VPN技术在煤矿企业信息化建设中的应用
1 前言
近年来，随着网络、尤其是网络经济的发展，企业信息化建设越来越被重视，从生产到销售、从管理运营到设备跟踪维护，企业内各个角落无不与数字化、信息化相联系。煤矿企业作为民生企业和工业能源基础，也随着时代的脉搏争相转变经营和管理理念，加快信息化建设步伐，纷纷建设自己的网络系统。但在实际建设过程中，却因为矿区多、办事处分散、相互间距离较远等因素，为网络平台的搭建带来诸多不便，比如耗资金多、网络维护困难及专业人才的匮乏等。VPN技术的应用，恰好解决了这些问题，不但实现了远程连接，而且可以节省大量的资金，同时很好地实现了数据信息的安全传输和企业信息化建设问题，因此VPN技术逐渐在各个煤矿企业的网络系统中得以应用。
2 VPN技术概述
2.1 VPN的概念
VPN（英文Virtual Private Network的缩写），即虚拟专用网络，指的是在公用网络上建立专用网络的技术。其定义尚无统一标准，有说是“建立在实际网络（或物理网络）基础上的一种功能性网络”，也有说是“通过公用网络实现远程用户或远程LAN之间互连，但仍具有专网化点的一种技术”。IETF（Internet工程任务组）将其定义为：借助于公用Internet和专用IP网而建立的虚拟广域网[1]。
之所以称其为虚拟网，主要是因为整个VPN网络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是架构在公用网络服务商所提供的网络平台，如Internet、ATM（异步传输模式）、Frame Relay（帧中继）等之上的逻辑网络，用户数据在逻辑链路中传输。它涵盖了跨共享网络或公共网络的封装、加密和身份验证链接的专用网络的扩展。
2.2 VPN的功能和关键技术
因为VPN的主要功能就是通过公用网络传输私有信息，其原理是：需要进行机密数据传输的两个端点均连接在公共通信网上，当需要进行机密数据传输时，通过端点上的 VPN 设备在公共网上建立一条虚拟的专用通信通道，并且所有数据均经过加密后再在网上传输，这样就保证了机密数据的安全传输。通过 VPN，授权的业务伙伴就可以在授权范围内使用单位内部的数据，实现数据的安全交换[2]。因此数据安全性是用户关心的首要问题，目前VPN主要通过四项关键技术来保证数据传递的安全，即隧道技术、加解密技术、密钥管理技术和身份认证技术。
（1）隧道技术
隧道技术是 VPN 的基本技术，其实质就是在公网上建立虚信道，让私有数据包通过这条信道实现安全、高速地传输。此信道即被称为“隧道”，是一种逻辑上存在、由一种协议传输另一种协议的技术，可以建立在链路层和网络层，隧道协议来实现。第二层隧道主要是PPP连接，如PPTP，L2TP，其特点是协议简单，易于加密，适合远程拨号用户；第三层隧道是IPinIP，如IPSec，其可靠性及扩展性优于第二层隧道，但没有前者简单直接。
（2）加解密技术
为了保证私有数据在传输过程中不被非法用户窃取或篡改，必须进行数据信息在发送者传输之前的加密和接收方接收之后的解密过程，这是VPN技术的核心内容之一。加密算法主要分为对称加密算法和不对称加密算法两种。在对称加密算法中，加密、解密使用同一个密钥，即通信双方共享一个密钥，发送方使用该密钥将明文加密成密文，接收方使用相同的密钥将密文还原成明文，它的好处就是运算速度快。在不对称加密算法中，加密、解密使用不同的密钥；一个是只有发送方知道的密钥，另一个则是与之对应的公开密钥，公开密钥不需保密。在通信过程中，发送方用接收方的公开密钥加密消息，并且可以用发送方的秘密密钥对消息的某一部分或全部加密，进行数字签名。接收方收到消息后，用自己的秘密密钥解密消息，并使用发送方的公开密钥解密数字签名，验证发送方身份[3]。
（3）密钥管理技术
为了使密钥能在公用网上安全地传输，VPN使用了密钥管理技术，其主要任务是如何在公用数据网上安全地传递密钥而不被窃取。现行密钥管理技术又分为SKIP与ISAKMP/OAKLEY两种。SKIP主要是利用Diffie-Hellman的演算法则，在网络上传输密钥；在ISAKMP中，双方都有两把密钥，分别用于公用、私用[4]。
（4）身份认证技术
身份认证是VPN 中又一重要技术，这可以鉴别用户或设备是否具有合法的身份和操作权限、级别，系统由此来决定是否对其开放“隧道”以及确认其可以访问哪些资源。使用者与设备认证技术最常用的是使用者名称与密码或卡片式认证等方式。
2.3 VPN技术原理
VPN系统的安装与设置，实现了分布在不同地域的专用网络或企业内部网在不可信任的公共网络（即internet）上能够安全通信。经分析，VPN系统的主要技术原理可分为以下步骤：
（1）VPN系统通过网络运营商或企业网络管理员进行相关的规则设置，在数据发送方发出数据之前，VPN设备确定是否需要对数据进行加密，还是让数据直接通过。
（2）对于需要加密的数据信息，VPN 设备将对整个数据包采取加密措施，并且附以数字签名，以提高数据包在公网上传输的安全性。
（3）VPN设备对数据包加上新的数据包头，其中包括目标（数据接收方）VPN设备需要的安全信息和一些初始化参数[5]。
（4）VPN 设备对加密后的数据、鉴别包以及源 IP 地址、目标 VPN 设备 IP 地址进行重新封装，重新封装后的数据包通过由隧道协议架设的虚拟“专用通道”（也称隧道）在公网上传输。 （5）当数据包到达目标 VPN 设备时，对目标VPN设备对其进行解封装，并且在数字签名核对无误后，对数据包解密，还原出真实数据。
2.4 VPN技术的特点和优势
首先，关于VPN技术的特点，可归纳如下几条：
（1）安全保障。VPN通过建立虚拟化的“隧道”，利用加密技术对传输数据进行加密，以保证数据的私有性和安全性。
（2）服务质量保证。VPN可以为不同要求的用户提供不同等级的服务质量保证。
（3）可扩充、灵活性。VPN支持通过Internet和Extranet的任何类型的数据流。
（4）可管理性。VPN可以从用户和运营商角度方便进行管理。
其次，对于VPN技术的实际应用和配置，还具有以下优点：
（1）VPN能够让移动员工、远程员工、商务合作伙伴和其他人利用本地可用的高速宽带网连接（如DSL、有线电视或者WiFi网络）连接到企业网络。此外，高速宽带网连接提供一种成本效率高的连接远程办公室的方法。
（2）设计良好的宽带VPN是模块化的和可升级的。这种技术能够让应用者使用一种很容易设置的互联网基础设施，让新的用户迅速和轻松地添加到这个网络[1]。这种能力意味着企业不用增加额外的基础设施就可以提供大量的容量和应用。
（3）VPN能提供高水平的安全，使用高级的加密和身份识别协议保护数据避免受到窥探，阻止数据窃贼和其他非授权用户接触这种数据。
3 煤矿企业与VPN技术相结合
3.1 VPN在煤矿企业中的应用
现代煤矿企业的规模不断扩大，往往有不只一个生产矿区，并且除了公司总部以外，还会在国内各地设置办事处。由于各个矿区、办事处与总部之间路途遥远、交通不便，使得相互间的信息沟通非常不便，往往因为不能及时获取信息和相关数据而成为孤岛；此外，出差在外在业务人员，如果想方便的访问企业内部信息就不容易了。因此，煤矿企业一方面要引进先进的采煤技术、采煤工艺和和采煤方法，另一方面也要加快信息化建设步伐，基于公共网络和 VPN 技术，结合企业的自动控制技术建成现代化通讯网络。只有这样，才能加强煤矿企业生产信息的管理，通过对信息资源的合理开发和利用，及时地为企业的决策提供准确而有效的信息、提高经营管理水平，从而最终提高煤矿企业的经营效益[6]。
VPN 技术满足了企业的需求，在实际的组网方式中，根据应用的不同，又可以分为以下三种类型：
（1）Access VPN（远程接入VPN），即客户端到网关模式。对于煤矿企业，这正适合出差和外派人员，因为VPN允许使用公网作为骨干网在设备之间传输VPN的数据流量。
（2）Intranet VPN（内联网VPN），即网关到网关模式。适用于企业内部不同矿区以及各个异地办事处与总部之间的局域网互连，从而组建真正的企业网，实现企业的信息化。
（3）Extranet VPN（外联网VPN），即与合作伙伴企业网构成 Extranet模式。也属于网关到网关的连接，将一个公司与另一个公司的资源进行连接。适合煤矿企业与经销商或合作伙伴之间相互通信，但要考虑设备的互连、地址的协调、安全策略的协商等问题，选择 IPSec 协议是明智之举[1]。
3.2 煤矿企业利用VPN技术的优点
（1）使用VPN可降低成本。通过公用网来建立VPN，就可以节省大量的通信费用，而不必投入大量的人力和物力去安装和维护WAN（广域网）设备和远程访问设备。
（2）传输数据安全可靠。虚拟专用网产品均采用加密及身份验证等安全技术，保证连接用户的可靠性及传输数据的安全和保密性。
（3）连接方便灵活。用户如果想与合作伙伴联网，如果没有虚拟专用网，双方的信息技术部门就必须协商如何在双方之间建立租用线路或帧中继线路，有了虚拟专用网之后，只需双方配置安全连接信息即可。
（4）完全控制。虚拟专用网使用户可以利用ISP的设施和服务，同时又完全掌握着自己网络的控制权。用户只利用ISP提供的网络资源，对于其它的安全设置、网络管理变化可由自己管理。在企业内部也可以自己建立虚拟专用网。
4 煤矿企业应用VPN技术举例
4.1 企业概况
假设有某大型煤矿企业，总部在内蒙古，机构设置有办公室、生产技术部、安全监察部、审计稽核部、财务部、网络部等部门；有两个生产矿区，分别为矿区A和矿区B；另外，在河北省还有一个常驻办事处。目前，总部各部门之间，以及各矿区和办事处，已经分别组建了本地局域网，但由于相互间距离远，建设专线投资巨大，所以尚未实现全企业的内部联系。
4.2 需求分析
面临现代管理的挑战，企业欲完善信息化建设，全面实现企业总部与各矿区、办事处之间的“内网化”联接，主要需求如下：
（1）各异地机构间能够相互访问企业内部数据。
（2）保证数据传输的安全性和保密性。
（3）外派出差人员也可以通过移动设备访问企业内网，像在公司内一样。
（4）尽量减少投入，在原有网络基础上建设完成。
4.3 利用VPN技术实现网络互联
利用 VPN 技术进入网络搭建设与配置，由于有了隧道技术和加密解密技术以及密钥管理和身份认证技术的多重保障，使得整个煤矿企业内各地人员的用户IP 地址在公网上不会泄露，同时也保证了相互间传输数据不会被截获和篡改。
4.4 具体VPN网络配置
根据该公司的需求，实际配置可采取 ISA Server VPN企业级安全方案。因为这样的解决方案，既具有简单实用、安全可靠的特点，又能让企业减少成本投入的同时获取更高的效率。具体地，首先需要在企业总部的内网服务器上安装 ISA Server 服务器端软件，并根据需要进行相关用户配置；其次在矿区A和矿区B及办事处和出差人员的电脑上，安装Web代理客户端或 Microsoft Firewall Client 软件，进行与服务器的相关配置，并将防火墙或路由器设置为允许 VPN协议，这样就可以实现远程访问总部网络了，出差人员甚至可采用移动终端进行无线上网[7]。这样一来，不论是矿区和办事处的有线上网还是出差人员的无线上网，和总部人员访问企业网几乎是一样的。
5 结语
VPN技术的应用，使得企业内部员工实现了远程和跨地域虚拟内部通信，在保障了数据通信的安
全性的前提下，有效地解决了企业信息化建设中的各种困难，对于企业的生产和管理发挥了积极作用。总之，VPN技术目前已经发展较为成熟，是企业信息化建设中经济、实惠的不二选择。
