企業省錢密道 VPN一網打盡

MPLS-VPN（多重通訊協定標籤交換傳輸）隨著網路技術進步與應用需求日益增加，已成為新經濟時代通訊應用平台。這種交換協定，可以在傳輸封包上加上標籤(Label)，在傳送時路由器只需讀取其標籤，而不需要讀取整個封包，明顯提高路由效率，是現今當紅的協定技術。跨區企業除了可以向傳統電信業者租用專線服務外，亦可以透過新興網路服務供應商的共享數據網路，租用包括訊框傳送網路(Frame-Relay)、非同步傳輸網路(ATM)、甚至是網際網路(Internet)來構建eBusiness的通訊傳輸平台。

MPLS-VPN提供更進一步的網路服務品質保證(QoS)，讓不同任務導向的網路傳輸透過服務層級保證機制，服務等級區分(CoS)及網路服務供應商封閉而安全的網路，予以分級處理。換言之，企業可以針對資訊應用訂定不同等級的重要度，由網路服務供應商給予不同的服務及傳輸品質保證。

VPN新潮流    MPLS正走紅

現有國內提供MPLS VPN廠商計有， Hinet、Seednet(數位聯合)、TTN(台灣電訊)、APOL(亞太線上) 、英普達、神坊資訊等業者提供MPLS VPN，以現階段來說，國內的ISP業者要能夠提供此一服務都必需是規模不算小的業者，因為其中牽涉到在各區域的機房是否具備有支援MPLS VPN的路由設備，而且這些路由設備還必需定義有相同的QoS或是CoS的設定，如此才能夠確保MPLS的封包在網路上傳遞時能夠正確並且符合企業所要求的QoS機制。

英普達總經理劉元璋指出，英普達isMPLS採用最先進網路傳輸協定，由於核心網路以最具效率的標籤交換（Label Switching）方式傳輸，因此可以解決網路傳輸效率、穩定度、流量控管以及多路徑備援等網路問題，是企業內部繼國際、長途專線、Frame relay及ATM之後的另一種最新的多功能性VPN通訊解決方案。劉元璋對isMPLS具備完整的網路備援方案、高度網路私密性的優點大力推薦，他說:「isMPLS不只具備Frame relay同等級的安全可靠性，在IP的普遍性及共通性特點下，提供客戶快速且簡易的網路連結環境。企業可有效運用現有設備，輕鬆建構企業內私有網路，達到網路升級並降低投資成本的目的。」

Seednet產品部協理洪欽滿則表示，Seednet MPLS VPN屬於第三代網路架構，是新一代的IP高速骨幹網路交換標準，由 IETF ( Internet Engineering Task Force，網際網路工程專案小組)所提出，由Cisco、3Com等網路設備大廠所主導。洪欽滿進一步指出，企業客戶若選用MPLS VPN，基本上客戶端不需要添購任何設備，ISP業者自動會完成架設，可以省下人力成本。

企業用戶使用MPLS-VPN以流通業、連鎖店等最多，對成本考量大於安全考量的行業為主。「未來可能一個加油站就是一埠點，如果中油要架設MPLS-VPN，就必須用上千個埠點。」TTN副總經理林經堯指出，TTN在流通業有很多MPLS-VPN客戶，現在全台大約有四千個埠數。

兩岸企業在資料溝通傳遞上有幾項考量：資料傳遞的安全與完整性、與企業內部的資訊系統整合、.網路架構簡單易管理、降低成本並提高經濟效益。國內ISP業者積極佈局兩岸VPN服務，不但陸續與大陸當地網路服務供應業者，或電信服務商策略聯盟，更對赴大陸投資台商展開加強行銷，爭取兩岸VPN領導地位。

MPLS提供了有別於傳統IP-Over-ATM的好處。因為透過labeling switch的方式使的不同的網路服務可以運行在相同的平台之上，也就是BPX switch可以讓ATM, Frame Relay, IP Internet service, and IP VPN藉由MPLS成為一個高效率且有彈性的應用服務。正因為是採用單一的平台為基礎，相對的建置成本就能有效的節省。相對的，MPLS VPN也存在一些問題，例如兩大派系(思科、Juniper加北電網路)標準尚無法互通、ISP業者互連協定及定義比對等問題，都必須加以解決才能讓MPLS VPN溝通無障礙。

支援PKI    IPSec學問大

IPSec是受企業用戶青睞的VPN技術之一，因為IPSec是一種由端對端的設計技術，確保通訊的數據安全性比較高，同時支持對數據加密，可確保數據完整性，所以建置成本也相對比較高。IPSec使用兩種安全協定，來確保數據完整性，一為驗證包頭(AH,Authentication  Header)；另一為封裝安全負載(ESP,Encapsulating  Security  Payload)。IPSec協議下，只有發送方和接受方知道密鑰，如果驗證數據有效，接受方可以知道數據來自發送方，並且在傳輸過程中沒有受到破壞。

為了保證數據的保密性並防止數據被第三者竊取，ESP提供了一種對IP負載進行加密的機制，另外，ESP還提供數據驗證和數據完整性服務，因此在IPSec下可以用ESP取代AH。在網路型的IPSec VPN解決方案中，客戶的路由骨幹通常皆外包給服務供應商經營，因此服務供應商的用戶管理系統（SMS）會置於客戶的CPE裝置附近。有別於Layer 2型的服務，服務供應商的網路負責執行Layer 3客戶路由作業，並提供一組額外的功能層，負責支援路由階層，並省下透過CPE提供網狀虛擬線路或通道的成本以及排除這類環境的複雜度。若SMS具備多重環境支援的能力，這種技術能提供區隔機制，因此能支援私人位址的服務，同時亦不須變更客戶的網路組態。

一般而言，SMS採用IPSec—在通道模式下運作以建置網路型的VPN，並融入端至端的加密機制，範圍涵蓋分享式的IP網路。網路型的內部VPN能擴展地理範圍，讓系統不需複雜的現場設定工作就能快速加入站點。串連多個站點亦不再需要採用虛擬線路，故能節省硬體方面的成本。省下的成本甚至多於國際連線費用，各種出租專線、ATM、或訊框中繼的連線費用皆相當可觀。

在IPSec VPN環境中，網路端點上用戶管理系統的輸入與輸出端皆有配置相關元件，對網路資料流進行安全控制。系統透過存取控制清單（ACL）的定義資料，依據來源與目的地位址，對IP資料流採取特定的安全策略。安全策略本身須具備充裕的彈性，能對每種資料流套用不同的設定，例如像不同的資料流採用不同層級的加密與授權。為因應顧客的需求，服務供應商可運用能提高自動化程序並降低設定與供應成本的工具，推出各種IPSec VPN服務。最終發展出的網路型IPSec VPN解決方案，能為服務供應商以及其顧客同時提供利益，創造一個雙贏的局面。IPSec VPN也有其限制，例如只能支持IP數據流。

Cisco整合性虛擬私有網路產品結合多樣化新通訊協定，如AToM（Any Transport over MPLS）、第二層通道協定第三版（Layer 2 Tunneling Protocol version 3； L2TPv3）、及全新擴充能力，透過Cisco Easy VPN和相關強化的功能，可將IPSec協定整合在MPLS網路之中。台灣思科技術支援部經理楊士逸表示：「服務供應商在增加第二層與第三層存取服務收益的同時，也希望能夠完全發揮IP或MPLS骨幹網路的優勢。而Cisco整合性虛擬私有網路產品不僅具有上述優勢，同時更可使服務供應商擴充其服務範圍、增加新型態IP服務，並且在封包骨幹網路上有效傳輸現有的存取服務訊務。」

VPN新風貌    整合產品百家爭鳴

企業在採購VPN同時，會考慮與防火牆(Firewall)、入侵偵測 (IDS) 合一的產品，Cisco、NetScreen、CheckPoint、Cybergand、Borderware等廠商都提供防火牆加VPN整合性產品，其中不乏整合入侵偵測機制的產品。

據IDC市調報告指出，未來VPN軟硬體供應商的排名，將取決於是否能將先進的網路安全技術整合到產品中，NetScreen被視為防火牆與VPN市場成長最快的廠商，「效能、速能、管理能力、成本效益是NetScreen快速竄起的主因，未來將針對市場研發整合能力更強的產品。」NetScreen亞太區資深行銷總監Paul  Serranol，清楚地勾勒國外廠商在安全解決方案上整合的趨勢，NetScreen進入國內市場雖然腳步慢了一點，但是表現卻令人刮目相看，以2002年營收逆勢成長62%的亮眼成績，可以預見來台後，將對市場造成不小影響。

「現在做防毒、防火牆廠商往上吃市場，就必須做VPN或IDS。」台灣思科技術支援部經理楊士逸指出，VPN加防火牆已是企業升級不可或缺的資安產品，以思科自己員工配備為例，Cisco員工在無線上網時，VPN有內建個人防火牆及動態密碼，安全性是所有產品中最高的，員工不論傳遞任何訊息，都必須透過內建防火牆的VPN傳送。

VPN新管理    安全快速操作簡便

通常只有中大型企業規模，才會考慮採購VPN專用管理工具，相關工具軟體售價大約一百萬元至兩百萬元間，管理功能愈高階相對價位也愈高。思科在VPN專用管理軟體上有技高一籌的地方，不但可以管理的VPN點數高，功能也比較強。

「Cisco  以分散式架構下做集中式管理，有很大彈性做產品整合，也就是用一塊背板做介面，可同時整合防火牆、VPN、IDS等，降低故障點和機率，這是其他網路架構無法做到。」台灣思科技術支援部經理楊士逸道出Cisco在VPN管理上的新思維，在新一代VPN管理工具上Cisco則內建「Push  Mode」管理功能。楊士逸進一步解釋，只要在總公司設VPN  Concentrator，安裝、操作程序簡便，即可藉由Push  Mode功效將網路指令推至分公司及用戶端，不一定非得在總公司端下命令。不過，也必須在思科架構環境下，才能有「Push  Mode」管理功能，否則還是行不通。

以往VPN用戶端軟體安裝步驟繁雜，只要有設定錯誤，便無法連線，對一般個人用戶非常不方便，現在廠商不但將安裝手續簡化，更把安裝動作先由資訊人員做設定，使用者端通常只要按照指示按滑鼠即可。

代理NetScreen產品的敦陽科技產品部協理劉守元就表示，「企業第一道防線可能已經飽合，但是第二、第三道防線仍有待建立，尤其是高科技產業及安全需求度高的產業，防毒與防火牆配備已不敷所需，VPN和入侵偵測是接下來要考量的建置。」

「現在廠商都以安全政策為行銷導向，而不是只有談單一產品銷售，協助企業做安全政策擬定，並提供整合性產品。」Cisco在台重要代理商聚碩科技產品經理江其杰，對新一代VPN安全管理下了體切的注解。

VPN新世代    潛力無窮商機無限

ADSL普及與建置專線成本大幅下降，是VPN異軍突起主因，今年VPN市場可望大鳴大放，主要因素不外乎，VPN投資報酬率是看得到也算得出，企業為省下大筆專線費用，租用ISP  VPN或自己架設VPN網路，將會成為企業拓展業務及設置分支機構的首要考量。總言之，多據點企業以及產業上下游電子交易市集建立，應是VPN最主要客戶群；另外MPLS-VPN則鎖定在使用Frame relay同等級行業，例如金融、製造業等客戶升級時會採用的技術。

全球VPN市場以思科(Cisco)、北方電訊(Nortel)、Vpnet、Asend等為領導廠商，而國內廠商為在廣大的IP-VPN市場上占一席之地，已有多家進行IP-VPN技術的研發，例如﹕合勤、仲琦、台林、星通、台聯、偉僑、達創、東聖、聚碩等，將IP-VPN的功能建立在他們原有的Modem、Mux、Switch、IAD、xDSL Modem等產品上，期待能藉此提昇國內在通訊與網路設備方面的競爭力。

ISP和固網及大哥大業者，如Hinet、Seednet、Htnet、遠傳、台灣固網等也將陸續提供IP-VPN的服務，此外亦有研究機構，如工研院電通所、資策會等也透過策略聯盟與技術推廣等活動，提供廠商IP-VPN相關關鍵技術，使國內廠商更能掌握 IP-VPN 之技術發展趨勢與產業前景。

VPN可作為site-to-site(分支辦公室到另一個分支辦公室)連線或撥接存取所使用的私有網路替代方案。針對VPN這項特性，英普達劉元璋總經理認為，最適用於跨域或跨國經營的企業，不但可以省下員工差旅往返時間也大幅降低國際通訊費；以英普達為例，自推出VPN產品後，服務的對象已由中小型企業轉為中大型企業，對集團營運業績的貢獻值也逐年增加。劉元璋指出，放眼未來隨著企業拓展業務的需求，架設VPN的必要性也相對提高。Seednet洪欽滿協理則認為，中小企業市場龐大，VPN應用廣泛，對重視資料傳送的安全性與隱密性、內部點對點網路資訊存取的多節點、建置企業專屬虛擬網路的連鎖加盟體系、上、下游廠商或跨企業連接需求的用戶、Intranet 與 Internet 二者同時需求用戶、語音整合與資料傳輸需求兼備等企業用戶都很合適。

根據MIC最新統計顯示，由於網路應用的普及與單價降低，防火牆與VPN將快速成長，2001至2005年複合成長率將達37.4%，佔資安產品市場最大比例。IDC分析預測，單就IP-VPN專用網路設備的市場而言，在2002年全球便可達到7億美元的規模，這還不包括附加IP-VPN功能的產品如防火牆、路由器，交換器等設備的市場。而IP-VPN服務的市場收益單就美國而言，在2002年更達到百億美元的規模。

工研院電通所委託學界所做的研究顯示，VPN的觀念是網路演變之必然趨勢，VPN除具有高度學術研究價值外，並提供實際電子商務之應用，可創造數百億元之商機，因此同時兼受學術界及工商業界之重視。

不論是國內或國外的統計數字都顯示，VPN將在資安市場上大有斬獲，相關業者也卯足全力搶攻市場，未來競爭之激烈可以想見的。