基于IPSec的VPN网络在气田的设计与实现

沈雅斐

摘 要：本文从气田网络化管理过程中可能存在的安全、可靠性问题，从便于日常管理，方便数据高效传输，实现低成本要求为出发点，通过进行需求分析，详细阐述了基于IPSecVPN网络的设计与实现具体内容，提高了气田生产、办公效率，创造了较好的生产效益和经济效益。

关键词：数字化管理；VPN；网络

一、设计背景及思路

安全性：网络的安全性没有保障，各类服务器及客户端的运行均暴露在公网状态下。

可靠性：气田生产建设需部署核心交换机、硬件防火墙等核心网络设备，在网络可靠性、稳定性方面需得到保证。

互通隔离：大量数字化系统的建成、投运，仅靠通信站分配的IP地址远远不能满足需求，办公网与生产网不能互联互通与有效隔离。

低成本：为实现低成本开发战略，结合办公实际，若采取租用多条高带宽专用通信网络线路成本压力较大。

VPN指的是在公用网络上建立专用网络的技术。其之所以称为虚拟网，主要是因为整个VPN网络的任意两个节点之间的连接并没有传统专网所需端到端的物理链路，而是架构在公用网络服务商所提供的网络平台，如Internet、ATM（异步传输模式〉、FrameRelay（帧中继）等之上的逻辑网络，用户数据在逻辑链路中传输。它涵盖了跨共享网络或公共网络的封装、加密和身份验证链接的专用网络的扩展。该技术能够充分利用现有网路资源，提供经济、灵活的连网方式，为项目部节省设备、人员和管理所需的投资，降低项目部的通信费用。

二、需求分析

从网络基础考虑，面临着把集气站重要生产、监控数据安全、简单、可靠的接入到原有网络，既不阻塞原有产能建设、生产、开发、经营业务，同时又要达到延伸和扩展的目的。

（一）网络平滑升级的需求：在现有网络上实现平滑过渡，对原网络的信息统计；规划、设计网络改造方案；网络改造的实施。

（二）网络可扩展性的需求：保持网络的先进性；考虑未来网络接入容量及处理能力；考虑骨干网络的带宽需求。

（三）网络管理智能化的需求：配置管理；性能管理；故障管理；安全管理；网络规划及操作管理。

（四）非功能性需求：性能；灵活性和可扩展性（支持网络结构、网络应用、网管系统三方面）；安全性需求；可靠性。

三、基于IPSecVPN网络的设计与实现

IPSecVPN网络方案描述：鉴于办公点是通信网络核心节点，因此到Internet建立虚拟专用网（VPN）通过设备双机热备的冗余配置实现高可用性、可靠性建立专有虚拟通信隧道。下端同时建立两条隧道分别到上端，当一条隧道出现问题时另外一条可以启动切换到激活状态，随时勘测隧道是否可用，如果一旦发现隧道失效，将自动切换到备份隧道，保证业务不中断。

其它地点办公点利用高性能的VPN设备，实现附近站点的VPN安全接入，同时通过专网可以调阅到其它站点的数据资料，解决中心与分支的数据孤岛问题，同时VPN设备的防火墙功能还可实现不同安全区域的逻辑隔离，实现攻击的检测和防御以及业务的分离，既保护原有网络的投资又最大限度的解决了目前业务发展对网络的新需求。

为实现IPSecVPN技术选用VPN安全网关设备，配置双机热备两台，办公点各配置一台。

（一）利用VPN设备自身的防火墙功能构建适合项目部的安全防护策略。

（二）以机房作为核心，将VPN做双机热备的配置，其它地点使用VPN单机。

（三）开通生产网网段，主要用于集气站站控系统及视频监控系统数据传输。将网段与现有办公网IP地址相结合，利用划分VLAN或地址映射等技术实现生产网与办公网的互联互通与有效隔离的效果。

（四）接入办公网及生产网使两网相结合，其它地点只从当地通信站接入基本的办公网即可，通过VPN向其它三地辐射达到同时共享网络资源的目的。在使用过程中，做到办公数据和生产网数据自动选择网络出口。

（五）利用VPN一体化网关加密隧道技术不同办公地点的网络互联，充分利用各地已有IP地址资源，尽可能保持不变，对各单位部门、各生产系统作出VLAN划分规划。

（六）实现网络权限的划分：生产网、办公网、无限制的办公网。

（七）制定网络访问策略，实现在网用户的有效管理：用户网络开通、网络访问权限变更、IP地址分配、设备管理等。

四、应用效果与前景展望

IPSecVPN技术的实施，创造了较好的生产效益和经济效益，其安全性、稳定性、经济型得到充分体现，符合目前响应公司低成本运作的要求。VPN的实现解决了各站点监控数据不能及时、准确上报的问题，也解决了气田各地数据互联互通、共享的问题，额外还节约了线路租用费，真正实现了既有效地降低了办公成本，提高了气田生产、办公效率，为下一步开展各项网上业务提供了网络保障。