪問 VPN 互動，而企業則傾向於利用站點與站點之間的連線來實現企業與企業、雲計算和分支機構的場景。儘管如此，這些技術並不相互排斥，在一個非常複雜的商業網路中，可以結合起來，實現對位於任何特定站點的資源的遠端訪問，例如位於資料中心的訂購系統。 VPN 系統也可按以下方式分類 用於傳輸流量的隧道協議 隧道的終止點位置，例如在客戶邊緣或網路供應商邊緣 連線的拓撲結構型別，如站點到站點或網路到網路 提供的安全級別 它們呈現給連線網路的 OSI 層，如第 2 層電路或第 3 層網路連線 同時連線的數量 安全性 VPN 不能使線上連線完全匿名，但它們通常可以增加隱私和安全。為了防止私人資訊的洩露，VPN 通常只允許使用隧道協議和加密技術的認證遠端訪問。 VPN 的安全模式提供： 保密性，即使網路流量在資料包層面被嗅探到（網路嗅探器和深度資料包檢查），攻擊者也只能看到加密的資料。 發件人認證，防止未經授權的使用者訪問 VPN 資訊完整性，以檢測任何竄改傳輸資訊的情況。 安全 VPN 協議包括以下內容： 網際網路協議安全（IPsec）最初是由網際網路工程任務組（IETF）為 IPv6 開發的，在 RFC 6434 將其作為建議之前，所有符合標準的 IPv6 實施中都要求使用該協議。這個基於標準的安全協議也被廣泛用於 IPv4 和第二層隧道協議。它的設計符合大多數安全目標：可用性、完整性和保密性。IPsec 使用加密技術，將 IP 資料包封裝在 IPsec 資料包內。解封發生在隧道的末端，原始的 IP 資料包被解密並轉發到其預定的目的地。 IKEv2（網際網路金鑰交換第二卷）。它是由微軟和思科建立的，與 IPSec 一起用於管理 IPsec 上的安全關聯（加密配置方式和金鑰交換）。 傳輸層安全（SSLTLS）可以對整個網路的流量進行隧道化處理（如 OpenVPN 專案和 SoftEther VPN 專案）或確保單個連線的安全。一些供應商透過 SSL 提供遠端訪問 VPN 功能。SSL VPN 可以從 IPsec 遇到網路地址轉換和防火牆規則問題的地方連線。 資料報傳輸層安全（DTLS）在 Cisco AnyConnect VPN 和中使用，以解決 SSLTLS 在 TCP 上進行隧道傳輸的問題（在 TCP 上進行隧道傳輸會導致巨大的延遲和連線中止）。 微軟點對點加密（MPPE）與點對點隧道協議以及其他平臺上的一些相容實現一起工作。 微軟安全套接字隧道協議（SSTP）透過 SSLTLS 通道對點對點協議（PPP）或第 2 層隧道協議的流量進行加密（SSTP 在 Windows Server 2008 和 Windows Vista Service Pack 1 中引入）。 多路徑虛擬專用網路（MPVPN）。Ragula 系統開發公司擁有註冊商標 MPVPN。 Secure Shell（SSH）VPN OpenSSH 提供 VPN 隧道（有別於埠轉發），以確保遠端連線到網路或網路間連結。OpenSSH 伺服器提供有限數量的併發隧道。VPN 功能本身不支援個人認證。 WireGuard 是一種協議。2020 年，Linux 和安卓核心都增加了對 WireGuard 的支援，使其被 VPN 供應商採用。預設情況下，WireGuard 利用 Curve25519 進行金鑰交換，利用 ChaCha20 進行加密，但也包括在客戶端和伺服器之間預先共享對稱金鑰的能力。 認證 在建立安全的 VPN 隧道之前，必須對隧道端點進行認證。使用者建立的遠端訪問 VPN 可以使用密碼、生物識別技術、雙因素認證或其他加密方法。網路到網路的隧道通常使用密碼或數字證書。它們永久地儲存金鑰，使隧道自動建立，不需要管理員的干預。 受信任的網路 可信的 VPN 不使用加密隧道，而是依靠單一供應商的網路安全來保護流量。。 多協議標籤交換（MPLS）經常覆蓋 VPN，通常在可信傳輸網路上進行服務質量控制。 L2TP 是一種基於標準的替代方案，也是對兩種專有 VPN 協議的折衷方案，吸取了每種協議的優良特性。思科的第二層轉發（L2F（2009 年已經過時）和微軟的點對點隧道協議（PPTP）。 從安全形度看，VPN 要麼信任底層傳輸網路，要麼必須用 VPN 本身的機制來執行安全。除非受信任的傳輸網路只在物理上安全的站點之間執行，否則受信任的和安全的模式都需要一個認證機制，以使使用者獲得對 VPN 的訪問。 移動環境中的 VPN 移動虛擬專用網路用於 VPN 的端點不固定在一個 IP 地址上，而是在各種網路中漫遊，如手機運營商的資料網路或在多個 WiFi 接入點之間漫遊，而不會中斷安全的 VPN 會話或丟失應用會話。 移動 VPN 廣泛用於公共安全領域，使執法人員能夠訪問計算機輔助排程和犯罪資料庫等應用，並用於有類似要求的其他組織，如現場服務管理和醫療保健。 網路限制 傳統 VPN 的侷限性在於它們是點對點的連線，往往不支援廣播域；因此，基於第二層和廣播包的通訊、軟體和網路，如 Windows 網路中使用的 NetBIOS，可能無法像區域網那樣得到完全支援。VPN 的變種，如虛擬專用區域網服務（VPLS）和第二層隧道協議是為了克服這一限制。 使用 許多公司企業的員工等使用虛擬私人網路（VPN）來訪問其內部的網路，以達到遠端辦公的作用。 也有部分使用者使用商業 VPN 服務來解決網際網路隱私安全、繞開內容提供網站的地區限制等問題。 在中國大陸，由於防火長城導致中國大陸境內對海外網路的限制及封鎖，中國大陸興起以採用虛擬私人網路連線外國網路的突破網路審查方法，俗稱翻牆。許多外資公司、學術單位因欲連回海外網站，也多自行架設 VPN 或採用付費的 VPN 服務。 2020 年 5 月，中華人民共和國十三屆全國人大三次會議表決透過《全國人民代表大會關於建立健全香港特別行政區維護國家安全的法律制度和執行機制的決定》，當局雖暫未對香港網際網路進行明顯網路審查，但已有網站被香港政府以《國安法》名義下要求香港電訊商作出封鎖，引發香港民眾對網際網路隱私的關注，導致 VPN 相關的內容在香港的搜尋量大升。 常見誤解 虛擬私人網路不會讓網際網路變得 私有。即使 IP 地址被隱藏，透過跟蹤 cookie 和裝置指紋仍然可以找到使用者。 虛擬私人網路不會使使用者免於駭客襲擊。 虛擬私人網路本身並不是一種良好的網際網路隱私保護手段 信任負擔直接從 ISP 轉移到 VPN 服務提供商。 參見 MVPN 代理伺服器 參考文獻 外部連結 Category 網路結構 Category 網路安全 Category 網路隱私 Category 代理軟體 Category 翻牆軟體