IP/MPLS VPN的发展,让用户与运营商把目标盯向了极有竞争力和市场前景的VPN。对用户而言,IP/MPLS VPN可极便捷地替换租用线与传统的ATM帧中继VPN连接计算机或LAN,也可提供租用线的备份、冗余与峰值负载分担等,节省费用明显。对服务提供商来说,IP/MPLS VPN是将来增大业务范围、维持竞争力与客户粘性、减小成本、加大利润的重要方法。
安全性保证是IP/MPLS VPN(以下都叫VPN)是否可取代租用线和传统的ATM帧中继VPN的关键因素(QoS保证也是)。虽说2000年2月Yankee group发表的研究报告指出传统的ATM帧中继VPN有严重的安全隐患,但ATM帧中继VPN在安全性方面仍然享有很高的声誉。与人们对ATM帧中继VPN安全性特别信任的情况相反,尽管IP/MPLS VPN技术声称给出了安全性保证,但由于人们普遍认为IP网本身是不安全的,因此对基于IP/MPLS的VPN的安全性还有很大疑惑。
安全性是个复杂的系统问题,任何一个网络系统仅靠VPN的安全通信是不会保证安全的。下面将从不同的VPN隧道技术与组网方式的角度来探讨其安全性。
由用户是否信任运营商及用户数据的安全敏感程度,用户可选择由运营商提供安全性保障,也可选择自己实施。
IP/MPLS VPN同时满足这两种实施方式。
1.用户不信任运营商
当用户不相信运营商提供的任何形式的安全服务时(如用户的数据特别敏感),用户应用防火墙及有安全隧道功能的用户驻地设备(CPE)来实现IP/MPLS VPN。在此情况下,用户负责所传递数据的安全性,VPN数据的安全性取决于用户防火墙及所用隧道协议的安全性等多方面因素。和在传统的ATM帧中继VPN的中运营商只给出传递ATM信元或帧中继帧的传输通道相似,运营商这时只传递IP/MPLS包的传输通道,没有安全保证,隧道数据的安全性由用户负责。
2.用户信任运营商
传统的基于帧中继与ATM的VPN都假设运营商是可信任的,在IP/MPLS VPN的操作中,也能如此假设。在这种情况下,防火墙功能的提供及包传输的安全性保证都是运营商提供的。若是基于网络的VPN,运营商负责运营商两个边缘设备(PE)间的安全性,不含用户接入链路的安全性(这段链路一般是用户专用的,通常认为是安全的)；若是基于用户设备(CE)的VPN则运营商负责保证CE设备到PE设备间的安全性,包括了用户接入链路的安全性,这是一种基于CE的管理型VPN。
在不同场合下,运营商可由需要用不同的安全等级。若运营商认为PE到PE或CE到CE的路径原本是安全的,因为运营商有整个骨干网基础设施(VPN数据传递只在一个运营商的IP骨干网中传递),或把部分骨干网外包给另一个值得信赖的运营商(如可能是SONET/SDH电路、波长或光纤)，那么就不大需要太高的安全机制(如IPSec)来给出骨干网节点间的隧道安全服务。若VPN数据的传递跨多个运营商的骨干网,那么用高级别的安全机制就非常必要。
