这份文档是深信服科技关于 VPN 概述的培训资料，核心围绕 VPN 的需求背景、分类及常用技术展开讲解，同时详细介绍了支撑 VPN 实现安全通信的密码学、身份认证及 PKI 体系等相关内容，以下是核心提取内容：
一、VPN 需求背景
- 核心需求：企业、组织等对专用网需求提升，专用网具备高性能、高速度、高安全性的优势，但物理专用网架设难度大、性价比低，且 TCP/IP 协议簇设计之初未考虑安全问题，存在固有安全缺陷，无法保证信息传输保密性。
- VPN 的诞生：为解决上述矛盾，VPN 作为公用网络基础设施上构建的逻辑专用网应运而生。
二、VPN 的定义与核心
- 定义：虚拟私有网（Virtual Private Network）依靠 ISP 或其他 NSP 在公用网络上构建的专用安全数据通信网络，是逻辑上的专线网络。
- 核心特性：虚拟（利用公共网络资源，无需实际长途数据线路）、专用（可定制符合自身需求的网络）。
- 核心技术：隧道技术，是 VPN 实现的关键。
三、VPN 的分类
文档从业务类型 和网络层次两个维度对 VPN 进行分类：
- 按业务类型
- Client-LAN VPN（Access VPN）：基于 Internet 的远程访问 VPN，适用于出差员工、远程办公分支机构安全访问企业内部网络资源，常用 PPTP/L2TP 协议。
- LAN-LAN VPN：用于不同局域网间建立安全数据传输通道，适用于企业分支机构间、企业与合作者间的网络互联，可实现 intranet 和 extranet 的 VPN 连接。
- 按网络层次 （对应 TCP/IP 协议栈层次，从下到上）
- 网络接口层：L2F/L2TP、PPTP 等
- 网络层：IPSec、GRE、Sangfor VPN 等
- 传输层 / 应用层：SSL VPN 等
四、VPN 常用技术
VPN 的实现依赖三大核心技术，其中隧道技术为基础，加解密和身份认证技术保障通信安全，具体如下：
- 隧道技术
- 隧道与技术定义：隧道是公网上构建的等效专用线路的数据路径；隧道技术通过两端的封装 / 解封装技术在公网建立数据通道传输报文，由隧道协议构建。
- 主流隧道协议对比：涵盖 GRE、L2TP、IPSec、Sangfor VPN、SSL VPN，从保护范围、使用场景、身份认证、加密验证四个维度区分，其中 IPSec、Sangfor VPN、SSL VPN 在认证和加密上支持性更优，GRE 无身份认证，L2TP 无加密验证。
- 加解密技术
- 核心目的：保护信息保密性，对抗网络被动攻击，即使数据被截取，攻击者也无法获取真实内容。
- 密码学基础：通过加密算法将明文（M）转换为密文（C），解密算法完成反向转换，主流分为对称和非对称加密算法。
- 对称加密算法：加密和解密使用同一密钥，代表算法有 IDEA、DES/3DES、RC 系列、AES；优点是速度快，缺陷是存在密钥传输风险、多用户通信时密钥管理难度大。
- 非对称加密算法：加密和解密使用不同密钥（公钥 / 私钥），二者相互依存，公钥加密仅能私钥解密，无需事先交换密钥；代表算法有 RSA、ECC、Rabin、Elgamal；优点是安全性高，缺陷是速度较慢。
- 组合使用原则：数据传输用对称加密（保证速度），对称加密的密钥通过非对称加密传输（保证密钥安全）。
- 身份认证技术
- 核心目的：标识并鉴别用户身份，防止攻击者假冒合法用户获取访问权限。
- 核心实现方式：数字签名，流程为发送者对原始信息做 HASH 运算得到信息摘要，用自身私钥签名生成数字签名，与原始信息一同传输；接收者用发送者公钥验证签名，同时对原始信息做 HASH 运算，对比两个摘要验证信息真实性。
- 公钥真实性问题：存在黑客篡改公钥的风险，导致接收者无法确认公钥归属，需引入可信第三方解决。
- PKI 体系与 CA 认证
- PKI（公开密钥体系）：利用非对称加密技术构建的安全基础平台，通过 CA 认证中心管理公钥证书，实现公钥与用户身份的绑定，保证身份验证的有效性。
- CA（证书授权中心）：作为受信任的第三方，核心作用是签发、管理、废除数字证书，为用户发放数字证书证明公钥合法归属，其数字签名可防止证书伪造篡改，CA 体系分根 CA、一级 CA、二级 CA 等层级。
- 数字证书：经 CA 签名的文件，包含用户身份信息、公钥信息、CA 数字签名，按用途分为签名证书（保证信息真实、不可否认）和加密证书（保证信息机密、完整），按类型分为设备证书、用户证书、根证书。
五、安全应用案例
- 通用数据传输安全流程：结合对称加密、非对称加密、数字签名、数字证书，实现数据传输的机密性、真实性和完整性，如用接收方公钥加密对称密钥，发送方私钥签名原始信息，接收方通过 CA 验证发送方证书和公钥，再完成解密和签名验证。
- HTTPS 协议：为解决 HTTP 明文传输的安全问题，在 SSL 协议基础上构建；SSL 握手时传输并验证服务器证书，证书可信则建立安全连接并交换加密数据，证书不可信则浏览器提示风险。