IPsec VPN

IPsec VPN英文名Internet Protocol Security,通过IPsec实现远程接入等, IPSEC是一套比较完整成体系的VPN技术，它规定了一系列的协议标准。

常见的IPSEC VPN 类型有 站到站（site to site 或者是LAN TO LAN）、easy VPN（远程访问VPN）、DMVPN（动态多点VPN）、GET VPN（Group Encrypted Transport(GET) VPN ）等。

找寻节点设备

怎样找到vpn节点设备

假如设备都是动态拨号方式的话，那么一定需要一个合适的静态的第三方来进行解析。相当于两个总是不停搬家的人，要合适找到对方，一定需要一个大家都认识的朋友，这个朋友不搬家，两个人都能够联系上他。

静态的第三方，常见的有3种实现方式：

通过网页

这是深信服公司发明的一种技术，通过Web页解析ip地址。因此，动态的设备，可以通过这种方式，把自己当前的IP地址提交上去。其他设备可以通过网页再查询回来。这样，设备之间就可以互相通过这个网页找到。因为网页是相对固定的，所以这种方式能够很有效地解决这个问题。这种方式能够有效地分散集中认证的风险，而且很容易实现备份，属于比较巧妙的一种解决方案。当然，对于Web页可能存在比较多的攻击，因此，要注意安全防范。

通过一个集中的服务器

实现统一解析，然后给用户进行分组。每个vpn设备只能看到同组的其他设备，不能跨组访问。也可以通过目录服务器实现。这种方式适合集中式的VPN，在企业总部部署服务器，实现全局设备的统一认证和管理。它不太适合零散用户的认证，因为存在一个信任问题，客户会置疑管理服务器如果出现了问题，有可能其他设备就能够连接到自己的vpn域里面。这种大型的集中vpn管理软件，在很多国内外的vpn厂商都有专门的设备或软件，它除了能够进行动态IP地址解析，还能够实现在线认证等等功能。如果管理中心比较职能的话，可以集中制订通讯策略，下面的vpn设备配置参数比较少。

通过DDNS

即动态域名。动态域名是一种相对比较平衡的技术。Vpn设备拨号以后，把自己当前的IP地址注册给一级域名服务器，并且更新自己的二级域名IP地址，internet其他用户，通过这个二级域名就可以查找到它。以上讲述了三种动态IP地址的解析方法，国内一般厂家提供的无外乎这几种方法。如果再有比较偏门的技术，也许就不是主流技术了。

解决了动态IP地址问题，按照之前的通讯模型，不考虑VPN设备很多的情况，就可以组网。因此，一旦这种技术被越来越多的厂家掌握，基于IPsec vpn设备和软件是一定会价格下降的。It技术从朝阳变成夕阳就是转眼之间的事情。

第二个问题 隧道如何建立

解决了Ip地址动态寻址的问题，现在来说一下Nat穿越的问题。我们知道，Udp和TCP是可以穿越防火墙的。直接的IPsec封装，不能穿越防火墙，因为防火墙需要更改端口信息，这样回来的数据包，才能转到正确的内部主机。用UDP显然比较合适，因为使用tcp的话，不仅三次握手占据时间很长，而且还有来回的确认。而实际上，这些工作属于ipsec内部封装的报文要干的事情，放在这里完成是不合适的。因此，用udp来封装ipsec报文，以穿越nat，几乎是唯一可以选择的方案。

用udp穿越nat防火墙，这只解决了问题的一半，因为这要求至少有一方处于Internet公网上面。有可路由的IP地址。而有时会发生两个vpn节点都在nat之后的情景，这只能通过第三方转发来完成。即两个设备都可以与第三方设备互通，第三方设备为双方进行转发。这个可以通过之前的模型解析，老张老李不能直接通讯，他们都可以与老王通讯，老王就可以在中间进行转发。凡是小李小张的通讯，交给他们老爸以后，老王最后再进行转交。这是隧道路由的概念就很清晰了，不能一个隧道直接到达，可以在几个隧道之间转发。

所以，IPsec vpn并不神秘。所有核心的工作无非就是围绕以下几个方面展开：

如何找到与本VPN节点相关的其他节点。

协商出一个可以通讯的隧道。如果是nat之后，应该怎么处理。

建立隧道路由表，确定不同的目标地址，走不同的隧道。

假定以上的问题都得到了解决，通过某种方式，动态IP地址的VPN节点可以相互找到对方，并且能够建立隧道，因此也能够实现隧道路由通讯。是不是一个完整的VPN就能够实现了呢？？

答案仍然是否，解决了以上问题，并不代表一个很好用的VPN产品，仍然有其他很多问题。之后的问题是围绕着复杂性展开的，简单的原理实现之后，剩下的工作就是要解决掉全部相关的边缘问题。才能够实现一个好用的东西。能够用是一回事，好用是另外一回事。

. ipsec vpn 技术的特性:

在使用公网传送内部专网的内容时，ipsec vpn 在ip传输上通过加密隧道，保证在ip公网上传输的数据的安全性，从而实现总部到分支机构之间的语音，视频等数据的互通。如今，很多国际的企业已经把vpn作为总部到分支机构的主要连接手段，比如的国际大型的组织，商业机构，连锁门店已经采用vpn这种安全的技术。
　　1经济，企业不再承担实施昂贵的固定线路的租费，而且带宽的费用很高，相反采用吧internet作为骨干传输是非常便宜的，而其基本不用花费资金来做后期的维护，并且vpn设备的造价相比之下相对低廉。
　　2 灵活性很强，连接internet的方式可以多种，一个ipsec vpn 网路可以连接任意地点的分支机构
　　3.多业务：可以同时支持语音和视频传递到远端的分支机构和移动用户，大大提高了现代化办公的以及其他的数据需求。
　　4 安全性;安全是ipsec vpn 的显著特点，保证数据的 安全是该技术的根本所在。在vpn设备上，支持通道协议，数据加密，过滤
　　通过实现授权的多种方式保证安全，同时提供内置防火墙的功能，可以在vpn 通道之外，对公网到私网之间的数据进行监测过滤。

　　5：冗余设计：vpn 设备提供冗余机制，保证链路和设备的可靠性。
　　6 通道分离：vpn设备的通道分离特性为 ipsec 提供 客户端同时访问公网私网的支持。访问本地网络可以设置用户的访问权限

该特性在安全的条件下实现看合理方便的使用网络资源。

7：支持动态 静态的路由协议，rip 和ospf 路由协使得vpn设备冲路由器的功能。在扩大网路的规模的同时并实现看安全功能，

　　并且路由协议可以加密在隧道中进行安全传输。