虚拟专用网（VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。 虚拟专用网是对企业内部网的扩展。
虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。通过将数据流转移到低成本的压网络上，一个企业的虚拟专用网解决方案将大幅度地减少用户花费在城域网和远程网络连接上的费用。同时，这将简化网络的设计和管理，加速连接新的用户和网站。另外，虚拟专用网还可以保护现有的网络投资。随着用户的商业服务不断发展，企业的虚拟专用网解决方案可以使用户将精力集中到自己的生意上，而不是网络上。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
虚拟专用网至少应能提供如下功能：
·加密数据，以保证通过公网传输的信息即使被他人截获也不会泄露。
·信息认证和身份认证，保证信息的完整性、合法性，并能鉴别用户的身份。
·提供访问控制，不同的用户有不同的访问权限。
VPN的分类
根据VPN所起的作用，可以将VPN分为三类：VPDN、Intranet VPN和Extranet VPN。
1. VPDN（Virtual Private Dial Network）
远程用户或移动雇员和公司内部网之间的VPN，称为VPDN。实现过程如下：用户拨号NSP（网络服务提供商）的网络访问服务器NAS（Network Access Server），发出PPP连接请求，NAS收到呼叫后，在用户和NAS之间建立PPP链路，然后，NAS对用户进行身份验证，确定是合法用户，就启动VPDN功能，与公司总部内部连接，访问其内部资源。
2. Intranet VPN
在公司远程分支机构的LAN和公司总部LAN之间的VPN。通过Internet这一公共网络将公司在各地分支机构的LAN连到公司总部的LAN，以便公司内部的资源共享、文件传递等，可节省DDN等专线所带来的高额费用。
3. Extranet VPN
在供应商、商业合作伙伴的LAN和公司的LAN之间的VPN。由于不同公司网络环境的差异性，该产品必须能兼容不同的操作平台和协议。由于用户的多样性，公司的网络管理员还应该设置特定的访问控制表ACL（Access Control List），根据访问者的身份、网络地址等参数来确定他所相应的访问权限，开放部分资源而非全部资源给外联网的用户。
VPN的隧道协议
VPN区别于一般网络互联的关键于隧道的建立，然后数据包经过加密后，按隧道协议进行封装、传送以保安全性。一般，在数据链路层实现数据封装的协议叫第二层隧道协议，常用的有PPTP、L2TP等；在网络层实现数据封装的协议叫第三层隧道协议，如IPSec；另外，SOCKS v5协议则在TCP层实现数据安全。
1. PPTP（Point-to-Point Tunneling Protocol）/ L2TP（Layer 2 Tunneling Protocol）
1996年，Microsoft和Ascend等在PPP协议的基础上开发了PPTP，它集成于Windows NT Server4.0中，Windows NT Workstation和Windows 9.X也提供相应的客户端软件。PPP支持多种网络协议，可把IP、IPX、AppleTalk或NetBEUI的数据包封装在PPP包中，再将整个报文封装在PPTP隧道协议包中，最后，再嵌入IP报文或帧中继或ATM中进行传输。PPTP提供流量控制，减少拥塞的可能性，避免由包丢弃而引发包重传的数量。PPTP的加密方法采用Microsoft点对点加密（MPPE:Microsoft Point-to-Point Encryption）算法，可以选用较弱的40位密钥或强度较大的128位密钥。
1996年，Cisco提出L2F（Layer 2 Forwarding）隧道协议，它也支持多协议，但其主要用于Cisco的路由器和拨号访问服务器。1997年底，Micorosoft和Cisco公司把PPTP协议和L2F协议的优点结合在一起，形成了L2TP协议。L2TP支持多协议，利用公共网络封装PPP帧，可以实现和企业原有非IP网的兼容。还继承了PPTP的流量控制，支持MP（Multilink Protocol），把多个物理通道捆绑为单一逻辑信道。L2TP使用PPP可靠性发送（RFC1663）实现数据包的可靠发送。L2TP隧道在两端的VPN服务器之间采用口令握手协议CHAP来验证对方的身份。L2TP受到了许多大公司的支持。
●优点：PPTP/L2TP对用微软操作系统的用户来说很方便，因为微软已把它作为路由软件的一部分。PPTP/L2TP支持其他网络协议，如Novell的IPX，NetBEUI和Apple Talk协议，还支持流量控制。它通过减少丢弃包来改善网络性能，这样可减少重传。
●缺点：PPTP和L2TP将不安全的IP包封装在安全的IP包内，它们用IP帧在两台计算机之间创建和打开数据通道，一旦通道打开，源和目的用户身份就不再需要，这样可能带来问题。它不对两个节点间的信息传输进行监视或控制。PPTP和L2TP限制同时最多只能连接255个用户。端点用户需要在连接前手工建立加密信道。认证和加密受到限制，没有强加密和认证支持。
PPTP和L2TP最适合用于远程访问虚拟专用网。
IPSec技术介绍
IPSec是一个开放式标准的框架。基于IETF开发的标准，IPSec可以在一个公共IP网络上确保数据通讯的可靠性和完整性。IPSec对于实现通用的安全策略所需要的基于标准的灵活的解决方案提供了一个必备的要素。
TCP/IP协议簇提供了一个开放式协议平台，正将越来越多的部门和人员用网络连接起来，网络正在快速地改变着我们工作和生活的方式，但是安全性的缺乏已经减慢了联网的发展速度。目前网络面临的各种威胁包括保密数据的泄露、完整性的破坏、身份伪装和拒绝服务等。
首先是保密数据的泄露。一个罪犯可能会在公网上窃听保密性数据。这个可能是目前互相通信之间的最大障碍。没有加密，每个发送的信息可能被一个未被授权的组织所窃听。由于早期协议对安全考虑的匮乏，各种用户验证信息如用户名或口令均以明码在网络上传输。窃听者可以很容易得到用户的帐户信息。
其次是数据完整性的破坏。即使数据不是保密的，还要确保数据完整性。也许你不在乎别人看见你的交易过程，但你肯定在意交易是否被篡改。如果一旦你能用向银行验证你的身份，你一定想确保交易本身的内容不会被以某种方式被修改，如存款数额不会被修改。
再次是身份伪装。除了保护数据本身以外，你肯定还要保护自己的身份。一个聪明的入侵者可能会伪造你的有效身份，存取只限于你本人可存取的保密信息。目前许多安全系统依赖于IP地址来唯一地识别用户。不幸的是，这种系统很容易被欺骗并导致侵入。
另一种威胁是拒绝服务。一旦联网之后，必须确保系统随时可以工作。在过去数年内，攻击者已在TCP/IP协议簇及其具体实现中发现若干弱点，以使他们可造成某些计算机系统崩溃。
对于抵抗上述威胁保障网络安全并没有一个简单的答案。加密和验证是抵抗上述威胁保障的关键服务。很明显，如果数据在传输过程中加密，那么sniffer就不能侦听和篡改。而网络层验证可以防止身份伪装和拒绝服务。如果设备能正确识别数据的来源，那么就很难模仿一个友好的设备去实现拒绝服务的攻击。
为实现IP网络上的安全，IETF建立了一个Internet安全协议工作组负责IP安全协议和密钥管理机制的制定。经过几年的努力，该工作组提出一系列的协议，构成一个安全体系，总称为IP Security Protocol，简称为IPSec。
