IPVPN服务
IPVPN服务一般是指通过服务商自有运营的骨干网(Backbone)基础之上，采用先进的多协议标签交换 (MPLS)技术，结合服务质量保证（QoS）、流量控制技术(CoS)，为企业用户构建的企业内部专用网络，它能够实现企业跨境（跨区域）多个分支机构之间内部数据、语音、图像等多种业务通信的服务，并提供多种增值服务。概念
在VPN技术在日益普及的今天，我们不想过多论及技术本身,已经有太多的资料和案例。并且技术本身的应用也逐渐平民化。我们今天介绍的是如何使用VPN？怎样建立VPN网络？如何将自己的业务与VPN结合起来，降低成本提高效率？
一般平常提到的VPN概念是指使用VPN隧道技术建立基于公网的虚拟专有网络，需要用户自己购买硬件设备、自行设计、建设、维护，尤其是需要用户自行管理等需要自己投资专业设备和对维护人员进行培训，相对投入较大，属于用户自建的模式。
另有一种方式为采用专业VPN服务商提供的IP VPN服务实现。由该服务商具有专业资质、骨干网络、技术团队并达到一定的运营规模，企业可以将有关业务需求直接建立在业务服务商基础上，
这样能迅速建立成熟稳定的VPN网络，不需自行投资高端的设备，省去了大量的资金与人力，并能得到较专业的服务水准。
使用IP VPN服务，可以帮助企业为多点多地的机构沟通搭建了安全稳定的通道，除日常OA系统，邮件等应用外，ERP和CRM的应用逐步成为数据传输的关键，并满足其对于安全性的要求。并可支持视频会议、内部IP电话等通信应用，降低企业运营成本。
IP VPN常用技术
IPVPN是通过隧道机制实现的，隧道机制可以提供一定的安全性，并且使VPN中分组的封装方式、地址信息与承载网络的封装方式、地址信息无关。常见的IPVPN技术有第二层隧道协议(L2TP)、IP安全协议(IPSec)、通用路由封装(GRE)协议和多协议标签交换(MPLS)协议。
L2TP
L2TP由RFC266定义，该协议定义了在包交换网络(包括IP、ATM、FR等)中封装链路层点到点协议(PPP)帧的方法。承载协议首选网络层的IP协议，也可以采用数据链路层的ATM或FR协议。L2TP可以支持多种拨号用户协议，如IP、IPX和AppleTalk等。至今，L2TP及其相关的认证、计费系统已经比较成熟。基于L2TP的远程接入VPN业务开展得也比较广泛。该服务主要面向分散的、具有一定移动性的用户，一般是运营商提供接入设备，客户提供网关设备并进行管理，也可以委托运营商进行管理。
IPSec
IPSec属于第三层隧道协议，它是一组开放的网络安全协议的总称，在IP层提供访问控制、无连接的完整性、数据来源验证、防重放保护、加密以及数据流分类加密等服务。IPSec包括报文验证包头(AH)和封装安全载荷(ESP)两个安全协议。AH协议主要提供数据来源验证、数据完整性验证和防报文重放功能。ESP协议除具有AH协议的功能之外还提供对IP报文的加密功能。
IPSec可以单独使用，也可以和L2TP、GRE等隧道协议一起使用，为用户提供更大的灵活性和可靠性。
GRE协议
GRE协议属于第三层隧道协议，它规定了如何用一种网络协议去封装另一种网络协议的方法。GRE的隧道由两端的源IP地址和目的IP地址来定义，允许用户使用IP包封装IP、IPX和AppleTalk包，并支持各种路由协议，如路由信息协议RIPv2、最短开通道优先(OSPF)等。
GRE协议提出的比较早，实现简单，比较成熟。
MPLS协议
MPLS协议是在IP路由和控制协议的基础上，提供面向连接的交换。MPLS是一种完备的网络技术，实际上也是一种隧道技术，用它来建立VPN隧道十分容易，并且能够进行服务等级划分，保证服务质量，有效地利用网络的资源。
根据提供商边界(PE)设备是否参与客户的路由，MPLSVPN可以分为第三层VPN(Layer3MPLSVPN)和第二层VPN(Laye2 MPLS VPN)两种。
Layer3MPLSVPN
Layer3MPLSVPN是一种基于路由方式的MPLSVPN解决方案，ITEF RFC2547中对这种VPN技术进行了描述。Layer3 MPLS VPN也被称作BGP/MPLS VPN，其利用标签分发协议(LDP)在MPLS上进行路由，保证每个VPN都有一套单独的地址和路由转发信息(VRF)。
1) 用户边界(CE)
CE设备通过连接至一个或多个PE路由器的数据链路为用户******接入。CE设备可以是一台主机或二层交换机，通常情况下，CE设备是一台IP路由器，它与直连的PE路由器建立邻接关系。建立邻接关系
2）提供商商边界(PE)
PE路由器使用静态路由、RIPv2、OSPF或外部边界网关(EBGP)与CE路由器交换路由信息。每个PE路由器为和它直联的站点维持一个VRF，并且只需要维护与其直联的VPN的VRF，每个用户链接(如FRPVC、ATMPVC或虚拟局域网(VLAN))被映射至一个特定的VRF，这种设计使其具备了两个基本特征：a)支持地址重叠：多个VPN可以使用相同的地址空间：
b)支持重叠VPN：一个站点可以同时属于多个VPN。
在从CE路由器学习到本地VPN路由后，PE路由器使用IBGP与其他PE路由器交换路由信息。为了避免维护全网状的BGP会话，可以采用路由反射器(RR)技术。
3)提供商(P)路由器
P路由器是******商网络中不连接任何CE设备的路由器。数据在MPLS骨干网中被转发时使用了两层标记堆栈，P路由器只需维护到达PE路由器的路由，并不需要为每个用户站点维护特定的VPN路由信息。
Layer2MPLSVPN
Layer2MPLSVPN的PE设备和CE设备之间没有路由交换，运营商仅向客户******基于二层的网络功能。这种VPN可以支持的二层技术包括FR、ATMAAL5公共部分汇聚子层(CPCS)模式、ATM透明信元模式、以太网、以太网VLAN、高级数据链路控制(HDLC)、PPP、同步光网络(SONET)/SDH链路******服务等。二层VPN简化了运营商的网络结构和管理。
Layer2 MPLSVPN可以提供点到点连接和点到多点连接两种方式的服务。
a)点到点连接主要有Martini和Kompella两种技术流派。两种流派在数据层面基本相同，主要区别在控制层面：前者仅支持点对点的服务，后者可以支持点对多点服务；前者不包括VPN成员的自动发现机制，后者则支持。相比之下，Draft-Martini的机制简单，实现起来比较容易，支持的厂家也比较多。
Draft-Martini是基于Layer2MPLSVPN的一种点对点的解决方案。为了通过运营商MPLS网络承载L2帧，Draft-Martini引入虚连接(VC)的概念。VC通过MPLS标签栈的方式在MPLS骨干网由LSP构建的隧道中进行复用。在用户数据帧穿透运营商的网络时被打上了内外两层的标签。外层标签(或者隧道标签)用于标识隧道LSP、定位特定的目的PE路由器；内层标签(或者VC标签)用于标识用户的连接、定位目的PE路由器上特定的VPN成员站点。
Draft-Kompella是基于Layer2MPLSVPN的一种点对多点的解决方案。但是和下面将要提到的虚拟专用局域网业务(VPLS)对比，Kompella方式的点对多点连接只是一种点到点连接的集合。和Martini方式相比，Kompella的优势是引入了VPN的自动发现机制，在网络初始化时需要对VPN的所有站点进行配置，一旦初始化完成后，只需对新添加的站点进行配置，而不必触及已配置的站点。Kompella的自动发现机制使用BGP作为VC标签分配的信令，整个VPN建立的过程借鉴了Layer3MPLS VPN实现的思想。PE之间建立全网状的IBGP会话，相互交换VPN成员信息和VPN能力的协商。
b)点到多点连接在IETF中有多个草案进行了定义，一般称作VPLS(VirtualPrivateLANServices)，这些草案的主要目标是为了解决Layer 2以太帧透过运营商IP/MPLS网络进行点到多点传送的问题。通过运营商的IP/MPLS网络，Layer2 MPLS VPN可以仿真一个局域网交换机，具有基于MAC地址对用户的数据帧进行转发的能力。VPLS的解决方案是对Martini解决方案进行了扩展，实际上是在PE之间建立了一个全网状的VC连接来******点到多点的连接。
二层和三层VPN的比较
MPLS的二层VPN和三层VPN各有其优缺点。总的来讲，三层VPN的协议相对比较完善，网络中采用的相对多一些：但网络的规划和管理比较复杂，网络规模不是太大。二层VPN具有更好的扩展性，也可以重复利用ATM和FR网络，支持IP、IPX等多种协议，更适合******大型的VPN；