虚拟专有网络

**虛擬私人網路**（英語：virtual private network，縮寫：**VPN**）將專用網路延伸到公共網路上，使使用者能夠在共享或公共網路上傳送和接收資料，就像他們的計算裝置直接連接到專用網路上一樣。VPN 的好處包括增加專用網路的功能、安全性和管理，它提供了對公共網路上無法存取的資源存取通常用於遠端辦公人員。加密很常見但不是 VPN 連接的原生部分。

VPN 是通過使用專用線路或在現有網路上使用隧道協定建立一個虛擬的對等連接而形成的。可從公共 Internet 獲得的 VPN 可以提供廣域網路 (WAN) 的一些好處。 從使用者的角度來看，可以遠端存取專用網路中可用的資源。

## 類別

虛擬私人網路絡可分為幾個類別:

### 遠端存取

主機到網路的組態類似於將一台電腦連接到一個區域網路。此類型提供對企業網路（例如 Intranet）的存取。這可用於需要存取私人資源的遠端辦公人員，或移動工作者能夠存取重要的工具而不暴露在公共網際網路上。

### 站點 - 站點

站點對站點的組態連接兩個網路。這種組態將一個網路擴充到地理位置上不同的辦公室，或將一組辦公室擴充到一個資料中心。互連鏈路可能執行在不同的中間網路上，例如通過 IPv4 網路連接的兩個 IPv6 網路。。

### 基於外聯網的站點對站點

在站點對站點組態的背景下，術語 intranet 和 extranet 被用來描述兩種不同的使用情況。intranet 站點對站點 VPN 描述了一種組態，由 VPN 連接的站點屬於同一個組織，而 extranet 站點對站點 VPN 則連接了屬於多個組織的站點。

通常情況下，個人與遠端存取 VPN 互動，而企業則傾向於利用站點與站點之間的連接來實現企業與企業、雲端運算和分支機構的場景。儘管如此，這些技術並不相互排斥，在一個非常複雜的商業網路中，可以結合起來，實現對位於任何特定站點的資源的遠端存取，例如位於資料中心的訂購系統。

VPN 系統也可按以下方式分類:

* 用於傳輸流量的隧道協定
* 隧道的終止點位置，例如在客戶邊緣或網路供應商邊緣
* 連接的拓撲結構類型，如站點到站點或網路到網路
* 提供的安全級別
* 它們呈現給連接網路的 OSI 層，如第 2 層電路或第 3 層網路連接
* 同時連接的數量

## 安全性

VPN 不能使線上連接完全匿名，但它們通常可以增加隱私和安全。為了防止私人資訊的泄露，VPN 通常只允許使用隧道協定和加密技術的認證遠端存取。

###### VPN 的安全模式提供：

* 保密性，即使網路流量在封包層面被嗅探到（網路嗅探器和深度封包檢查），攻擊者也只能看到加密的資料。
* 發件人認證，防止未經授權的使用者存取 VPN
* 資訊完整性，以檢測任何竄改傳輸資訊的情況。

###### 安全 VPN 協定包括以下內容：

* 網際網路協定安全（IPsec）最初是由網際網路工程任務組（IETF）為 IPv6 開發的，在 RFC 6434 將其作為建議之前，所有符合標準的 IPv6 實施中都要求使用該協定。這個基於標準的安全協定也被廣泛用於 IPv4 和第二層隧道協定。它的設計符合大多數安全目標：可用性、完整性和保密性。IPsec 使用加密技術，將 IP 封包封裝在 IPsec 封包內。解封發生在隧道的末端，原始的 IP 封包被解密並轉發到其預定的目的地。
  * IKEv2 是一個縮寫，代表網際網路金鑰交換第二卷。它是由微軟和思科建立的，與 IPSec 一起用於加密和認證。它的主要用途是在行動裝置上，無論是 3G 還是 4G LTE 網路，因為它能在連接遺失時有效地重新連接。
* 傳輸層安全（SSL/TLS）可以對整個網路的流量進行隧道化處理（如 OpenVPN 專案和 SoftEther VPN 專案）或確保單個連接的安全。一些供應商通過 SSL 提供遠端存取 VPN 功能。SSL VPN 可以從 IPsec 遇到網路位址轉換和防火牆規則問題的地方連接。
* 資料報傳輸層安全（DTLS）在 Cisco AnyConnect VPN 和中使用，以解決 SSL/TLS 在 TCP 上進行隧道傳輸的問題（在 TCP 上進行隧道傳輸會導致巨大的延遲和連接中止）。
* 微軟對等加密（MPPE）與對等隧道協定以及其他平台上的一些相容實現一起工作。
* 微軟安全通訊端隧道協定（SSTP）通過 SSL/TLS 通道對對等協定（PPP）或第 2 層隧道協定的流量進行加密（SSTP 在 Windows Server 2008 和 Windows Vista Service Pack 1 中引入）。
* 多路徑虛擬私人網路絡（MPVPN）。Ragula 系統開發公司擁有註冊商標 "MPVPN"。
* Secure Shell（SSH）VPN - OpenSSH 提供 VPN 隧道（有別於通訊埠轉發），以確保遠端連接到網路或網路間連結。OpenSSH 伺服器提供有限數量的並行隧道。VPN 功能本身不支援個人認證。
* WireGuard 是一種協定。2020 年，Linux 和安卓核心都增加了對 WireGuard 的支援，使其被 VPN 供應商採用。預設情況下，WireGuard 利用 Curve25519 進行金鑰交換，利用 ChaCha20 進行加密，但也包括在客戶端和伺服器之間預先共享對稱金鑰的能力。

### 認證

在建立安全的 VPN 隧道之前，必須對隧道端點進行認證。使用者建立的遠端存取 VPN 可以使用密碼、生物辨識技術、雙因素認證或其他加密方法。網路到網路的隧道通常使用密碼或數位憑證。它們永久地儲存金鑰，使隧道自動建立，不需要管理員的干預。

## 受信任的網路

可信的 VPN 不使用加密隧道，而是依靠單一供應商的網路安全來保護流量。。

* 多協定標籤交換（MPLS）經常覆蓋 VPN，通常在可信傳輸網路上進行服務品質控制。
* L2TP 是一種基於標準的替代方案，也是對兩種專有 VPN 協定的折衷方案，吸取了每種協定的優良特性。思科的第二層轉發（L2F)（2009 年已經過時）和微軟的對等隧道協定（PPTP）。

從安全角度看，VPN 要麼信任底層傳輸網路，要麼必須用 VPN 本身的機制來執行安全。除非受信任的傳輸網路只在物理上安全的站點之間執行，否則受信任的和安全的模式都需要一個認證機制，以使使用者獲得對 VPN 的存取。

## 移動環境中的 VPN

移動虛擬私人網路絡用於 VPN 的端點不固定在一個 IP 位址上，而是在各種網路中漫遊，如手機運營商的資料網路或在多個 Wi-Fi 存取點之間漫遊，而不會中斷安全的 VPN 對談或遺失應用對談。 移動 VPN 廣泛用於公共安全領域，使執法人員能夠存取電腦輔助排程和犯罪資料庫等應用，並用於有類似要求的其他組織，如現場服務管理和醫療保健。

## 網路限制

傳統 VPN 的局限性在於它們是對等的連接，往往不支援廣播域；因此，基於第二層和廣播包的通信、軟體和網路，如 Windows 網路中使用的 NetBIOS，可能無法像區域網路那樣得到完全支援。VPN 的變種，如虛擬專用區域網路服務（VPLS）和第二層隧道協定是為了克服這一限制。

## 使用

許多公司企業的員工等使用虛擬私人網路（VPN）來存取其內部的網路，以達到遠程辦公的作用。

也有部分使用者使用商業 VPN 服務來解決網際網路隱私安全、繞開內容提供網站的的地區限制等問題。

在中國大陸，由於中國大陸境內對海外網路的限制及封鎖，中國大陸興起以採用虛擬私人網路連接外國網路的突破網路審查方法，俗稱翻牆。許多外資公司、學術單位因欲連回海外網站，也多自行架設 VPN 或採用付費的 VPN 服務。2020 年 5 月，中華人民共和國十三屆全國人大三次會議表決通過《全國人民代表大會關於建立健全香港特別行政區維護國家安全的法律制度和執行機制的決定》，當局雖暫未對香港網際網路進行明顯網路審查，但己有網站被香港政府以《國安法》名義下要求香港電信商作出封鎖，引發香港民眾對網際網路隱私的關注，導致「VPN」相關的內容在香港的搜尋量大升。

## 常見誤解

* 虛擬私人網路不會讓網際網路變得「私有」。即使 IP 位址被隱藏，通過跟蹤 cookie 和裝置指紋仍然可以找到使用者。
* 虛擬私人網路不會使使用者免於駭客襲擊。
* 虛擬私人網路本身並不是一種良好的網際網路隱私保護手段 —— 信任負擔直接從 ISP 轉移到 VPN 服務提供商。

## 參見

* MVPN
* 代理伺服器

## 參考文獻

## 外部連結