虛擬私人網路

VPN其中的例子，虛擬私人網路的訊息透過公用的網路架構（例如：網際網路）來傳送內部網的網路訊息。

虛擬私人網路（英語：Virtual Private Network，縮寫：VPN）將專用網路延伸到公共網路上，使使用者能夠在共享或公共網路上傳送和接收資料，就像他們的計算裝置直接連接到專用網路上一樣。VPN的好處包括增加專用網路的功能、安全性和管理，它提供了對公共網路上無法訪問的資源訪問通常用於遠端辦公人員。加密很常見但不是VPN連接的原生部分。

VPN是通過使用專用線路或在現有網路上使用隧道協定建立一個虛擬的對等連接而形成的。可從公共 Internet 獲得的 VPN可以提供廣域網路（WAN）的一些好處。 從使用者的角度來看，可以遠端訪問專用網路中可用的資源。

類別

虛擬私人網路絡主要分為以下三個類別類別:

遠端訪問

主機到網路的組態類似於將一台電腦連接到一個區域網路。此類型提供對企業網路（例如 Intranet）的訪問。這可用於需要訪問私人資源的遠端辦公人員，或移動工作者能夠訪問重要的工具而不暴露在公共網際網路上。

站點-站點

站點對站點的組態連接兩個網路。這種組態將一個網路擴充到地理位置上不同的辦公室，或將一組辦公室擴充到一個資料中心。互連鏈路可能執行在不同的中間網路上，例如通過 IPv4 網路連接的兩個 IPv6 網路。。

基於外聯網的站點對站點

在站點對站點組態的背景下，術語intranet和extranet被用來描述兩種不同的使用情況。intranet站點對站點VPN描述了一種組態，由VPN連接的站點屬於同一個組織，而extranet站點對站點VPN則連接了屬於多個組織的站點。

通常情況下，個人與遠端訪問VPN互動，而企業則傾向於利用站點與站點之間的連接來實現企業與企業、雲端運算和分支機構的場景。儘管如此，這些技術並不相互排斥，在一個非常複雜的商業網路中，可以結合起來，實現對位於任何特定站點的資源的遠端訪問，例如位於資料中心的訂購系統。

VPN系統也可按以下方式分類:

• 用於傳輸流量的隧道協定
• 隧道的終止點位置，例如在客戶邊緣或網路供應商邊緣
• 連接的拓撲結構類型，如站點到站點或網路到網路
• 提供的安全級別
• 它們呈現給連接網路的OSI層，如第2層電路或第3層網路連接
• 同時連接的數量

安全性

VPN不能使線上連接完全匿名，但它們通常可以增加隱私和安全。為了防止私人資訊的洩露，VPN通常只允許使用隧道協定和加密技術的認證遠端訪問。

VPN的安全模式提供：

• 保密性，即使網路流量在封包層面被嗅探到（網路嗅探器和深度封包檢查），攻擊者也只能看到加密的資料。
• 發件人認證，防止未經授權的使用者訪問VPN
• 資訊完整性，以檢測任何竄改傳輸資訊的情況。

安全VPN協定包括以下內容：

• 網際網路協定安全（IPsec）最初是由網際網路工程任務組（IETF）為IPv6開發的，在RFC 6434將其作為建議之前，所有符合標準的IPv6實施中都要求使用該協定。這個基於標準的安全協定也被廣泛用於IPv4和第二層隧道協定。它的設計符合大多數安全目標：可用性、完整性和保密性。IPsec使用加密技術，將IP封包封裝在IPsec封包內。解封發生在隧道的末端，原始的IP封包被解密並轉發到其預定的目的地。
  • IKEv2是一個縮寫，代表網際網路金鑰交換第二卷。它是由微軟和思科建立的，與IPSec一起用於加密和認證。它的主要用途是在行動裝置上，無論是3G還是4G LTE網路，因為它能在連接遺失時有效地重新連接。
• 傳輸層安全（SSL/TLS）可以對整個網路的流量進行隧道化處理（如OpenVPN專案和SoftEther VPN專案）或確保單個連接的安全。一些供應商通過SSL提供遠端訪問VPN功能。SSL VPN可以從IPsec遇到網路位址轉換和防火牆規則問題的地方連接。
• 資料報傳輸層安全（DTLS）在Cisco AnyConnect VPN和中使用，以解決SSL/TLS在TCP上進行隧道傳輸的問題（在TCP上進行隧道傳輸會導致巨大的延遲和連接中止）。
• 微軟對等加密（MPPE）與對等隧道協定以及其他平台上的一些相容實現一起工作。
• 微軟安全通訊端隧道協定（SSTP）通過SSL/TLS通道對對等協定（PPP）或第2層隧道協定的流量進行加密（SSTP在Windows Server 2008和Windows Vista Service Pack 1中引入）。
• 多路徑虛擬私人網路絡（MPVPN）。Ragula系統開發公司擁有註冊商標 "MPVPN"。
• Secure Shell（SSH）VPN - OpenSSH提供VPN隧道（有別於通訊埠轉發），以確保遠端連接到網路或網路間連結。OpenSSH伺服器提供有限數量的並行隧道。VPN功能本身不支援個人認證。
• WireGuard是一種協定。2020年，Linux和安卓核心都增加了對WireGuard的支援，使其被VPN供應商採用。預設情況下，WireGuard利用Curve25519進行金鑰交換，利用ChaCha20進行加密，但也包括在客戶端和伺服器之間預先共享對稱金鑰的能力。

認證

在建立安全的VPN隧道之前，必須對隧道端點進行認證。使用者建立的遠端訪問VPN可以使用密碼、生物辨識技術、雙因素認證或其他加密方法。網路到網路的隧道通常使用密碼或數位憑證。它們永久地儲存金鑰，使隧道自動建立，不需要管理員的干預。

受信任的網路

可信的VPN不使用加密隧道，而是依靠單一供應商的網路安全來保護流量。。

• 多協定標籤交換（MPLS）經常覆蓋VPN，通常在可信傳輸網路上進行服務品質控制。
• L2TP是一種基於標準的替代方案，也是對兩種專有VPN協定的折衷方案，吸取了每種協定的優良特性。思科的第二層轉發（L2F)（2009年已經過時）和微軟的對等隧道協定（PPTP）。

從安全角度看，VPN要麼信任底層傳輸網路，要麼必須用VPN本身的機制來執行安全。除非受信任的傳輸網路只在物理上安全的站點之間執行，否則受信任的和安全的模式都需要一個認證機制，以使使用者獲得對VPN的訪問。

移動環境中的 VPN

移動虛擬私人網路絡用於VPN的端點不固定在一個IP位址上，而是在各種網路中漫遊，如手機運營商的資料網路或在多個Wi-Fi存取點之間漫遊，而不會中斷安全的VPN對談或遺失應用對談。 移動VPN廣泛用於公共安全領域，使執法人員能夠訪問電腦輔助排程和犯罪資料庫等應用，並用於有類似要求的其他組織，如現場服務管理和醫療保健。

網路限制

傳統VPN的局限性在於它們是對等的連接，往往不支援廣播域；因此，基於第二層和廣播包的通訊、軟體和網路，如Windows網路中使用的NetBIOS，可能無法像區域網路那樣得到完全支援。VPN的變種，如虛擬專用區域網路服務（VPLS）和第二層隧道協定是為了克服這一限制。

使用

許多公司企業的員工等使用虛擬私人網路（VPN）來訪問其內部的網路，以達到遠程辦公的作用。

也有部分使用者使用商業VPN服務來解決網際網路隱私安全、繞開內容提供網站的地區限制等問題。

在中國大陸，由於防火長城導致中國大陸境內對海外網路的限制及封鎖，中國大陸興起以採用虛擬私人網路連接外國網路的突破網路審查方法，俗稱翻牆。許多外資公司、學術單位因欲連回海外網站，也多自行架設VPN或採用付費的VPN服務。

2020年5月，中華人民共和國十三屆全國人大三次會議表決通過《全國人民代表大會關於建立健全香港特別行政區維護國家安全的法律制度和執行機制的決定》，當局雖暫未對香港網際網路進行明顯網路審查，但己有網站被香港政府以《國安法》名義下要求香港電信商作出封鎖，引發香港民眾對網際網路隱私的關注，導致「VPN」相關的內容在香港的搜尋量大升。

常見誤解

• 虛擬私人網路不會讓網際網路變得「私有」。即使IP位址被隱藏，通過跟蹤cookie和裝置指紋仍然可以找到使用者。
• 虛擬私人網路不會使使用者免於駭客襲擊。
• 虛擬私人網路本身並不是一種良好的網際網路隱私保護手段——信任負擔直接從ISP轉移到VPN服務提供商。

參見

• MVPN
• 代理伺服器