虛擬私人網路

<image>

虛擬私人網路（Virtual Private Network，縮寫：VPN）將專用網絡延伸到公共網路上，使使用者能夠在共享或公共網路上發送和接收數據，就像他們的計算設備直接連接到專用網絡上一樣。VPN的好處包括增加專用網絡的功能、安全性和管理，它提供了對公共網路上無法訪問的資源訪問通常用於遠程辦公人員。加密很常見但不是VPN連接的固有部分。

VPN是通過使用專用線路或在現有網路上使用隧道協議建立一個虛擬的點對點連接而形成的。可從公共 Internet 獲得的 VPN可以提供廣域網（WAN）的一些好處。從使用者的角度來看，可以遠程訪問專用網絡中可用的資源。

## 類別

虛擬專用網絡主要分為以下三個類別:

### 遠程訪問

主機到網路的配置類似於將一台電腦連接到一個區域網。此類型提供對企業網路（例如 Intranet）的訪問。這可用於需要訪問私人資源的遠程辦公人員，或移動工作者能夠訪問重要的工具而不暴露在公共網際網路上。

### 站點-站點

站點對站點的配置連接兩個網路。這種配置將一個網路擴展到地理位置上不同的辦公室，或將一組辦公室擴展到一個數據中心。互連鏈路可能運行在不同的中間網路上，例如通過 IPv4 網路連接的兩個 IPv6 網路。

### 基於外聯網的站點對站點

在站點對站點配置的背景下，術語intranet和extranet被用來描述兩種不同的使用情況。intranet站點對站點VPN描述了一種配置，由VPN連接的站點屬於同一個組織，而extranet站點對站點VPN則連接了屬於多個組織的站點。

通常情況下，個人與遠程訪問VPN互動，而企業則傾向於利用站點與站點之間的連接來實現企業與企業、雲計算和分支機構的場景。儘管如此，這些技術並不相互排斥，在一個非常複雜的商業網路中，可以結合起來，實現對位於任何特定站點的資源的遠程訪問，例如位於數據中心的訂購系統。

VPN系統也可按以下方式分類:

- 用於傳輸流量的隧道協議
- 隧道的終止點位置，例如在客戶邊緣或網路供應商邊緣
- 連接的拓撲結構類型，如站點到站點或網路到網路
- 提供的安全級別
- 它們呈現給連接網路的OSI層，如第2層電路或第3層網路連接
- 同時連接的數量

## 安全性

VPN不能使在線連接完全匿名，但它們通常可以增加隱私和安全。為了防止私人資訊的洩露，VPN通常只允許使用隧道協議和加密技術的認證遠程訪問。

### VPN的安全模式提供：

- 保密性，即使網路流量在數據包層面被嗅探到（網路嗅探器和深度數據包檢查），攻擊者也只能看到加密的數據。
- 發件人認證，防止未經授權的使用者訪問VPN
- 資訊完整性，以檢測任何竄改傳輸資訊的情況。

### 安全VPN協議包括以下內容：

- 網際網路協議安全（IPsec）最初是由網際網路工程任務組（IETF）為IPv6開發的，在RFC 6434將其作為建議之前，所有符合標準的IPv6實施中都要求使用該協議。這個基於標準的安全協議也被廣泛用於IPv4和第二層隧道協議。它的設計符合大多數安全目標：可用性、完整性和保密性。IPsec使用加密技術，將IP數據包封裝在IPsec數據包內。解封發生在隧道的末端，原始的IP數據包被解密並轉發到其預定的目的地。
- IKEv2（網際網路密鑰交換第二卷）。它是由微軟和思科創建的，與IPSec一起用於管理IPsec上的安全關聯（加密配置方式和密鑰交換）。
- 傳輸層安全（SSL/TLS）可以對整個網路的流量進行隧道化處理（如OpenVPN項目和SoftEther VPN項目）或確保單個連接的安全。一些供應商通過SSL提供遠程訪問VPN功能。SSL VPN可以從IPsec遇到網路地址轉換和防火牆規則問題的地方連接。
- 數據報傳輸層安全（DTLS）在Cisco AnyConnect VPN和中使用，以解決SSL/TLS在TCP上進行隧道傳輸的問題（在TCP上進行隧道傳輸會導致巨大的延遲和連接中止）。
- 微軟點對點加密（MPPE）與點對點隧道協議以及其他平台上的一些兼容實現一起工作。
- 微軟安全套接字隧道協議（SSTP）通過SSL/TLS通道對點對點協議（PPP）或第2層隧道協議的流量進行加密（SSTP在Windows Server 2008和Windows Vista Service Pack 1中引入）。
- 多路徑虛擬專用網絡（MPVPN）。Ragula系統開發公司擁有註冊商標 "MPVPN"。
- Secure Shell（SSH）VPN - OpenSSH提供VPN隧道（有別於埠轉發），以確保遠程連接到網路或網路間連結。OpenSSH伺服器提供有限數量的並發隧道。VPN功能本身不支持個人認證。
- WireGuard是一種協議。2020年，Linux和安卓內核都增加了對WireGuard的支持，使其被VPN供應商採用。默認情況下，WireGuard利用Curve25519進行密鑰交換，利用ChaCha20進行加密，但也包括在客戶端和伺服器之間預先共享對稱密鑰的能力。

### 認證

在建立安全的VPN隧道之前，必須對隧道端點進行認證。使用者創建的遠程訪問VPN可以使用密碼、生物識別技術、雙因素認證或其他加密方法。網路到網路的隧道通常使用密碼或數字證書。它們永久地存儲密鑰，使隧道自動建立，不需要管理員的干預。

## 受信任的網路

可信的VPN不使用加密隧道，而是依靠單一供應商的網路安全來保護流量。

- 多協議標籤交換（MPLS）經常覆蓋VPN，通常在可信傳輸網路上進行服務質量控制。
- L2TP是一種基於標準的替代方案，也是對兩種專有VPN協議的折衷方案，吸取了每種協議的優良特性。思科的第二層轉發（L2F)（2009年已經過時）和微軟的點對點隧道協議（PPTP）。

從安全角度看，VPN要麼信任底層傳輸網路，要麼必須用VPN本身的機制來執行安全。除非受信任的傳輸網路只在物理上安全的站點之間運行，否則受信任的和安全的模式都需要一個認證機制，以使使用者獲得對VPN的訪問。

## 移動環境中的 VPN

移動虛擬專用網絡用於VPN的端點不固定在一個IP位址上，而是在各種網路中漫遊，如手機運營商的數據網路或在多個Wi-Fi接入點之間漫遊，而不會中斷安全的VPN會話或丟失應用會話。移動VPN廣泛用於公共安全領域，使執法人員能夠訪問電腦輔助調度和犯罪資料庫等應用，並用於有類似要求的其他組織，如現場服務管理和醫療保健。

## 網路限制

傳統VPN的局限性在於它們是點對點的連接，往往不支持廣播域；因此，基於第二層和廣播包的通信、軟體和網路，如Windows網路中使用的NetBIOS，可能無法像區域網那樣得到完全支持。VPN的變種，如虛擬專用區域網服務（VPLS）和第二層隧道協議是為了克服這一限制。

## 法規限制

2026年3月，中華人民共和國湖北省有人因「未經批准擅自使用」其榮耀終端（由華為創立的子品牌）通過虛擬私人網路（VPN）瀏覽TikTok行動應用程式（抖音的國際版本），違反了《中華人民共和國電腦資訊網路國際聯網管理暫行規定》，被中國共產黨的公安機關罰款200元人民幣。

## 使用

許多公司企業的員工等使用虛擬私人網路（VPN）來訪問其內部的網路，以達到遠程辦公的作用。

也有部分使用者使用商業VPN服務來解決網際網路隱私安全、繞開內容提供網站的地區限制等問題。

在中國大陸，由於防火長城導致中國大陸境內對海外網路的限制及封鎖，中國大陸興起以採用虛擬私人網路連接外國網路的規避網路審查方法，俗稱翻牆。許多外資公司、學術單位因欲連回海外網站，也多自行架設VPN或採用付費的VPN服務。

2020年5月，中華人民共和國十三屆全國人大三次會議表決通過《全國人民代表大會關於建立健全香港特別行政區維護國家安全的法律制度和執行機制的決定》，當局雖暫未對香港網際網路進行明顯網路審查，但已有網站被香港政府以《國安法》名義下要求香港電訊商作出封鎖，引發香港民眾對網際網路隱私的關注，導致「VPN」相關的內容在香港的搜尋量大升。

## 常見誤解

- 虛擬私人網路不會讓網際網路變得「私有」。即使IP位址被隱藏，通過跟蹤cookie和設備指紋仍然可以找到使用者。
- 虛擬私人網路不會使使用者免於黑客襲擊。
- 虛擬私人網路本身並不是一種良好的網際網路隱私保護手段——信任負擔直接從ISP轉移到VPN服務提供商。但選擇VPN服務商也很重要，服務商可能會洩露你的資訊。
- 在中國大陸，許多用於繞過防火長城的工具被通稱為VPN，但實際上它們在技術上不一定屬於VPN。