高效低成本VPN组网实践指南

在组建VPN网络（广域网，需要各分支互联互通）的时候，一般要求各分支机构具有固定的公网IP地址；在组建VPN接入网络时（各分支机构以VPN技术、访问中心的服务器），要求中心一端具有固定的公网IP地址。如果没有固定的公网IP地址，动态获得的公网IP地址+动态域名（“花生壳”，大多数支持动态域名的宽带路由器一般集成了“花生壳”）也可以。

在组建VPN网络时，如果VPN路由器直接连接到Internet（不管是有合法的、固定的公网IP地址还是动态获得的公网IP地址），组建VPN网络相对容易，因为VPN路由器“前端”即是Internet，没有经过防火墙。所以在类似图4-1-8的组网方式中，大多数具有VPN功能的路由器都可以支持这种模式。

图4-1-8 中小企业有动态或固定公网IP地址组网方式

但是，在实际的生活中，网络往往是很复杂的，如图4-1-9所示。

这表现为：

1）单位总部只有一个固定的公网IP地址（或者动态获得的公网IP地址，或私网地址），而这个IP地址又配置在“防火墙”或“路由器”中，VPN路由器处于防火墙后端。(www.xing528.com)

2）分支机构是ADSL，无公网IP地址，获得的是10.x1.x2.x3之类的私有地址。

3）出差客户端要访问单位内部，但出差用户所在的网络对标准VPN拨叫有限制（例如一些防火墙限制了GRE47协议），这就造成出差用户使用标准的VPN拨入服务时，不能成功连接单位的VPN服务器。

对于这种应用，可以采用蒲公英企业智能路由器解决这些问题，本文不做过多介绍。

图4-1-9 实际环境的VPN应用